Qué es el informe
Un informe ISAE 3000 lo emite una firma de auditoría conforme a una norma internacional de aseguramiento. Usted describe su sistema y sus controles. El auditor prueba si los controles están diseñados adecuadamente y, en un informe de Tipo II, si funcionaron eficazmente durante un periodo, normalmente un año. El informe contiene la descripción, los controles, las pruebas y resultados del auditor, y cualquier excepción. Los clientes leen primero las excepciones.
Los clientes daneses y de otros países del norte de Europa, y sus auditores, lo piden porque sus propios auditores quieren apoyarse en ello. Las entidades financieras sujetas a DORA lo piden como la forma estándar de garantía independiente sobre un proveedor de ICT.
Qué pregunta un cuestionario al respecto
Si tiene un informe: el periodo que cubre, el alcance (qué servicios, qué ubicaciones), las excepciones y cómo las abordó, las organizaciones subcontratadas excluidas del alcance (normalmente su proveedor de alojamiento, cuyo propio informe le pedirán) y si está previsto el próximo informe. Entonces el cuestionario en sí es breve: las filas que el informe no cubre y cualquier cambio desde que terminó el periodo.
Si no lo tiene: el cuestionario es un cuestionario de seguridad completo, y a menudo termina con "cuándo tiene previsto obtener un informe de aseguramiento". Tenga una respuesta honesta. Muchos clientes aceptan a un proveedor sin informe cuando las respuestas son específicas y el plan es creíble.
Preparación para un primer informe
Los controles que el auditor prueba son los que usted describe, por lo que la preparación consiste en decidir qué controles puede demostrar que están operando: revisiones de acceso con registros, gestión de cambios con aprobaciones, gestión de incidentes con tickets, pruebas de copias de seguridad con logs, formación con registros de finalización. La evidencia que ha ido adjuntando a los cuestionarios es la evidencia que el auditor probará. Un equipo que ha mantenido su biblioteca de respuestas con fechas y evidencia llega al primer periodo de informe ya organizado.
En Responsemate
Conserve una respuesta aprobada por control en la base de conocimiento, con su evidencia y su fecha, y los controles para los que nunca ha escrito una respuesta son los que hay que añadir antes de un encargo de aseguramiento. Cuando el informe existe, se convierte en evidencia en la base de conocimiento con caducidad al final de su periodo, y las filas que se refieren a él se redactan a partir de él. Conocimiento en Responsemate.
Preguntas que hacen las personas
¿Cuál es la diferencia entre ISAE 3000 e ISAE 3402?
ISAE 3402 es el estándar para informes sobre controles relevantes para la información financiera de un cliente, el equivalente europeo de SOC 1. ISAE 3000 cubre el aseguramiento de cualquier otra cosa, y es el estándar utilizado para informes sobre controles de seguridad, disponibilidad y privacidad, el equivalente europeo de SOC 2. Un informe "3000" es lo que busca un cuestionario de seguridad.
¿Un informe ISAE 3000 es lo mismo que ISO 27001?
No. ISO 27001 certifica que su sistema de gestión cumple la norma. Un informe ISAE 3000 es la opinión de un auditor sobre si controles específicos que usted describió funcionaron eficazmente durante un período, con una prueba de cada uno. Los clientes que auditan a sus proveedores prefieren el informe, porque muestra las pruebas.