Vad rapporten är
En ISAE 3000-rapport utfärdas av en revisionsbyrå enligt en internationell bestyrkandestandard. Du beskriver ditt system och dess kontroller; revisorn testar om kontrollerna är lämpligt utformade och, i en Type II-rapport, om de fungerat effektivt under en period, vanligen ett år. Rapporten innehåller beskrivningen, kontrollerna, revisorns tester och resultat samt eventuella avvikelser. Kunder läser avvikelserna först.
Danska och andra nordeuropeiska kunder, och deras revisorer, ber om den för att deras egna revisorer vill kunna förlita sig på den. Finansiella aktörer under DORA ber om den som standardformen för oberoende bestyrkande av en IKT-leverantör.
Vad ett frågeformulär frågar runt den
Om du har en rapport: perioden den täcker, omfattningen (vilka tjänster, vilka platser), avvikelserna och hur du hanterade dem, de underleverantörsorganisationer som undantagits (oftast din hostingleverantör, vars egen rapport de kommer att be om) och om nästa rapport är planerad. Själva frågeformuläret blir då kort: raderna rapporten inte täcker, och allt som hänt sedan perioden tog slut.
Om du inte har någon: frågeformuläret är ett fullständigt säkerhetsfrågeformulär, och det slutar ofta med ”när planerar ni att skaffa en bestyrkanderapport”. Ha ett ärligt svar. Många kunder godtar en leverantör utan rapport när svaren är specifika och planen trovärdig.
Förbereda en första rapport
Kontrollerna revisorn testar är de du beskriver, så förberedelsen handlar om att avgöra vilka kontroller du kan visa i drift: behörighetsgranskningar med protokoll, ändringshantering med godkännanden, incidenthantering med ärenden, backuptester med loggar, utbildning med genomförandeunderlag. Underlaget du har bifogat till frågeformulär är det underlag revisorn kommer att testa. Ett team som hållit sitt svarsbibliotek med datum och underlag går in i den första rapportperioden redan organiserat.
I Responsemate
Håll ett godkänt svar per kontroll i kunskapsbasen, med dess underlag och dess datum, och de kontroller du aldrig skrivit ett svar för är de som ska läggas till före ett bestyrkandeuppdrag. När rapporten finns blir den underlag i kunskapsbasen med utgångsdatum vid periodens slut, och raderna som hänvisar till den får sina utkast från den. Kunskap i Responsemate.
Vanliga frågor
Vad är skillnaden mellan ISAE 3000 och ISAE 3402?
ISAE 3402 är standarden för rapporter om kontroller som är relevanta för en kunds finansiella rapportering, den europeiska motsvarigheten till SOC 1. ISAE 3000 täcker bestyrkande av allt annat och är den standard som används för rapporter om kontroller för säkerhet, tillgänglighet och integritet, den europeiska motsvarigheten till SOC 2. En ”3000”-rapport är vad ett säkerhetsfrågeformulär vill ha.
Är en ISAE 3000-rapport detsamma som ISO 27001?
Nej. ISO 27001 certifierar att ditt ledningssystem uppfyller standarden. En ISAE 3000-rapport är en revisors uttalande om huruvida specifika kontroller du beskrivit fungerat effektivt under en period, med ett test av var och en. Kunder som granskar sina leverantörer föredrar rapporten, eftersom den visar testerna.