Was der Bericht ist
Ein ISAE 3000-Bericht wird von einer Wirtschaftsprüfungsgesellschaft nach einem internationalen Prüfungsstandard erstellt. Sie beschreiben Ihr System und seine Kontrollen; der Prüfer testet, ob die Kontrollen angemessen ausgestaltet sind und, bei einem Typ-II-Bericht, ob sie über einen Zeitraum, meist ein Jahr, wirksam funktioniert haben. Der Bericht enthält die Beschreibung, die Kontrollen, die Tests und Ergebnisse des Prüfers sowie etwaige Abweichungen. Kunden lesen die Abweichungen zuerst.
Dänische und andere nordeuropäische Kunden und ihre Wirtschaftsprüfer verlangen ihn, weil ihre eigenen Prüfer sich darauf stützen wollen. Finanzunternehmen unter DORA verlangen ihn als übliche Form einer unabhängigen Bestätigung für einen IKT-Dienstleister.
Was ein Fragebogen dazu abfragt
Wenn Sie einen Bericht haben: den Zeitraum, den er abdeckt, den Umfang (welche Dienste, welche Standorte), die Abweichungen und wie Sie sie behoben haben, die ausgenommenen Subdienstleister (meist Ihr Hosting-Anbieter, dessen eigenen Bericht man verlangen wird) und ob der nächste Bericht geplant ist. Der Fragebogen selbst ist dann kurz: die Zeilen, die der Bericht nicht abdeckt, und alles seit dem Ende des Zeitraums.
Wenn nicht: Der Fragebogen ist ein vollständiger Sicherheitsfragebogen und endet oft mit „Wann planen Sie, einen Prüfbericht einzuholen?“. Halten Sie eine ehrliche Antwort bereit. Viele Kunden akzeptieren einen Lieferanten ohne Bericht, wenn die Antworten konkret sind und der Plan glaubwürdig ist.
Vorbereitung auf einen ersten Bericht
Der Prüfer testet die Kontrollen, die Sie beschreiben; die Vorbereitung besteht also darin zu entscheiden, welche Kontrollen Sie nachweislich in Betrieb zeigen können: Zugriffsprüfungen mit Aufzeichnungen, Änderungsmanagement mit Freigaben, Vorfallbearbeitung mit Tickets, Backup-Tests mit Protokollen, Schulungen mit Abschlussnachweisen. Die Nachweise, die Sie an Fragebögen angehängt haben, sind die Nachweise, die der Prüfer testen wird. Ein Team, das seine Antwortbibliothek mit Datum und Nachweisen gepflegt hat, geht bereits geordnet in den ersten Berichtszeitraum.
In Responsemate
Halten Sie je Kontrolle eine freigegebene Antwort in der Wissensdatenbank, mit Nachweisen und Datum; die Kontrollen, zu denen Sie nie eine Antwort geschrieben haben, sind die, die Sie vor einem Prüfungsauftrag ergänzen sollten. Sobald der Bericht vorliegt, wird er zum Nachweis in der Wissensdatenbank mit Ablauf am Ende seines Zeitraums, und die Zeilen, die sich auf ihn beziehen, werden aus ihm entworfen. Wissen in Responsemate.
Häufige Fragen
Was ist der Unterschied zwischen ISAE 3000 und ISAE 3402?
ISAE 3402 ist der Standard für Berichte über Kontrollen, die für die Finanzberichterstattung eines Kunden relevant sind, das europäische Gegenstück zu SOC 1. ISAE 3000 deckt die Prüfung von allem anderen ab und ist der Standard für Berichte über Sicherheits-, Verfügbarkeits- und Datenschutzkontrollen, das europäische Gegenstück zu SOC 2. Ein „3000“-Bericht ist das, was ein Sicherheitsfragebogen verlangt.
Ist ein ISAE 3000-Bericht dasselbe wie ISO 27001?
Nein. ISO 27001 bescheinigt, dass Ihr Managementsystem die Norm erfüllt. Ein ISAE 3000-Bericht ist das Urteil eines Prüfers darüber, ob bestimmte von Ihnen beschriebene Kontrollen über einen Zeitraum wirksam funktioniert haben, mit einem Test für jede. Kunden, die ihre Lieferanten prüfen, bevorzugen den Bericht, weil er die Tests zeigt.