Ce qu’est le rapport
Un rapport ISAE 3000 est émis par un cabinet d’audit selon une norme internationale d’assurance. Vous décrivez votre système et ses contrôles ; l’auditeur vérifie si les contrôles sont conçus de manière appropriée et, dans un rapport de Type II, s’ils ont fonctionné efficacement sur une période, généralement un an. Le rapport contient la description, les contrôles, les tests et résultats de l’auditeur, ainsi que les éventuelles exceptions. Les clients lisent d’abord les exceptions.
Les clients danois et d’autres clients d’Europe du Nord, ainsi que leurs auditeurs, la demandent parce que leurs propres auditeurs veulent s’appuyer dessus. Les entités financières relevant de DORA la demandent comme la forme standard d’assurance indépendante concernant un fournisseur TIC.
Ce qu’un questionnaire demande à ce sujet
Si vous avez un rapport : la période qu’il couvre, le périmètre (quels services, quels sites), les exceptions et la manière dont vous les avez traitées, les organisations de sous-service exclues du périmètre (généralement votre hébergeur, dont le propre rapport sera demandé), et si le prochain rapport est prévu. Le questionnaire lui-même est alors court : les lignes que le rapport ne couvre pas, et tout ce qui s’est produit depuis la fin de la période.
Si ce n’est pas le cas : le questionnaire est un questionnaire de sécurité complet, et il se termine souvent par « quand prévoyez-vous d’obtenir un rapport d’assurance ». Ayez une réponse honnête. De nombreux clients acceptent un fournisseur sans rapport lorsque les réponses sont spécifiques et que le plan est crédible.
Se préparer à un premier rapport
Les contrôles que l’auditeur teste sont ceux que vous décrivez. La préparation consiste donc à décider quels contrôles vous pouvez montrer en fonctionnement : revues d’accès avec enregistrements, gestion des changements avec approbations, gestion des incidents avec tickets, tests de sauvegarde avec journaux, formation avec relevés de complétion. Les preuves que vous avez jointes aux questionnaires sont les preuves que l’auditeur testera. Une équipe qui a tenu sa bibliothèque de réponses avec des dates et des preuves aborde déjà organisée la première période de rapport.
Dans Responsemate
Gardez une réponse approuvée par contrôle dans la base de connaissances, avec sa preuve et sa date, et les contrôles pour lesquels vous n’avez jamais écrit de réponse sont ceux à ajouter avant une mission d’assurance. Quand le rapport existe, il devient une preuve dans la base de connaissances, avec une expiration à la fin de sa période, et les lignes qui s’y réfèrent sont rédigées à partir de lui. Les connaissances dans Responsemate.
Questions fréquentes
Quelle est la différence entre ISAE 3000 et ISAE 3402 ?
ISAE 3402 est la norme pour les rapports sur les contrôles pertinents pour l’information financière d’un client, l’équivalent européen de SOC 1. ISAE 3000 couvre les missions d’assurance sur tout le reste, et c’est la norme utilisée pour les rapports sur les contrôles de sécurité, de disponibilité et de protection de la vie privée, l’équivalent européen de SOC 2. Un rapport « 3000 » est ce qu’attend un questionnaire de sécurité.
Un rapport ISAE 3000 est-il équivalent à ISO 27001 ?
Non. ISO 27001 certifie que votre système de management respecte la norme. Un rapport ISAE 3000 est l’opinion d’un auditeur sur l’efficacité opérationnelle, sur une période donnée, de contrôles précis que vous avez décrits, avec un test pour chacun. Les clients qui auditent leurs fournisseurs préfèrent le rapport, car il montre les tests.