Auditområder hos leverandøren

Når omfanget er aftalt, skal auditten ned i de enkelte områder hos leverandøren. Artiklerne her tager dem ét ad gangen og beskriver for hvert område, hvilket spor leverandøren efterlader, og hvordan I prøver det med en stikprøve, et udtræk eller en observation. Målestokken er hele vejen jeres aftale. Den tekniske kontrol af konfigurationer og systemer er beskrevet på sitet om teknisk audit, så her handler det om leverandørens rutiner og det bevis, en kunde kan forlange.

Adgange og personer

• Til- og fratrædelser hos leverandøren: hvem har stadig adgang? Adgangsregisteret holdt op mod listen over fratrådte.
• Leverandørens medarbejdere og konsulenter: baggrundstjek, fortrolighed og uddannelse Personlisten, fortroligheden og procedurerne, der følges.
• Hænger sikkerheden på én person? Det, en kunde kan afgøre udefra om leverandørens sikkerhedsledelse Fire punkter, som hvert kan belægges med et dokument.

Data, backup og logning

• Leverandørens backup af jeres data: gendannelsen som bevis, og dommen fra 2024 En dateret gendannelse vejer tungere end en kopi hver nat.
• Kan I få loggen, når det gælder? En afprøvning: bestil et udtræk, mål tiden, vurdér indholdet Bestil udtrækket og tag tid på svaret.
• Adskillelse mellem kunder: hvor ligger jeres data, og hvem kan se dem? Lager, adgangsstyring og administrationsnet, som deles.

Drift, ændringer og hændelser

• Ændringsstyring hos leverandøren: godkendelse, test og tilbagerulning Tre spørgsmål stillet til et udvalg af ændringssager.
• Sårbarhedshåndtering og opdateringer hos leverandøren: frister og sporbarhed

• Softwarekomponentlisten som bevis i en leverandøraudit Hver sårbarhed fulgt fra opdagelse til rettelse.
• Hændelseshåndtering og underretning: kontrol af plan, øvelse og faktiske sager Underretningsfristen prøvet på tre kilder.
• Leverandørens beredskab og driftskontinuitet: planer, øvelser og bevis Øvelse, evaluering og jeres ydelses plads i den.

Kæden og stedet

• Underleverandører: sådan auditerer I kæden bag leverandøren Leverandørens eget tilsyn er det, I efterprøver.
• Besøget hos leverandøren: de observationer på stedet, der har bevisværdi Det, et dokument ikke kan vise, noteret med dato og vidner.

Mønstrene på tværs

• Fund, der kun opstår mellem kunde og leverandør Fire områder, hvor offentliggjorte sager peger hen.

Sådan bruger I siden

Vælg områderne ud fra jeres egen leverance. En driftsleverandør med administratoradgang skal typisk igennem adgange, ændringer og backup, mens en SaaS-tjeneste først og fremmest skal vise adskillelsen mellem kunder og vejen ud med data. Læs artiklen om de fund, der går igen, inden planen lægges fast. Den peger på de områder, hvor kontrol oftest mangler.

Hvad det kræver, og hvad det koster at lade være

Hvert område kræver, at leverandøren kan finde et konkret spor frem, og at I har tid til at følge en stikprøve til ende. Uden stikprøverne står I tilbage med leverandørens beskrivelse af egne rutiner, og den fortæller intet om, hvorvidt rutinerne bliver fulgt på jeres miljø.

Det skal I lade være med

• At nøjes med en procedure som bevis · bed om sagerne, der viser den i brug.
• At tage alle områder med hver gang · vælg dem, jeres leverance afhænger af.
• At glemme jeres egen andel · nogle kontroller ligger hos jer selv.

Det skal auditten kunne vise

• ☐ Hvilke områder der er gennemgået, og hvorfor netop de.
• ☐ Stikprøverne med dato, antal og resultat.
• ☐ Afvigelser fra aftalens frister, område for område.
• ☐ Observationerne fra et eventuelt besøg.

Senest gennemgået: november 2026.

Næste skridt

• Til- og fratrædelser hos leverandøren
• Leverandørtyper

Læs også: Forberedelse og omfang · Fund, rapport og opfølgning

→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT