Der Chief Information Officer (CIO) bat einen Anbieter um Dokumentation, die die spezifischen Ziele innerhalb des Compliance-Frameworks detailliert beschreibt, die die Dienste des Anbieters erfüllen. Der Anbieter legte einen Bericht und ein unterzeichnetes Schreiben vor, aus dem hervorgeht, dass die Dienste 17 der 21 Ziele erfüllen. Was von den folgenden hat der Anbieter dem CIO zur Verfügung gestellt?

Der Anbieter hat eine Konformitätsbescheinigung vorgelegt. Dies ist ein formelles Dokument, das bestätigt, dass ein Produkt, System oder eine Dienstleistung bestimmte Standards, Vorschriften oder Spezifikationen erfüllt. Im vorliegenden Fall bestätigt der Bericht und das unterzeichnete Schreiben, dass die Dienste des Anbieters 17 der 21 Compliance-Ziele erfüllen. Ein Penetrationstest würde Schwachstellen aufdecken, nicht die Erfüllung von Compliance-Zielen. Eine Selbsteinschätzung wäre eine interne Bewertung durch den Anbieter selbst, aber die Anfrage des CIO zielte auf eine formelle Dokumentation ab, die über eine bloße Selbsteinschätzung hinausgeht, insbesondere wenn ein unterzeichnetes Schreiben und ein Bericht vorgelegt werden. Ein Prüfbericht eines Drittanbieters würde eine unabhängige Überprüfung durch eine externe Partei bedeuten, was hier nicht explizit erwähnt wird.