Una funzione di audit è un ruolo di revisione indipendente che esamina se i controlli sono progettati bene, applicati in modo coerente e supportati da evidenze. Nella sicurezza informatica, questo significa verificare aspetti come revisioni degli accessi, logging, patching, test dei backup, registri della risposta agli incidenti ed eccezioni alle policy. L'indipendenza è importante: gli auditor non dovrebbero possedere i sistemi che valutano, così possono verificare i controlli senza conflitti di interesse.
La funzione di audit è importante perché molti attacchi riescono dove i controlli sono deboli, incoerenti o non documentati. Una buona revisione di audit può mettere in evidenza evidenze mancanti, privilegi eccessivi, piani di ripristino non testati o lacune tra policy e pratica. In ambito difensivo, aiuta le organizzazioni a rilevare derive dei controlli, dare priorità alle correzioni e dimostrare a regolatori, clienti e assicuratori che la gestione del rischio è reale, non solo scritta. In ambienti connessi, l'audit aiuta anche a combinare le evidenze provenienti da operations, finanza, legale e sicurezza in un'unica visione dell'esposizione.