Spørgeskematyper
Sikkerhedsspørgeskema
En liste med spørgsmål, som en kunde sender til en leverandør for at vurdere, om leverandøren kan betros kundens data og systemer. Alt fra tredive spørgsmål i en formular til flere hundrede fordelt på mange faner i et regneark.
Leverandørsikkerhedsvurdering (VSA)
Kundens proces, som spørgeskemaet er en del af: spørgeskemaet, gennemgang af dokumentation, en risikovurdering og en beslutning. Nogle kunder bruger "VSA" om selve spørgeskemaet.
SIG
Standardized Information Gathering-spørgeskemaet fra Shared Assessments, standarden som bruges af banker, forsikringsselskaber og store virksomheder. SIG Core er det fulde sæt. SIG Lite er den korte version. Se SIG vs CAIQ vs DDQ.
CAIQ
Consensus Assessment Initiative Questionnaire fra Cloud Security Alliance, udviklet til cloudtjenester og mappet til Cloud Controls Matrix.
DDQ
Et due diligence-spørgeskema: bredere end sikkerhed, fordi det dækker virksomheden, dens økonomi, forsikring og kontinuitet samt dens sikkerhedskontroller.
Tilbudsanmodningens sikkerhedsafsnit
Sikkerhedsspørgsmålene i en tilbudsanmodning. Som regel et forkortet spørgeskema, besvaret inden for en frist, der er sat af salgsforløbet snarere end af sikkerhedsteamet.
Besvarelse
Svarbibliotek
Sættet af godkendte svar, ét pr. faktum, som spørgeskemaer besvares ud fra. Holdes med en ansvarlig og en dato på hver post. Se opbygning af et svarbibliotek.
Vidensbase
I Responsemate er det svarbiblioteket plus de dokumenter, link og tidligere spørgeskemaer, som AI'en svarer ud fra.
Dokumentation
Et dokument, der viser, at et svar er sandt: en politik, et certifikat, en testrapport, en øvelseslog. Se hvilken dokumentation du skal vedhæfte.
Ikke relevant
Et ærligt svar, når et spørgsmål beskriver noget, du ikke gør eller ikke har, med en sætning om hvorfor. Den, der gennemgår det, accepterer svaret, når årsagen er reel.
Sikkerhedsscore
I Responsemate får hvert udkast til svar en sikkerhedsscore på High, Medium eller Low med begrundelser: hvor direkte kilderne besvarer spørgsmålet, hvor godt de matcher det, og hvor aktuelle de er.
Kilde
Hvor et udkast til svar kom fra: Q&A-posten, filen, linket eller det tidligere svar, det blev bygget ud fra. Et svar med kilder kan kontrolleres, et uden er en holdning.
Aktualitet
Om en kilde eller et svar stadig er aktuelt: et certifikat før udløbsdatoen, en politik der er gennemgået inden for det seneste år, et medarbejderantal fra dette kvartal.
Godkende
Det trin, hvor en person med ansvar for svaret bekræfter det. Et udkast bliver først til et svar, når nogen godkender det.
Rammeværker og standarder
ISO 27001
Den internationale standard for et ledelsessystem for informationssikkerhed. Certificering betyder, at en auditor har kontrolleret, at systemet findes og fungerer, inden for et defineret omfang. Se ISO 27001-spørgeskemaer.
SOC 2
En attesteringsrapport, udstedt af en revisor efter AICPA's trust services-kriterier, om en serviceorganisations kontroller. Type I beskriver kontrollerne på et bestemt tidspunkt; Type II tester dem over en periode. Se SOC 2-spørgeskemaer.
ISAE 3000 og ISAE 3402
Internationale standarder for erklæringsopgaver, der bruges til revisorrapporter om en serviceorganisations kontroller, og som er almindelige i Europa, hvor SOC 2 bruges mindre. Se ISAE 3000-spørgeskemaer.
NIS2
EU-direktivet om sikkerhed i net- og informationssystemer, som har været gældende gennem national lovgivning siden 2024, og som gør omfattede organisationer ansvarlige for deres leverandørers sikkerhed. Se NIS2-leverandørspørgeskemaer.
DORA
EU's forordning om digital operationel modstandsdygtighed for den finansielle sektor, som gælder fra 2025, med detaljerede krav til, hvordan finansielle enheder håndterer deres IKT-tredjeparter. Se DORA-spørgeskemaer.
GDPR
EU's generelle forordning om databeskyttelse. I et spørgeskema optræder den som spørgsmål om personoplysninger, lovligt grundlag, databehandlere og underdatabehandlere, overførsler og anmeldelse af brud. Se GDPR-leverandørvurderinger.
NIST CSF
Det amerikanske National Institute of Standards and Technologys Cybersecurity Framework: fem funktioner (identify, protect, detect, respond, recover), som mange spørgeskemaer er bygget op omkring.
Cyber Essentials
En certificering støttet af den britiske regering af fem grundlæggende kontroller. Efterspørges ofte af britiske offentlige organer og deres leverandører.
Kontrol
Et konkret tiltag, der reducerer en risiko: kvartalsvise gennemgange af adgangsrettigheder, kryptering i hvile, en testet sikkerhedskopi. Rammeværker er lister over kontroller; spørgeskemaer spørger, om du har dem.
Kontrolmapping
At knytte dine svar og din dokumentation til kontrollerne i et rammeværk, så du kan se, hvilke kontroller du dækker, hvilke du ikke dækker, og besvare et spørgeskema baseret på et rammeværk ud fra det, du allerede har.
Kontrakter og privatliv
Databehandleraftale (DPA)
Aftalen under GDPR mellem en kunde (dataansvarlig) og en leverandør (databehandler), der fastlægger, hvordan persondata håndteres. Spørgeskemaer spørger, om du har en, og beder ofte om at få den.
Underdatabehandler
En leverandør, som din leverandør bruger til at behandle kundens data: hostingudbyderen, e-mailtjenesten, AI-udbyderen. Kunder forventer en offentliggjort liste og besked om ændringer.
Dataresidens
Hvor data lagres og behandles geografisk. "EU data residency" betyder, at data ikke forlader EU-datacentre.
Tillidscenter
En offentlig side, hvor en virksomhed offentliggør sin sikkerhedsstatus, sine certifikater og sine politikker, så kunder kan læse dem, før de spørger. Den besvarer almindelige spørgsmål på forhånd, den besvarer ikke en kundes eget spørgeskema. Se Responsemate vs. et tillidscenter.
Penetrationstest
En test, hvor sikkerhedsspecialister forsøger at bryde ind i et system og rapporterer, hvad de fandt. Spørgeskemaer spørger, hvornår den seneste blev gennemført, hvad omfanget var, og om fundene blev udbedret.
Mål for gendannelsespunkt og gendannelsestid (RPO, RTO)
Hvor meget data du kan miste ved et nedbrud, altså tiden siden seneste brugbare sikkerhedskopi, og hvor længe tjenesten kan være nede. Spørgeskemaer om driftskontinuitet spørger efter begge dele.