L'obiettivo dell'Audit è quello di effettuare un'indagine strutturata e metodica per segnalare eventuali vulnerabilità, per quanto riguarda la sicurezza informatica, o il mancato rispetto di normative e leggi specifiche. L'Audit del CILEA non si limita a segnalare i problemi, ma alla fine dell'analisi vengono date precise indicazioni sugli interventi da attuare per risolverli.
Gli Audit sono obbligatori ai termini del D.Lgs. 196/03 (AllegatoB, art 19) e in ogni caso rappresentano una semplice ma anche evidente misura idonea ai sensi dell'articolo 31 del D.Lgs. 196/03.
Generalmente, un Audit di Sicurezza prevede diverse fasi:
- raccolta di informazioni sull'organizzazione in esame
- intervento on-site, di durata commensurata alle dimensioni dell'organizzazione
- intervento off-site per la verifica di vulnerabilità note sui sistemi esposti su Internet
- redazione di un Executive Summary e di un Technical Summary
Gli Audit di Sicurezza sono estremamente utili per gestire le attività di consulenti e fornitori di soluzioni informatiche (che saranno più efficaci nel loro lavoro), sia la sicurezza effettiva dei dati personali (gli interventi tecnici e organizzativi saranno mirati dove effettivamente servono). Inoltre, in caso di outsourcing di un trattamento di dati sensibili, è necessario definire per via contrattuale il rapporto tra le parti coinvolte in merito alla sicurezza dei dati, e gli Audit di Sicurezza si rivelano uno strumento prezioso anche in questo ambito.
Gli Audit di Sicurezza consentono inoltre di offrire ai Comuni un prezioso servizio di supporto per la redazione, l’aggiornamento e la manutenzione del Piano di Sicurezza Comunale per l’emissione della CIE, in attuazione di quanto stabilito dal D.M. del 2 agosto 2005, recante “Regole tecniche e di sicurezza per la redazione dei piani di sicurezza comunali per la gestione delle postazioni di emissione CIE, in attuazione del comma 2 dell’articolo 7-vicies ter della legge 31 marzo 2005, n. 43”, con particolare attenzione all'Allegato 2.
Gli Audit di Sicurezza di CILEA si rifanno allo standard ISECOM-OSSTMM 2.2, per la parte tecnologica, e all'ISO 27001, per la parte procedurale e di gestione di processo.
