Trin 3: CHECK: Følg op

Når I har gennemgået de planlagte aktiviteter, følger I op på, om I har opnået jeres mål for informationssikkerheden. I skal finde svar på, hvordan det er gået med indsatsen fra planlægnings- og etableringsfaserne.

Denne opfølgning kaldes også for en intern audit, og det er vigtigt, at den er forankret i ledelen, som skal gennemgå og bl.a. tage stilling til følgende:

• Hvad er resultatet af jeres målinger?
• Har foranstaltninger for at styrke informationssikkerheden virker?
• Er processerne omkring risikostyring tilstrækkelige?
• Har der været hændelser, som har kompromitteret informationssikkerheden. Og hvordan undgår vi dem i fremtiden?
• Er der sket ændringer i interne eller eksterne forhold, som har betydning for informationssikkerheden?

Har jeres sikkerhedstiltag fx omhandlet et IT-system kan white hat hackere fx teste om det fungerer.

Også i denne fase er det vigtigt at have fokus på dokumentation.

Der er nogle få formkrav til dokumentationen. Det gælder fx, at oprettelse og opdatering af dokumenter skal være styret.
Det indebærer, at der skal være:

• Fastsat en navngivningsstandard
• besluttet konkrete dokument-metadata [Hvad betyder det?]
• besluttet accepterede filformater.
• Der skal være en proces for gennemgang og godkendelse af dokumentationen.
• Der skal være et revisionsspor for ændringer.