IT-Assurance-Prüfungen

Es gibt verschiedene Arten von IT-Sicherheitsberichten. Letztendlich ist es oft die Nachfrage des Kunden (der Nutzerorganisation), die bestimmt, welcher Bericht gewählt wird. Mit anderen Worten: Sie bestimmen gemeinsam mit Ihrem Kunden, welche Art von Assurance-Bericht erstellt werden soll. Was verlangt der Kunde (die Nutzerorganisation) und wofür möchte er eine Assurance und zu welchem Zweck? Eine IT-Zuverlässigkeitserklärung kann zu einer besseren Zusammenarbeit und mehr Vertrauen zwischen der Dienstleistungsorganisation und der Nutzerorganisation führen. Wir unterscheiden die folgenden Arten von IT-Assurance-Berichten:

ISAE 3402:

Eine ISAE 3402-Erklärung ist eine unabhängige Bewertung der Zuverlässigkeit von Finanzen und die zugrunde liegenden Prozesse, die an eine Dienstleistungsorganisation ausgelagert werden. Unternehmen lagern zunehmend Prozesse an Dienstleistungsunternehmen aus (Outsourcing) und sind damit von der Qualität und Kontrolle dieser ausgelagerten Dienstleistungen und Prozesse abhängig. Der Anwendungsbereich von ISAE 3402 ist nicht auf die Kontrollmaßnahmen für die Finanzprozesse beschränkt, sondern auch Themen wie Zuverlässigkeit des Primärprozesses, Informationssicherheit, Verfügbarkeit und Integrität können in einen ISAE 3402-Bericht aufgenommen werden.

ISAE 3000:

Eine ISAE 3000-Erklärung ist eine unabhängige Bewertung eines IT-Prüfers über allgemeine nicht-finanzielle Managementprozesse, einschließlich Prozessen wie Change Management, Incident Management, Service Level Management, Sicherheitsmanagement, Kontinuitätsmanagement, Softwareentwicklung und anderer Prozesse, die zum primären Dienst gehören. Mit einem ISAE-3000-Bericht kann der Kunde nachweisen, dass die internen Managementprozesse tatsächlich wie beschrieben durchgeführt werden, und sicherstellen, dass sie angemessen eingerichtet sind.

SOC 2:

Um als Dienstleistungsorganisation nachzuweisen, dass die an die Dienstleistungsorganisation ausgelagerten Prozesse zuverlässig durchgeführt werden, liefert ein Standard zur Kontrolle von Dienstleistungsorganisationen (SOC 2) eine unabhängige Stellungnahme zu Sicherheit, Verfügbarkeit, Vertraulichkeit, Integrität und/oder Datenschutz. Eine SOC 2-Zusicherung enthält die Kriterien für Vertrauensdienste (Ziele) (ein allgemeiner US-Standardrahmen), die in fünf Kategorien unterteilt sind: Sicherheit, Verfügbarkeit, Vertraulichkeit, Integrität und/oder Datenschutz. SOC 2 bietet einer Dienstleistungsorganisation die Möglichkeit, ihren Kunden einen Einblick in die Kontrollmaßnahmen und -prozesse zu geben, die für die Dienstleistung gelten. Bei einem SOC-2-Audit bewertet DigiTrust die Managementziele und -maßnahmen der Dienstleistungsorganisation.