所谓安全审计，是指评估企业安全风险以及如何应对风险措施的一个过程。这是一个人为的过程，有一群拥有相关计算机专业技能和商业知识的审计人员操作进行。作为审计的一个过程，审计人员会询问关键职员，实施漏洞评估，给现有的安全政策和控制造册，检查IT资产。很多情况下，审计很大程度上有赖于技术工具。

安全审计的焦点问题如下：

1. 密码是否牢靠?

2. 网络是否有访问控制清单?

3. 访问日志是否记录了访问数据的人员?

4. 个人电脑是否经常扫描广告软件和恶意软件?

5. 谁有权访问组织中的备份存储媒介?

当然以上只是例举了一小部分问题。

审计不是一个短期的静止的过程，而是一个连续不断需要提高的过程。一些评论家说，审计的焦点应该在于评估企业现行的安全政策是否兼容一致。当然，审计不仅仅是评估兼容性问题，还有企业安全政策和控制本身。很多时候，企业一些老旧的管理规定赶不上新的技术的发展。安全审计是最有效的办法。