Mehrere Kunden möchten, dass ein Unternehmen seine Sicherheitskontrollen auf effektive Funktionsweise überprüft und haben eine unabhängige Meinung angefordert. Welches der folgenden ist der effizienteste Weg, um diese Anfragen zu bearbeiten?

Ein Attestierungsbericht eines Drittanbieters (z. B. SOC 2) ist der effizienteste Weg, da er eine unabhängige Bewertung der Sicherheitskontrollen des Unternehmens durch einen externen Prüfer darstellt. Dieser Bericht kann mehreren Kunden gleichzeitig vorgelegt werden und erfüllt deren Anforderung nach einer unabhängigen Meinung über die Wirksamkeit der Sicherheitskontrollen. Ein Penetrationstest bewertet nur die Ausnutzbarkeit von Schwachstellen und bietet keine umfassende Bewertung der Kontrollwirksamkeit. Eine jährliche Selbstbewertung ist nicht unabhängig und erfüllt daher nicht die Anforderung der Kunden nach einer externen Meinung. Jedem Kunden das Recht auf Audit einzuräumen, wäre ineffizient und würde zu redundanten Audits führen, was sowohl für das Unternehmen als auch für die Kunden zeitaufwendig und kostspielig wäre.