Hvad rapporten er
En ISAE 3000-rapport udstedes af et revisionsfirma efter en international erklæringsstandard. Du beskriver dit system og dets kontroller. Revisoren tester, om kontrollerne er hensigtsmæssigt udformet, og i en Type II-rapport, om de fungerede effektivt over en periode, som regel et år. Rapporten indeholder beskrivelsen, kontrollerne, revisorens test og resultater samt eventuelle afvigelser. Kunder læser afvigelserne først.
Danske og andre nordeuropæiske kunder samt deres revisorer beder om det, fordi deres egne revisorer vil kunne lægge det til grund. Finansielle virksomheder under DORA beder om det som standardformen for uafhængig erklæring om en IKT-leverandør.
Hvad et spørgeskema spørger om i den forbindelse
Hvis du har en rapport: perioden den dækker, omfanget (hvilke tjenester, hvilke lokationer), undtagelserne og hvordan du håndterede dem, de underleverandører, der er afgrænset fra rapporten (typisk din hostingudbyder, hvis egen rapport de vil bede om), og om den næste rapport er planlagt. Selve spørgeskemaet er så kort: de rækker, rapporten ikke dækker, og alt siden perioden sluttede.
Hvis du ikke har det: Spørgeskemaet er et fuldt sikkerhedsspørgeskema, og det slutter ofte med "when do you plan to obtain an assurance report". Hav et ærligt svar klar. Mange kunder accepterer en leverandør uden en rapport, når svarene er konkrete, og planen er troværdig.
Forberedelse til en første rapport
De kontroller, revisoren tester, er dem, du beskriver, så forberedelsen handler om at beslutte, hvilke kontroller du kan vise i drift: adgangsgennemgange med registreringer, ændringsstyring med godkendelser, hændelseshåndtering med tickets, backuptest med logfiler, træning med registreringer af gennemførelse. Den dokumentation, du har vedhæftet til spørgeskemaer, er den dokumentation, revisoren vil teste. Et team, der har vedligeholdt sit svarbibliotek med datoer og dokumentation, går ind i den første rapportperiode allerede organiseret.
I Responsemate
Behold ét godkendt svar pr. kontrol i vidensbasen med dokumentation og dato, så er de kontroller, du aldrig har skrevet et svar på, dem, der skal tilføjes før en erklæringsopgave. Når rapporten findes, bliver den dokumentation i vidensbasen med udløb ved periodens slutning, og de rækker, der henviser til den, udarbejdes ud fra den. Viden i Responsemate.
Spørgsmål, folk stiller
Hvad er forskellen på ISAE 3000 og ISAE 3402?
ISAE 3402 er standarden for rapporter om kontroller, der er relevante for en kundes finansielle rapportering, den europæiske pendant til SOC 1. ISAE 3000 dækker erklæring om alt andet og er den standard, der bruges til rapporter om sikkerheds-, tilgængeligheds- og privatlivskontroller, den europæiske pendant til SOC 2. En "3000"-rapport er det, et sikkerhedsspørgeskema efterspørger.
Er en ISAE 3000-rapport det samme som ISO 27001?
Nej. ISO 27001 certificerer, at dit ledelsessystem opfylder standarden. En ISAE 3000-rapport er en revisors erklæring om, hvorvidt de specifikke kontroller, du har beskrevet, har fungeret effektivt over en periode, med en test af hver enkelt. Kunder, der reviderer deres leverandører, foretrækker rapporten, fordi den viser testene.