Skrifborðsúttekt felur í sér að Fjarskiptastofa fer yfir skjöl og önnur gögn. Slík yfirferð er oft grunnur að frekara mati. Gögnin sem yfirfarin eru geta meðal annars verið:

• öryggisstefnur og tengd skjöl

• áhættumat og valdar öryggisráðstafanir

• neyðaráætlanir og viðbragðsáætlanir

• upplýsingar um hlutverk og ábyrgðarskiptingu starfsmanna

• verklagsreglur og verklýsingar

• lýsingar á hönnun og uppbyggingu kerfa

• niðurstöður innri prófana og úttekta utanaðkomandi aðila

Með þessari yfirferð fær Fjarskiptastofa yfirsýn yfir hvernig netöryggi er skipulagt, skjalfest og framkvæmt hjá viðkomandi aðila.

Viðtöl eru ein af þeim aðferðum sem Fjarskiptastofa notar í eftirliti. Þau geta staðið ein og sér eða verið notuð með skrifborðsúttekt.

Í viðtölum er hægt að fá nánari upplýsingar um ferli, verklag og áskoranir. Þau geta varpað ljósi á atriði sem koma ekki alltaf skýrt fram í skjölum.

Fjöldi viðmælenda fer eftir stærð fyrirtækis og því hvernig ábyrgð á net- og upplýsingakerfum skiptist milli starfsmanna.

Vettvangsskoðun felur í sér að farið er á staðinn, til dæmis í kerfi, gagnaver eða tækjarými, til að kanna hvort öryggisráðstafanir séu til staðar og virki eins og þeim er ætlað.

Með vettvangsskoðun er hægt að staðfesta atriði sem sjást ekki alltaf í skjölum eða viðtölum, til dæmis aðgangsstýringar, líkamlegt öryggi, búnað og verklag í framkvæmd.

Skoðunin getur verið framkvæmd af starfsfólki Fjarskiptastofu eða sérfræðingum sem vinna fyrir stofnunina.

Tæknilegar prófanir eru notaðar til að kanna hvort öryggisráðstafanir virki eins og þær eiga að gera. Dæmi um slíkar prófanir eru veikleikaskönnun og innbrotsprófanir.

Ákveðið er hvað á að prófa út frá:

• stöðu netöryggis hjá viðkomandi aðila

• niðurstöðum sjálfsmats og úttektar

• fyrri prófunum

• rannsóknum á öryggisatvikum

Veikleikaskönnun er notuð til að finna veikleika í kerfum, búnaði og verklagi. Það getur til dæmis verið:

• tæknilegir veikleikar í búnaði eða hugbúnaði

• skortur á réttu verklagi

• rangt stillt eða úrelt kerfi

Í innbrotsprófun reynir prófunaraðili að komast fram hjá öryggisráðstöfunum með svipuðum hætti og árásaraðili myndi gera. Markmiðið er að kanna hvort hægt sé að:

• brjóta öryggisráðstafanir

• finna veikleika sem hægt væri að misnota

• kanna hvort hægt sé að valda truflun eða rofi á þjónustu

Prófanir eru yfirleitt framkvæmdar í samráði við fyrirtækið eða rekstraraðilann. Það styður við gagnsæi, öryggi og góða eftirfylgni með niðurstöðum.

Fjarskiptastofa notar samræmda matsaðferð og einkunnagjöf þegar stofnunin metur öryggi hjá fjarskiptafyrirtækjum og rekstraraðilum stafrænna grunnvirkja. Með því er hægt að bera saman niðurstöður á skýran og sambærilegan hátt.

Samræmt mat hjálpar Fjarskiptastofu að fá betri yfirsýn yfir stöðu öryggismála og tryggir að sömu sjónarmið gildi um alla sem eru undir eftirliti.

Úttektir og prófanir beinast að þeim þáttum þar sem áhættan er mest. Það þýðir að ekki er alltaf metið allt sem lög eða staðlar taka til, heldur þau atriði sem skipta mestu máli hverju sinni. Dæmi um slíka afmörkun er mat á fylgni við ákvæði í netöryggislögum um skipulagslegar ráðstafanir. Það ákvæði skiptist í fimm afmarkaða skoðunarliði.

Einkunnirnar byggja á fyrirfram skilgreindum viðmiðum og eru notaðar til að auðvelda yfirsýn og samanburð á niðurstöðum.

Í töflunni hér fyrir neðan má sjá hvað einkunnirnar 0 til 3 þýða.