Az IT biztonsági auditor (Információvédelmi auditor) feladata a vállalat, szervezet információvédelmi rendszerének felülvizsgálata, elemzése, értékelése és riportolása, majd az ellenőrzési eljárást (auditot) követően a javító intézkedések, javaslatok kidolgozása és megosztása a szervezet érintettjeivel. Az IT biztonság auditor segíthet az információvédelmi rendszer kialakításában is (de ez esetben ő maga nem auditálhat).
Az információvédelmi rendszer jellemzően valamilyen nemzetközileg elfogadott biztonsági módszertanra (pl. COBIT), illetve szabványra (pl. ISO/IEC 27001) épül, és a szervezeti, technikai intézkedéseket és működésbeli folyamatokat, szabályzatokat, eljárásokat és azok ellenőrizhető eredményeit foglalja magában.
Az IT biztonsági auditoroknak alapos ismeretekkel kell rendelkezniük a kapcsolódó szabványokról, jogszabályokról, módszertanokról, adott esetben ipari szabályozókról; képesnek kell lenniük a szervezeti folyamatok és az üzleti igényeket megértésére, IT kockázatok elemzésére. Átfogó és alapos IT biztonság technikai és technológiai ismeretekkel is rendelkezniük kell, hogy értékelni tudják a szervezet biztonsági rendszereit, megoldásait, azok kockázatait, értelmezni tudják annak biztonsági jelentéseit.
Megjegyzés: az IT biztonsági auditor lehet belső auditor (saját vállalata, szervezete biztonsági rendszereit, folyamatait menedzseli és felügyeli), és lehet külső auditor, aki független szakértőként, tanácsadóként végzi munkáját különböző vállalatok számára, tanúsító szervezetek színeiben. Ez utóbbi lényegesen nagyobb tudást és gyakorlatot igényel, jelen leírásunkban ezt a munkakört írtuk körbe. Szorosan ehhez a munkakörhöz tartozik azonban a belső auditori szerepkör is, illetve az elsősorban nagyvállalati környezetben külön szerepkört jelentő IT kockázatmenedzsment (risk and compliance) is.
Ahhoz, hogy hozzászólhass el kell fogadnod az ide kapcsolódó sütik használatát (Disqus). Ezt megteheted az adatvédelem oldalon (ahol további információkat találsz), vagy erre a gombra kattintva.