Hvad SIG er
Standardized Information Gathering-spørgeskemaet udgives af Shared Assessments, en medlemsorganisation for styring af tredjepartsrisiko, og opdateres hvert år. Det er bygget som et bibliotek: Kundens risikoteam vælger, hvilke domæner og spørgsmål der gælder for en leverandør, og sender resultatet, som regel som en Excel-projektmappe. Domænerne dækker blandt andet risikostyring, politik, aktivstyring, HR, fysisk sikkerhed, drift, adgangskontrol, applikationssikkerhed, hændelseshåndtering, forretningsrobusthed, compliance, privatliv, leverandørstyring og cloud, og hvert spørgsmål er kortlagt mod de store standarder som ISO 27001 og NIST.
Core eller Lite
SIG Core er det fulde sæt, der sendes til leverandører, som har følsomme data eller understøtter en vigtig tjeneste. SIG Lite er et kort udsnit med et eller to spørgsmål pr. domæne, der bruges til leverandører med lavere risiko og til et første overblik. Fordi kunden selv tilpasser filen, er to SIG'er fra to banker samme år sjældent ens, selv når begge hedder Core.
Sådan bliver svarene læst
De fleste spørgsmål besvares med ja, nej eller ikke relevant, med en kommentar. Et "nej" er ikke en dumpekarakter; det er et fund, som den, der gennemgår, vil spørge til, så angiv den kompenserende kontrol eller planen i kommentaren. Et "ja" uden kommentar er svagt på ethvert spørgsmål om hyppighed, ejerskab eller omfang. "Kvartalsvis, af IT-ansvarlig, registreret i ticketsystemet" er den slags kommentar, der lukker et spørgsmål. Ikke relevant kræver også en begrundelse: "vi har ingen kortholderdata" frem for et nøgent N/A.
Dem, der gennemgår, sammenholder SIG'en med din dokumentation. Forvent at blive bedt om din informationssikkerhedspolitik, dit seneste sammendrag af penetrationstesten, din kontinuitetsplan, dit forsikringsbevis og en revisorerklæring, hvis du har en.
At svare som leverandør
Besvar hele SIG Core én gang og grundigt, også selvom ingen kunde har sendt den endnu. Så er hver Lite og hver tilpasset SIG et udsnit af svar, du allerede har. Behold ét godkendt svar pr. faktum, ikke én udfyldt SIG pr. kunde: Fakta ændrer sig (en ny backupplan, en ny underdatabehandler), og et bibliotek opdaterer alle fremtidige SIG'er på én gang, mens gamle regneark glider fra hinanden.
I Responsemate
Importér SIG-projektmappen, som den kommer, og hver række udarbejdes ud fra din vidensbase med kilder og en sikkerhedsscore. De rækker, biblioteket kun halvt dækker, markeres til gennemgang, og de færdige svar går tilbage i kundens egen fil. Sådan importeres og eksporteres spørgeskemaer.
Spørgsmål, folk stiller
Hvad er forskellen på SIG Core og SIG Lite?
SIG Core er det fulde spørgsmålssæt, beregnet til leverandører, der har følsomme data eller driver en kritisk tjeneste. SIG Lite er et kort udsnit til leverandører med lavere risiko eller til en første gennemgang. En kunde kan starte med Lite og sende Core senere, hvis dine svar hæver risikovurderingen.
Kan vi sende sidste års SIG i stedet for at udfylde en ny?
Ofte ja. Mange kunder accepterer en udfyldt SIG fra indeværende år, især for Lite. Spørg, før du går i gang, og tjek, at versionen passer, for Shared Assessments udgiver en ny SIG hvert år.
Skal vi have en licens fra Shared Assessments for at besvare en SIG?
Nej. Licensen gælder for den organisation, der bygger og sender spørgeskemaet. En leverandør besvarer bare den fil, den modtager.