Topp 11 frågeformulär för bedömning av IT-leverantörer 2023

Affärspartnerskap kräver förtroende, men det är svårt att veta vilka leverantörer du kan lita på för att skydda dina kunders PII och PHI. Med informationsteknikens framväxt finns det otaliga sätt som förtroendet kan brytas, oavsett om det är avsiktligt eller oavsiktligt.

Som utgångspunkt behöver du ytterligare information om informationssäkerhetspolicyer, interna säkerhetsrutiner, incidenthantering och haveriberedskapsplaner samt eventuella tidigare säkerhetsincidenter.

Frågeformulär för leverantörssäkerhetsbedömning är en metod för att verifiera att tjänsteleverantörer har ett lämpligt säkerhetsprogram på plats.

Ta en rundtur i UpGuards riskbedömningsfunktioner >

Problemet är att bästa praxis för cybersäkerhet och informationssäkerhet (InfoSec) är i ständig förändring.

Nya ramverk för leverantörsenkäter introduceras dagligen på, vad som känns som. Var och en har sina egna användningsfall, fördelar och nackdelar.

Med det sagt har vi utforskat tidigare att planering av din process för frågeformulär för leverantörssäkerhet och användning av en mall för frågeformulär för leverantörsriskbedömning kan effektivisera processer för leverantörsintroduktion och riskbedömning, vilket sparar tid och pengar.

Dessutom är leverantörsriskhantering en viktig del av att minska risken för tredje part och fjärde part, minska cyberrisken och förhindra dataintrång som involverar tredjepartsleverantörer och tjänsteleverantörer.

Problemet som du och många andra som arbetar med riskhantering från tredje part (TPRM) står inför är att i takt med att fler säkerhetsbedömningar av leverantörer har introducerats har det blivit svårare att förstå vilka ramverk för leverantörsbedömning som ska användas, vid vilken tidpunkt och för vilken tredje part.

På UpGuard är det en del av vårt jobb att förenkla hanteringen av säkerhetsrisker. Därför har vi sammanställt en lista över tio av de vanligaste frågeformulären som används i säkerhetsbedömningar av IT-leverantörer idag.

Vi anser att riskhantering från tredje part är för viktigt för att lämnas åt slumpen, vilket är anledningen till att vi utvecklade UpGuard Vendor Risk, en robust plattform för leverantörsriskhantering som använder säkerhetsbetyg i kombination med ett bibliotek med förbyggda frågeformulär för att hjälpa dig att få djup insikt i leverantörssäkerhet och förbättra din täckning utan att öka antalet anställda.

Vår enkätmodul hjälper dig att skicka enkäter, förbättrar din granskningsprocess och sparar ifyllda frågeformulär på plattformen, vilket säkerställer att de alltid är tillgängliga.

Förutom säkerhetsfrågeformulär ger säkerhetsklassificeringar omedelbar försäkran om säkerhetskontroller och kontinuerlig övervakning av alla leverantörers externa säkerhetsstatus. Läs mer om varför säkerhetsklassificeringar är viktiga och hur de kompletterar säkerhetsenkäter här.

Topp 11 frågeformulär för bedömning av IT-leverantörer 2023

1. Frågeformulär enligt California Consumer Privacy Act (CCPA)

California Consumer Privacy Act (CCPA) eller AB 375 är en ny lag som trädde i kraft den 1 januari 2020 och som är utformad för att förbättra konsumenternas integritetsrättigheter och skyddet för invånare i delstaten Kalifornien genom att införa regler för hur företag hanterar deras personuppgifter.

CCPA är den mest omfattande lagstiftningen om konsumentintegritet som antagits i USA och är besläktad med EU:s allmänna dataskyddsförordning (GDPR) och andra dataskyddslagar och sekretessbestämmelser.

Liksom GDPR är CCPA en extraterritoriell lag som gäller för alla organisationer, oavsett om de är verksamma i Kalifornien eller inte.

Läs vår fullständiga guide om CCPA->

2. Centrum för Internetsäkerhet - CIS Critical Security Controls (CIS First 5/CIS Top 20)

CIS-kontrollerna för effektivt cyberförsvar är en prioriterad uppsättning åtgärder som utgör en djupgående uppsättning specifika och användbara bästa praxis för att mildra de vanligaste cyberattackerna.

De skapades och underhålls av Center for Internet Security (CIS), en framåtblickande ideell organisation som utnyttjar kraften i en global IT-gemenskap för att skydda offentliga och privata organisationer mot cyberhot.

CIS-kontrollerna förkroppsligar de första stegen för att säkerställa konfidentialiteten, integriteten och tillgängligheten i en organisation, och kan betraktas som en kortlista över högprioriterade, mycket effektiva defensiva åtgärder för alla leverantörer som vill förbättra sitt cyberförsvar.

De första fem CIS-kontrollerna kallas ofta för att tillhandahålla cyberhygien och studier har visat att deras implementering ger ett effektivt försvar mot de vanligaste cyberattackerna (~85 % av attackerna).

Dessutom mappar CIS-kontrollerna till många viktiga efterlevnadsramverk och regelstandarder som NIST Cybersecurity Framework, NIST 800-53, ISO 27000-serien och föreskrifter som PCI DSS, HIPAA, NERC CIP och FISMA.

Läs vår kompletta guide om kritiska CIS-säkerhetskontroller här.

3. Cloud Security Alliance - Frågeformulär för initiativ för konsensusbedömningar (CAIQ)

Consensus Assessments Initiative Questionnaire (CAIQ) är en säkerhetsbedömning som tillhandahålls av Cloud Security Alliance (CSA), en ledande organisation som arbetar med att definiera och öka medvetenheten om bästa praxis för säker molnbaserad databehandling. CAIQ hjälper molnkonsumenter och revisorer att bedöma informationssäkerhetskapaciteten hos datacenter- och molnleverantörer.

CAIQ skapades för att ta itu med ett av de största problemen som organisationer har när de flyttar till molnet, nämligen bristen på insyn i vilka tekniker och taktiker molnleverantörer implementerar i förhållande till dataskydd och riskhantering.

>

Den tillhandahåller allmänt accepterade branschstandarder för att dokumentera säkerhetskontroller i IaaS-, PaaS- och SaaS-erbjudanden.

CAIQ gör detta genom en serie "Ja/Nej"-frågor som är utformade för att fastställa överensstämmelse med CSA Cloud Controls Matrix (CCM), som består av 133 kontrollmål strukturerade över 16 domäner som täcker alla viktiga aspekter av molnteknik.

Läs vår kompletta guide om CAIQ här.

4. Frågeformulär enligt den allmänna dataskyddsförordningen (GDPR)

Den allmänna dataskyddsförordningen (GDPR) är en extraterritoriell europeisk lag som gäller för behandling, lagring och exponering av personligt identifierbar information (PII) om europeiska medborgare.

Efterlevnad av GDPR innebär också efterlevnad av andra integritetslagar som CCPA, LGPD, SHIELD Act, FIPA och PIPEDA.

Medan många organisationer vet att de måste behandla data i enlighet med GDPR, glömmer många att GDPR enbart fokuserar på data, vilket innebär att all kunddata som passerar eller lagras hos en leverantör också måste följa GDPR.

Dessutom kräver GDPR att organisationer rapporterar dataintrång inom 72 timmar till den utsedda dataskyddsmyndigheten (DPA), som kommer att hantera de rättsliga konsekvenserna av dataexponeringen, vilket kan resultera i böter på upp till 20 miljoner euro eller 4 % av de årliga globala intäkterna, beroende på vilket som är högst.

För att få insyn i din leverantörs efterlevnad av GDPR måste du utveckla ett robust GDPR-frågeformulär eller använda det som finns tillgängligt på UpGuard-plattformen.

5. Verktyg för bedömning av leverantörer inom högre utbildning - (HECVAT/HECVAT Lite)

Higher Education Community Vendor Assessment Tool (HECVAT) är en mall för säkerhetsbedömning som generaliserar frågor om informationssäkerhet och dataskydd inom högre utbildning, samt frågor om molntjänster för konsekvens och användarvänlighet.

HECVAT har olika versioner som är gratis att använda och ger ett konsekvent, strömlinjeformat ramverk för riskbedömning från tredje part:

  • HECVAT: 265 uppsättningar frågor, inklusive kvalificerande frågor för HIPAA och PCI-DSS-opt-in
  • HECVAT Lite: Ett lätt frågeformulär som används för att påskynda processen
  • Lokalt: Ett unikt frågeformulär som används för att utvärdera applikationssäkerhet på plats.

Lär dig hur du följer HECVAT.

HECVAT skapades av Higher Education Information Security Council (HEISC) Shared Assessment Working Group, EDUCAUSE, Internet2 och Research and Education Networking Information Sharing and Analysis Center (REN-ISAC).

Läs vår fullständiga guide om HECVAT här.

6. ISO 27001 Frågeformulär

ISO/IEC 27001 är en av de mest välkända och välanvända standarderna för informationssäkerhet och är en del av ISO/IEC 27000-familjen av standarder. Den publiceras av International Organization for Standardization (ISO) och International Electrotechnical Commission (IEC).

ISO 27001 har ett systematiskt tillvägagångssätt för hantering av leverantörsrisker genom att köra standardriskbedömning och efterlevnadskontroller och sedan ge förslag och handlingsplaner för att behandla och förebygga problem i framtiden.

En av de största fördelarna med att använda ISO 27001-frågeformuläret är att det proaktivt identifierar hur leverantörer använder resurser och verktyg på fel sätt, vilket ofta är det som leder till brister i efterlevnaden och säkerhetshot i första hand.

Lär dig hur du väljer programvara för automatisering av säkerhetsformulär.

7. Frågeformulär om modernt slaveri

Modern Slavery Questionnaire är i linje med Australiens Modern Slavery Bill 2018 och Storbritanniens Modern Slavery Act 2015.

Den är utformad för att hjälpa dig att identifiera eventuella risker för modernt slaveri, möjliggöra samarbete mellan tredje part och organisationer för att hantera riskerna, förbättra transparensen och identifiera områden för ytterligare due diligence.

8. Nationella institutet för standarder och teknik - NIST SP 800-171

NIST Special Publication 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations (NIST SP 800-171) förser federala myndigheter med en uppsättning riktlinjer som är utformade för att säkerställa att kontrollerad oklassificerad information (CUI) förblir konfidentiell, tillgänglig och oförändrad i icke-federala system och organisationer.

NIST SP 800-171 innehåller 14 specifika säkerhetsmål, vart och ett med en mängd unika kontroller.

Alla federala myndigheter som samarbetar med tredje part och alla icke-federala system eller organisationer som används av federala myndigheter måste följa NIST 800-171. De höga standarderna för säkerhetsåtgärder som skyddar känsliga data i leverantörsnätverket gör NIST 800-171 effektivt för att minska risken för attacker i leveranskedjan.

Genom att följa NIST SP 800-171 kommer du också att uppfylla majoriteten av kriterierna för NIST SP 800-53 och efterlevnad av NIST SP 800-53 är en viktig del av FISMA- och FedRAMP-efterlevnad.

Även om NIST SP 800-171 främst fokuserar på företag som arbetar under ett statligt kontrakt, representerar det en samlad insats för att förbättra cybersäkerheten på nationell nivå och är ett detaljerat ramverk som kan användas av alla organisationer som vill förbättra sin cybersäkerhetsställning.

Läs vår fullständiga guide om NIST SP 800-171.

9. Grupp för delade bedömningar - Standardiserat frågeformulär för insamling av information (SIG/SIG-Lite)

Frågeformuläret Standardized Information Gathering (SIG) används för att utföra en första bedömning av leverantörer och samla in information för att avgöra hur säkerhetsrisker hanteras inom 18 olika riskdomäner.

SIG har utvecklats av Shared Assessments och är ett holistiskt verktyg för riskhanteringsbedömningar av cybersäkerhet, IT, integritet, datasäkerhet och affärsresiliens.

Det finns tre typer av SIG-frågeformulär:

  1. SIG-frågeformulär: SIG-utvärderingen utvärderar leverantörer baserat på 18 individuella riskkontroller, som tillsammans avgör hur säkerhetsrisker hanteras i leverantörens miljö.
  2. SIG LITE: SIG-frågeformuläret är omfattande och riktar sig till flera riskområden inom flera discipliner. För leverantörer som har mindre inneboende risk, som inte kräver hela SIG-bedömningen, kan SIG LITE vara värdefullt. Den tar de övergripande begreppen och frågorna från de större SIG-bedömningarna och destillerar ner dem till några få frågor.
  3. SIG CORE: SIG CORE är ett bibliotek med frågor som säkerhetsteam kan välja och vraka mellan, inklusive omfattande frågor om GDPR och andra specifika efterlevnadsregler.

Läs vår fullständiga guide om SIG-frågeformuläret här.

10. Leverantörssäkerhetsallians - VSA-frågeformulär (VSA)

Frågeformuläret Vendor Security Alliance (VSA) skapades av en koalition av företag som har åtagit sig att förbättra internetsäkerheten.

VSA ger ut två kostnadsfria frågeformulär som uppdateras årligen:

  • VSA-Full: Detta är det klassiska VSA-frågeformuläret som fokuserar djupt på leverantörssäkerhet och används av tusentals företag globalt.
  • VSA-Core: Detta frågeformulär består av den mest kritiska leverantörsbedömningen utöver integritet. Avsnittet om sekretess omfattar både USA:s krav på anmälan av dataintrång, California Consumer Privacy Act (CCPA) och den allmänna dataskyddsförordningen (GDPR).

Till skillnad från andra frågeformulär skapades VSA-bedömningsprocessen med leverantören i åtanke. Fokus ligger på att eliminera irrelevanta frågor, vilket minskar den tid det tar för informationssäkerhets- och säkerhetsteam att fylla i frågeformuläret.

Läs vår fullständiga guide om frågeformuläret från Vendor Security Alliance (VSA) här.

11. Frågeformulär för betalkortsindustrins datasäkerhetsstandarder (PCI DSS)

Payment Card Industry Data Security Standards (PCI DSS) är en standard för informationssäkerhet och datasäkerhet för organisationer som hanterar märkeskreditkort från de stora kortnätverken.

År 2006 gick fem stora kreditkortsföretag - Visa, MasterCard, Discover, American Express och JCB - samman och etablerade Payment Card Industry Security Standards Council (PCI Security Standards Council eller PCI SSC) för att administrera och hantera säkerhetsstandarder för företag som hanterar kreditkortsdata.

Alla organisationer som accepterar eller behandlar betalkort måste vara PCI-kompatibla, vilket innebär tre huvudsakliga saker:

  1. Se till att känsliga kortuppgifter samlas in och överförs på ett säkert sätt
  2. Lagra data på ett säkert sätt genom att uppfylla de 12 kraven på säkerhetsdomäner i PCI-standarden, t.ex. kryptering, kontinuerlig övervakning och säkerhetstestning av åtkomstkontroll till kortdata
  3. Årlig validering av att nödvändiga säkerhetskontroller är på plats, vilket kan inkludera formulär, säkerhetsfrågeformulär, extern sårbarhetsskanning och granskningar från tredje part.

Vilket frågeformulär är rätt för ditt TPRM-program (Third-Party Risk Management)?

Att fastställa rätt bedömningsverktyg för din organisations VRM-program (Vendor Risk Management) är inte något att ta lätt på. Antalet och kvaliteten på de säkerhetsformulär som finns tillgängliga för användning ökar dock kontinuerligt.

Majoriteten uppdateras och förbättras regelbundet (vanligtvis på årsbasis) av grupper av experter inom cybersäkerhet, informationssäkerhet, efterlevnad och risk, och antas i allt högre grad av världens ledande företag.

Om du inte är säker på vilket frågeformulär eller ramverk som är rätt för dig, låt vårt team på UpGuard hjälpa dig att bestämma eller använd vårt bibliotek med förbyggda frågeformulär som kan förenkla processen och spara ditt team betydande tid och resurser.

Lär dig hur du effektiviserar processen för leverantörsenkäter.

Varför du bör överväga att använda säkerhetsbetyg tillsammans med leverantörsenkäter

Säkerhetsklassificeringar ger riskhanterings- och säkerhetsteam möjlighet att kontinuerligt övervaka sina leverantörers säkerhetsstatus.

Fördelen med säkerhetsklassificeringar tillsammans med säkerhetsfrågeformulär är att de genereras automatiskt, uppdateras ofta och att de ger ett gemensamt språk för tekniska och icke-tekniska intressenter.

Det viktigaste att förstå är att säkerhetsbetyg fyller det stora tomrum som finns kvar från traditionella riskbedömningstekniker som säkerhetsfrågeformulär. Att skicka frågeformulär till varje tredje part kräver mycket engagemang, tid och är ärligt talat inte alltid korrekt.

Säkerhetsklassificeringar kan komplettera och garantera de resultat som rapporteras i säkerhetsfrågeformulär eftersom de är externt verifierbara, alltid uppdaterade och tillhandahålls av en oberoende organisation.

Enligt Gartner kommer cybersäkerhetsbetyg att bli lika viktiga som kreditbetyg när man bedömer risken för befintliga och nya affärsrelationer... Dessa tjänster kommer att bli en förutsättning för affärsrelationer och en del av standarden för tillbörlig aktsamhet för leverantörer och upphandlare av tjänster.

Läs mer om varför säkerhetsklassningar är viktiga här.

UpGuard är en av de mest populära leverantörerna av säkerhetsbetyg. Vi genererar våra betyg genom egenutvecklade algoritmer som tar in och analyserar betrodda kommersiella hotflöden och hotflöden med öppen källkod och icke-påträngande datainsamlingsmetoder för att kvantitativt utvärdera cyberrisker.

Vi baserar våra betyg på analysen av 70+ vektorer inklusive:

  • Känslighet för man-in-the-middle-attacker
  • Osäkra SSL/TLS-certifikat
  • Inställningar för SPF, DKIM och DMARC
  • Strikt HTTP-transportsäkerhet (HSTS)
  • Risk för förfalskning av e-post och nätfiske
  • Sårbarheter
  • Mottaglighet för skadlig programvara
  • Onödiga öppna administration-, databas-, app-, e-post- och fildelningsportar
  • Exponering för kända dataintrång och dataläckor
  • Sårbar programvara
  • HTTP-tillgänglighet
  • Säker konfiguration av cookies
  • Resultat av intelligenta säkerhetsenkäter

Om du är nyfiken på andra tjänster för säkerhetsbedömning kan du läsa vår guide om SecurityScorecard vs BitSight här.

UpGuard Vendor Risk kan minimera den tid som din organisation lägger på att utvärdera relaterade och tredjeparts informationssäkerhetskontroller genom att automatisera leverantörsfrågeformulär och tillhandahålla anpassningsbara mallar för leverantörsfrågeformulär.

För bedömning av dina informationssäkerhetskontroller kan UpGuards säkerhetsbetygsfunktion övervaka din organisation för 70+ säkerhetskontroller som underlättar dataintrång från första part och tredje part. Genom att kombinera säkerhetsbetyg med övervakning av attackytan tar UpGuard bort synlighetsbegränsningarna för punkt-i-tid-bedömningar för att ge realtidsmedvetenhet om din föränderliga attackyta.

Titta på den här videon för att lära dig hur UpGuard förbättrar leverantörssamarbeten för att effektivisera livscykeln för leverantörsriskhantering.