Was der SIG ist
Der Standardized Information Gathering Questionnaire wird von Shared Assessments herausgegeben, einem Mitgliederverband für Third-Party-Risikomanagement, und jedes Jahr aktualisiert. Er ist als Bibliothek aufgebaut: Das Risikoteam des Kunden wählt aus, welche Domänen und Fragen für einen Lieferanten gelten, und schickt das Ergebnis, meist als Excel-Arbeitsmappe. Die Domänen umfassen unter anderem Risikomanagement, Richtlinien, Asset-Management, Personalwesen, physische Sicherheit, Betrieb, Zugriffskontrolle, Anwendungssicherheit, Incident-Management, Geschäftsresilienz, Compliance, Datenschutz, Lieferantenmanagement und Cloud, und jede Frage ist auf die wichtigsten Standards wie ISO 27001 und NIST abgebildet.
Core oder Lite
Der SIG Core ist der vollständige Satz, den Lieferanten bekommen, die sensible Daten halten oder einen wichtigen Dienst unterstützen. Der SIG Lite ist eine kurze Teilmenge mit ein oder zwei Fragen pro Domäne, für Lieferanten mit geringerem Risiko und für einen ersten Blick. Weil der Kunde die Datei zuschneidet, sind zwei SIGs von zwei Banken im selben Jahr selten identisch, selbst wenn auf beiden Core steht.
Wie die Antworten gelesen werden
Die meisten Fragen werden mit Ja, Nein oder Nicht anwendbar beantwortet, dazu ein Kommentar. Ein „Nein“ ist kein Scheitern, sondern ein Befund, nach dem der Prüfer fragen wird; nennen Sie im Kommentar also die kompensierende Kontrolle oder den Plan. Ein „Ja“ ohne Kommentar ist schwach bei jeder Frage nach Häufigkeit, Zuständigkeit oder Umfang. „Vierteljährlich, durch die IT-Leitung, dokumentiert im Ticketsystem“ ist ein Kommentar, mit dem eine Frage erledigt ist. Auch Nicht anwendbar braucht eine Begründung: „Wir halten keine Karteninhaberdaten“ statt eines bloßen N/A.
Prüfer gleichen den SIG mit Ihren Nachweisen ab. Rechnen Sie mit Anfragen nach Ihrer Informationssicherheitsrichtlinie, der Zusammenfassung Ihres letzten Penetrationstests, Ihrem Kontinuitätsplan, Ihrem Versicherungsnachweis und einem Prüfbericht, falls Sie einen haben.
Antworten als Lieferant
Beantworten Sie den vollständigen SIG Core einmal sorgfältig, auch wenn ihn noch kein Kunde geschickt hat. Jeder Lite und jeder zugeschnittene SIG ist dann eine Teilmenge von Antworten, die Sie schon haben. Halten Sie eine freigegebene Antwort pro Fakt bereit, nicht einen ausgefüllten SIG pro Kunde: Die Fakten ändern sich (ein neuer Backup-Plan, ein neuer Unterauftragsverarbeiter), und eine Bibliothek aktualisiert jeden künftigen SIG auf einmal, während alte Arbeitsmappen auseinanderdriften.
In Responsemate
Importieren Sie die SIG-Arbeitsmappe so, wie sie ankommt, und jede Zeile wird aus Ihrer Wissensdatenbank entworfen, mit ihren Quellen und einem Konfidenzwert. Die Zeilen, die die Bibliothek nur zur Hälfte abdeckt, werden zur Prüfung markiert, und die fertigen Antworten gehen zurück in die Datei des Kunden. Wie Fragebögen importiert und exportiert werden.
Häufige Fragen
Was ist der Unterschied zwischen SIG Core und SIG Lite?
Der SIG Core ist der vollständige Fragenkatalog, gedacht für Lieferanten, die sensible Daten halten oder einen kritischen Dienst betreiben. Der SIG Lite ist eine kurze Teilmenge für Lieferanten mit geringerem Risiko oder für eine erste Runde. Ein Kunde beginnt vielleicht mit dem Lite und schickt später den Core, wenn Ihre Antworten die Risikoeinstufung erhöhen.
Können wir den SIG vom letzten Jahr schicken, statt einen neuen auszufüllen?
Oft ja. Viele Kunden akzeptieren einen ausgefüllten SIG aus dem laufenden Jahr, besonders beim Lite. Fragen Sie, bevor Sie anfangen, und prüfen Sie, ob die Version passt, denn Shared Assessments veröffentlicht jedes Jahr einen neuen SIG.
Brauchen wir eine Lizenz von Shared Assessments, um einen SIG zu beantworten?
Nein. Die Lizenz braucht die Organisation, die den Fragebogen erstellt und verschickt. Ein Lieferant beantwortet einfach die Datei, die er bekommt.