Wat het rapport is
Een ISAE 3000-rapport wordt afgegeven door een accountantskantoor onder een internationale assurancestandaard. U beschrijft uw systeem en de controles ervan; de auditor toetst of de controles passend zijn opgezet en, in een Type II-rapport, of ze gedurende een periode, meestal een jaar, effectief hebben gewerkt. Het rapport bevat de beschrijving, de controles, de toetsingen en bevindingen van de auditor, en eventuele uitzonderingen. Klanten lezen eerst de uitzonderingen.
Deense en andere Noord-Europese klanten, en hun auditors, vragen ernaar omdat hun eigen auditors erop willen kunnen steunen. Financiële entiteiten onder DORA vragen ernaar als de standaardvorm van onafhankelijke zekerheid over een ICT-aanbieder.
Wat een vragenlijst eromheen vraagt
Hebt u een rapport: de periode die het beslaat, de reikwijdte (welke diensten, welke locaties), de uitzonderingen en hoe u die hebt aangepakt, de uitgesloten subserviceorganisaties (meestal uw hostingaanbieder, om wiens eigen rapport men zal vragen), en of het volgende rapport is gepland. De vragenlijst zelf is dan kort: de rijen die het rapport niet dekt, en alles sinds het einde van de periode.
Hebt u er geen: dan is de vragenlijst een volledige beveiligingsvragenlijst, en die eindigt vaak met “wanneer bent u van plan een assurancerapport te laten opstellen”. Zorg voor een eerlijk antwoord. Veel klanten accepteren een leverancier zonder rapport wanneer de antwoorden concreet zijn en het plan geloofwaardig is.
Voorbereiden op een eerste rapport
De controles die de auditor toetst, zijn de controles die u beschrijft, dus de voorbereiding bestaat uit bepalen welke controles u werkend kunt laten zien: toegangsbeoordelingen met vastlegging, wijzigingsbeheer met goedkeuringen, incidentafhandeling met tickets, back-uptests met logboeken, training met afrondingsregistraties. Het bewijs dat u aan vragenlijsten hebt gehangen, is het bewijs dat de auditor zal toetsen. Een team dat zijn antwoordbibliotheek met datums en bewijs heeft bijgehouden, begint de eerste rapportperiode al georganiseerd.
In Responsemate
Bewaar per controle één goedgekeurd antwoord in de kennisbank, met het bewijs en de datum, en de controles waarvoor u nog nooit een antwoord hebt geschreven, zijn de controles om toe te voegen vóór een assurance-opdracht. Zodra het rapport er is, wordt het bewijs in de kennisbank met een vervaldatum aan het einde van de rapportperiode, en de rijen die ernaar verwijzen, worden eruit opgesteld. Kennis in Responsemate.
Veelgestelde vragen
Wat is het verschil tussen ISAE 3000 en ISAE 3402?
ISAE 3402 is de standaard voor rapporten over controles die relevant zijn voor de financiële verslaggeving van een klant, de Europese tegenhanger van SOC 1. ISAE 3000 dekt zekerheid over al het overige en is de standaard voor rapporten over controles op beveiliging, beschikbaarheid en privacy, de Europese tegenhanger van SOC 2. Een “3000”-rapport is wat een beveiligingsvragenlijst wil zien.
Is een ISAE 3000-rapport hetzelfde als ISO 27001?
Nee. ISO 27001 certificeert dat uw managementsysteem aan de norm voldoet. Een ISAE 3000-rapport is het oordeel van een auditor over de vraag of specifieke controles die u hebt beschreven gedurende een periode effectief hebben gewerkt, met een toets van elke controle. Klanten die hun leveranciers auditen, geven de voorkeur aan het rapport, omdat het de toetsingen laat zien.