IT-säkerhetsrevision: så genomför du en intern granskning

Hur genomför ni en intern revision steg för steg?

En strukturerad process säkerställer att inget missas. Enligt ISO 27001 (2022) ska interna revisioner planeras, genomföras av oberoende granskare och dokumenteras med tydliga fynd och rekommendationer. Här är en femstegsmodell.

Steg 1: Planering (vecka 1)

1. Definiera revisionens omfattning och mål
2. Bestäm vilka områden som ska granskas
3. Utse revisionsteam (oberoende från de som granskas)
4. Samla befintlig dokumentation: policyer, nätverksdiagram, systemförteckning
5. Skapa tidsplan och informera berörda avdelningar

Steg 2: Dokumentgranskning (vecka 2)

1. Granska alla säkerhetspolicyer och rutiner
2. Verifiera att dokumenten är uppdaterade och godkända
3. Kontrollera att policyer täcker alla kravområden (NIS2, GDPR, ISO 27001)
4. Identifiera gap mellan policy och verklighet
5. Dokumentera avvikelser

Steg 3: Teknisk granskning (vecka 2-3)

1. Kör sårbarhetsskanning på alla nätverk och system
2. Granska brandväggsregler och åtkomslistor
3. Kontrollera patchnivåer på servrar och klienter
4. Verifiera backup genom teståterställning
5. Granska logg- och övervakningskonfiguration
6. Kontrollera behörigheter: inaktiva konton, överbehörigade användare

Steg 4: Intervjuer och observationer (vecka 3)

1. Intervjua IT-ansvarig om processer och rutiner
2. Fråga medarbetare om deras förståelse av säkerhetspolicyn
3. Observera fysisk säkerhet: serverrum, arbetsplatser, besökshantering
4. Kontrollera att incidentrapportering fungerar i praktiken

Steg 5: Rapport och åtgärdsplan (vecka 4)

1. Sammanställ alla fynd med allvarlighetsgradering
2. Prioritera avvikelser: kritiska, höga, medel och låga
3. Formulera konkreta åtgärdsförslag för varje fynd
4. Sätt tidsramar och ansvariga för varje åtgärd
5. Presentera för ledningen och få godkännande av åtgärdsplanen

[PERSONAL EXPERIENCE] Den vanligaste utmaningen vid interna revisioner är att granskaren inte är tillräckligt oberoende. Om IT-chefen granskar sin egen avdelning blir resultaten sällan objektiva. Använd personal från andra avdelningar eller externa resurser för kritiska områden.

[CHART: Gantt-schema för fyra veckors intern IT-säkerhetsrevision med delmoment - ISACA]

Vilka verktyg behövs för revisionen?

Rätt verktyg gör skillnad mellan en ytlig och en grundlig granskning. Enligt SANS Institute (2024) använder effektiva revisionsteam en kombination av automatiserade verktyg och manuell granskning för att täcka både bredd och djup.

Sårbarhetsskanning

• Nessus Professional: Branschstandard för nätverksskanning, från cirka 30 000 SEK/år
• OpenVAS: Öppen källkod, kostnadsfritt alternativ med gott rykte
• Qualys VMDR: Molnbaserad plattform för större miljöer

Konfigurationsgranskning

• CIS Benchmarks: Kostnadsfria konfigurationsriktlinjer per plattform
• Microsoft Secure Score: Inbyggt i Microsoft 365, kostnadsfritt
• AWS Security Hub/Azure Security Center: För molnmiljöer

Dokumentation och spårning

• Revisionschecklista: Strukturerad mall i Excel eller GRC-verktyg
• Ärendehantering: Jira, ServiceNow eller liknande för att spåra åtgärder
• Rapportmall: Standardiserat format för fynd och rekommendationer

Valet av verktyg beror på budget och kompetens. Ett litet företag kan klara sig med OpenVAS, CIS Benchmarks och en Excel-baserad checklista. Större organisationer investerar i kommersiella plattformar som integrerar sårbarhetsskanning med GRC.

Citationskapsel: Effektiva IT-säkerhetsrevisioner kombinerar automatiserade verktyg som Nessus eller OpenVAS med manuell granskning av processer och policyer, enligt SANS Institute (2024). Revisionen bör genomföras årligen och ta 40-80 arbetstimmar beroende på organisationens storlek.

[IMAGE: Skärmbild av sårbarhetsrapport med allvarlighetsgrader markerade - vulnerability scan report cybersecurity audit]

Hur rapporterar ni resultaten effektivt?

En revisionsrapport som ingen läser är bortkastad tid. Enligt McKinsey (2024) fattar 68 procent av ledningsgrupper säkerhetsbeslut baserat på sammanfattande rapporter snarare än detaljerade tekniska dokument. Anpassa formatet efter läsaren.

Rapportstruktur

1. Sammanfattning för ledningen (1 sida): Övergripande bedömning, antal kritiska fynd, rekommendation
2. Områdesöversikt (2-3 sidor): Resultat per granskningsområde med trafikljusstatus
3. Detaljerade fynd (5-15 sidor): Varje fynd med beskrivning, risk, bevis och åtgärdsförslag
4. Åtgärdsplan (1-2 sidor): Prioriterade åtgärder med tidsramar och ansvariga
5. Bilagor: Skanningsrapporter, intervjuprotokoll, evidens

Klassificera varje fynd med trafikljus: rött för kritisk avvikelse, gult för förbättringsområde och grönt för godkänt. Det ger ledningen en snabb överblick utan att behöva läsa varje detalj.

[UNIQUE INSIGHT] De mest värdefulla fynden i en revision är sällan de rent tekniska. Organisatoriska brister som saknad utbildning, inaktuella policyer eller otestade incidentplaner utgör ofta större risker än en enskild sårbarhet.

Följ upp åtgärdsplanen efter tre månader. Verifiera att kritiska åtgärder är genomförda. Eskalera fördröjda åtgärder till ledningen. Revision utan uppföljning är en pappersprodukt.

IT-säkerhetspolicy mall incidenthanteringsplan

Vanliga frågor om IT-säkerhetsrevision

Hur ofta bör en intern revision genomföras?

Minst en gång per år för en fullständig revision. Organisationer under NIS2 eller ISO 27001 kan behöva halvåriga revisioner av högriskområden. Sårbarhetsskanning bör köras månatligen eller kvartalsvis som komplement till den årliga revisionen.

Kan vi genomföra revisionen helt internt?

Ja, men med förbehåll. ISO 27001 kräver att granskaren är oberoende från de områden som granskas. I små organisationer kan det vara svårt att uppnå full oberoende internt. Överväg att ta in extern hjälp för de mest kritiska områdena.

Vad kostar en extern IT-säkerhetsrevision?

En extern revision kostar typiskt 80 000-250 000 SEK beroende på organisationens storlek och revisionsomfång. För ISO 27001-certifieringsrevision är kostnaden högre, kring 150 000-400 000 SEK. Intern revision är billigare men kräver 40-80 arbetstimmar.

Sammanfattning och nästa steg

En intern IT-säkerhetsrevision är det mest effektiva sättet att hitta sårbarheter innan de utnyttjas. Med 38 procent fler upptäckta brister jämfört med enbart automatiserad skanning (Ponemon, 2024) är den mänskliga bedömningen oförväntat viktig. Kombinera teknik och process för bäst resultat.

Börja med att planera revisionens omfattning och utse ett oberoende team. Använd femstegsmodellen ovan och anpassa efter er storlek. Det viktigaste är inte att revisionen är perfekt, utan att den genomförs och att fynden följs upp med konkreta åtgärder.

utforska Opsios IT-säkerhetstjänster