ISAE3402 TYPE II

Als u IT diensten uitbesteedt dan wilt u garanties dat de leverancier beheersmaatregelen heeft genomen om risico's te beperken. Axxerion heeft een ISAE3402 Type II certificatie voor ontwikkeling en hosting van cloud-based software. Dit betekent dat systemen en procedures voor het beheersen van risico's zijn gedocumenteerd, geïmplementeerd en effectief zijn geweest volgens een onafhankelijke auditor. ISAE3402 is een internationale standaard die SAS 70 per 15 juni 2011 vervangen heeft. De beheersmaatregelen hebben betrekking op de volgende onderdelen:

Configuration management: Beheersmaatregelen die zorgen dat logische en fysieke componenten van de infrastuctuur geregistreerd en gedocumenteerd zijn. Dit betreft informatie over producten, leveranciers, garantie, locatie, afhankelijkheden en wijzigingen.

Incident management: Beheersmaatregelen om te zorgen dat incidenten tijdig geregistreerd, geëvalueerd en opgevolgd worden. Dit betreft onder andere het gebruik van incident management workflows, problem management, installatie van updates en monitoring.

Change management: Beheersmaatregelen die garanderen dat wijzigingen geauthoriseerd, getest en gedocumenteerd worden. Dit betreft gebruik van source code control, automatisch en handmatig testen, gescheiden omgevingen voor ontwikkeling, testen, acceptatie en productie en change management workflows.

Continuity management: Beheersmaatregelen zorgen dat applicaties en data regelmatig gebackuped worden en dat er redundante systemen zijn in het geval van problemen met hardware en software. Dit betreft gebruik van een gecertificeerd datacentrum, een disaster recovery site, source code escrow en monitoring.

Beveiliging management: Beheersmaatregelen die zorgen dat toegang tot systemen en data afdoende beveiligd is. Dit betreft gebruik van firewalls, data encryptie, role-based access, monitoring en audit trails.

Een ISAE3402 TypeII verklaring is met name van belang voor organisaties die moeten voldoen aan de Sarbanes-Oxley Act (SOX compliance), waaronder alle ondernemingen die geregistreerd zijn bij de Securities and Exchange Commission (SEC). Als een dienstverlener geen ISAE3402 auditor report kan overleggen moet het management zelf een evaluatie van de beheersmaatregelen uitvoeren.