It-revisionserklæring (ISAE 3000)
Hvis du har indgået en databehandleraftale med en leverandør, så skal du ofte indhente en ISAE 3000 revisionserklæring ved den pågældende leverandør en gang årligt. Men hvad er en ISAE 3000 revisionserklæring, hvordan læser man den, og hvad skal systemadministrator og systemansvarlig helt konkret gøre med en revisionserklæring?
Hvad er er en ISAE 3000 revisionserklæring?
En ISAE 3000 revisionserklæring handler om leverandørens overholdes af databeskyttelsesforordningen og databeskyttelsesloven - og kaldes derfor også nogle gange for ”GDPR-erklæringen”.
En ISAE 3000 revisionserklæring er resultatet af en revisors tilsyn med din leverandør, og dennes overholdes af jeres databehandleraftale i form af en rapport.
Tilsynet består af en gennemgang af de procedurer og kontroller, som leverandøren har implementeret for at overholde den databehandleraftale, som du har indgået med leverandøren. Der er således en direkte sammenhæng mellem, hvad der står i jeres databehandleraftale, og hvad revisoren gennemgår i sit tilsyn ved leverandøren.
Hvornår skal jeg indhente en ISAE 3000 revisionserklæring?
Det fremgår af din databehandleraftale, om du skal indhente ISAE 3000 erklæring ved din leverandør. Det afhænger af det aftalte tilsyn (revision) med databehandleren (leverandøren).
Det aftalte tilsyn (revision) fremgår af databehandleraftalens pkt. C.7 Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren.
Hvordan læser jeg en ISAE 3000 revisionserklæring?
ISAE 3000-revisionserklæringen kan godt være virke lidt lang og svær at overskue.
Den væsentligste del af erklæringen findes i resultatet af de test, som revisionen har foretaget ved leverandøren oftest kaldet: Oversigt over kontrolmål, kontrolaktivitet, testhandlinger og resultat heraf i erklæringen. Her skal du lægge mærke til kolonnen længst til højre, som hedder Resultat af test – mere specifikt om der er såkaldte ”Afvigelser”.
En afvigelse betyder, at leverandøren ikke lever op til en procedure eller en kontrol, som fremgår af databehandleraftalen.
Eksempel på en afvigelse:
Kontrolmål
Kun medarbejdere med arbejdsbetinget behov har adgang til personoplysninger. Der foreligger formel procedure for adgangsstyring af brugere - herunder oprettelse, begrænsning og nedlæggelse af adgang til personoplysninger, ligesom der løbende følges op på medarbejdernes arbejdsbetingede behov for adgang til personoplysninger. Har en medarbejder ikke længere arbejdsbetinget behov for at tilgå personoplysninger, slettes medarbejderens adgang til oplysningerne.
Revisionens test
Inspektion af medarbejdernes adgang og roller, samt dokumentation for procedure for adgangsstyring.
Resultat af test
Der er konstateret væsentlige afvigelser i leverandørens autorisationskontrol. Flere medarbejdere med adgang til personlysninger var enten ikke længere ansat ved leverandøren eller havde ikke længere arbejdsbetinget behov for adgang til personoplysningerne.
Hvad skal jeg gøre med min ISAE 3000 revisionserklæring?
Ingen afvigelser
Hvis der ikke er anført afvigelser i kolonnen Resultat af test, så behøver du ikke bruge mere tid på denne del af kontrollen.
Afvigelser
Hvis der derimod er anført afvigelser i kontrollen, så skal du gøre følgende to ting:
- For det første skal du tage kontakt til din leverandør og for at få afklaret, hvordan de har tænkt sig at imødegå afvigelserne.
Afvigelserne kommer ikke bag på leverandøren. Så oftest har leverandøren allerede udformet en beskrivelse af, hvad denne har tænkt sig at gøre for at imødegå afvigelserne i revisionserklæringen. Du skal bede leverandøren sende beskrivelsen til dig, hvis du ikke allerede har fået den tilsendt, så du kan journalisere den på din It-sikkerhedssag sammen med revisionserklæringen. - For det andet skal du orientere din systemansvarlige om afvigelserne og om leverandørens plan for at imødegå afvigelserne.
På baggrund af leverandørens plan for at imødegå de konstaterede afvigelser, skal systemadministrator og systemansvarlig vurdere, om der stadig er tillid til leverandørens evne til at behandle kommunens personoplysninger. Hvis I stadig har tillid til leverandøren, så tages ISAE 3000 erklæringen til efterretning, ellers bør I opsige kontrakten.
Journalisering af din ISAE 3000
Når du har gennemgået din ISAE 3000 revisionserklæringen, så skal journalisere den på en sag i kommunens ESDH-system.
Dette gør du ved at oprette en ny administrativ sag med KLE.nr. 85.10.09.K01, og relatere sagen til systemets IT-sikkerhedssag.
Hvad er forskellen på en revisionserklæring og status på revisionserklæring?
En status på en ISAE 3000 revisionserklæring er en opfølgning på håndteringen af afvigelser i leverandørens ISAE 3000 revisionserklæring.
Hvis en leverandør har mange eller alvorlige afvigelser i sin ISAE 3000 revisionserklæring, så kan det måske tage lidt tid, før afvigelserne bliver håndteret af leverandøren. I sådanne tilfælde sender leverandøren status på afvigelserne i deres ISAE 3000 erklæring - oftest i takt med af afvigelserne lukkes.
Status på ISAE 3000 erklæringen er således systemadministrators mulighed for at følge med i leverandørens arbejde med at håndtere afvigelser, da der ingen afvigelser må være i en ISAE 3000 revisionserklæring.
En status på en ISAE 3000 revisionserklæring skal journaliseres på IT-sikkerhedssagen, så systemadministrator og systemansvarlige kan dokumentere fremdrift i leverandørens arbejde med evt. afvigelser i deres ISAE 3000 erklæring.
Har du spørgsmål til vejledningen?
Har du spørgsmål til vejledningen, kan du kontakte digitalisering@middelfart.dk