Der SIG
Der Standardized Information Gathering Questionnaire wird von Shared Assessments gepflegt und ist der, den Banken, Versicherer und Großunternehmen am häufigsten schicken. Es gibt ihn in zwei Größen. Der SIG Core ist die vollständige Bibliothek, mehrere hundert Fragen in rund zwanzig Domänen: Zugriffskontrolle, Asset-Management, Anwendungssicherheit, Geschäftsresilienz, Cloud, Compliance, Datenschutz, Personal, Vorfallmanagement, Netzwerksicherheit, physische Sicherheit, Privatsphäre, Lieferantenmanagement, Bedrohungsmanagement. Der SIG Lite ist eine Teilmenge von rund hundert Fragen für Lieferanten mit geringerem Risiko und erste Durchgänge.
Die Fragen sind Ja, Nein oder nicht zutreffend, mit einer Kommentarspalte. Der Wert steckt im Kommentar. Ein bloßes Ja auf „Werden Zugriffsrechte regelmäßig überprüft?“ sagt dem Prüfer nichts; „Vierteljährlich, durch die IT-Leitung, Ergebnisse im Ticketsystem“ sagt ihm alles.
Der CAIQ
Der Consensus Assessment Initiative Questionnaire stammt von der Cloud Security Alliance und ist auf deren Cloud Controls Matrix abgebildet. Es ist der Fragebogen, den Cloud- und SaaS-Anbieter bekommen, und seine Struktur folgt den Domänen der Kontrollmatrix: Anwendungs- und Schnittstellensicherheit, Prüfsicherheit, Geschäftskontinuität, Änderungskontrolle, Datensicherheit, Verschlüsselung und Schlüsselverwaltung, Governance, Identität und Zugriff, Infrastruktursicherheit, Protokollierung und Überwachung, Lieferkette, Bedrohungs- und Schwachstellenmanagement.
Weil er für geteilte Verantwortung gebaut ist, werden viele Zeilen teilweise von Ihrem Hosting-Anbieter beantwortet. Die großen Anbieter veröffentlichen ihren eigenen ausgefüllten CAIQ; die passende Zeile daraus zu zitieren ist der akzeptierte Weg, diese Fragen zu beantworten, mit einem Satz dazu, was Sie zusätzlich tun.
Der DDQ
Ein Due-Diligence-Fragebogen ist das, was das Einkaufs- oder Risikoteam eines Kunden vor der Unterschrift schickt, und er ist breiter als Sicherheit. Rechnen Sie mit Abschnitten zum Unternehmen (Eigentümer, Jahre am Markt, Schlüsselpersonen), zu Finanzen und Versicherung, zur rechtlichen und regulatorischen Lage, zur Geschäftskontinuität, zu Datenschutz und Privatsphäre und dann mit einem Sicherheitsabschnitt, der meist ein gekürzter SIG oder CAIQ ist. Finanzinstitute und öffentliche Stellen schicken die längsten. Der Sicherheitsabschnitt ist der Teil, für den Ihre Antwortbibliothek gilt; der Rest wird einmal beantwortet und ändert sich selten.
Was sie gemeinsam haben
Etwa zwei Drittel der Sicherheitsfragen in jedem der drei fragen dasselbe mit anderen Worten: wie Sie Zugriffe kontrollieren, wie Sie Daten im Ruhezustand und bei der Übertragung schützen, wie Sie Software entwickeln und ändern, wie Sie Schwachstellen finden und beheben, wie Sie mit Vorfällen umgehen, wie Sie den Dienst am Laufen halten, wer Ihre Lieferanten sind und wie Sie Mitarbeitende schulen. Die Formulierung unterscheidet sich, die Nummerierung unterscheidet sich, das Ja/Nein/Kommentar-Format unterscheidet sich. Die Fakten nicht.
Das spricht für eine Antwortbibliothek mit einer freigegebenen Antwort pro Fakt, in neutraler Stimme geschrieben, aus der die Zeilen jedes Fragebogens entworfen werden. Die Alternative, ein ausgefüllter SIG hier und ein ausgefüllter CAIQ dort, driftet innerhalb von zwei Quartalen auseinander: Der SIG sagt, Backups werden monatlich getestet, der CAIQ sagt vierteljährlich, und ein Prüfer, der beide hat, fragt, was stimmt.
Alle drei von einer Stelle aus beantworten
Bewahren Sie die Fakten auf, nicht die Fragebögen. Für jede Kontrolle eine freigegebene Antwort mit Verantwortlichem, Nachweisen und Datum. Kommt ein SIG, entwerfen Sie jede Zeile aus dieser Bibliothek, prüfen die, die die Bibliothek nur halb abdeckt, und exportieren in die Datei des SIG. Kommt der CAIQ, beantwortet dieselbe Bibliothek ihn in den Worten des CAIQ. Wissen in Responsemate ist der Ort, an dem diese Bibliothek lebt, mit Nachweisen und Datum an jedem Eintrag, und die Fragen, für die Sie nie eine Antwort geschrieben haben, erscheinen als die Zeilen, die die KI nicht entwerfen kann.
Häufige Fragen
Müssen wir den SIG ausfüllen, wenn der Kunde ihn schickt?
In der Regel ja, aber Sie können den SIG Lite oder Ihren eigenen, früher im Jahr ausgefüllten SIG schicken, wenn der Kunde das akzeptiert, und viele tun es. Fragen Sie, bevor Sie anfangen; ein Kunde, der mit Ihrem letzten ausgefüllten SIG zufrieden ist, spart beiden Seiten eine Woche.
Ist der CAIQ nur für Cloud-Anbieter?
Er wurde für Cloud-Dienste geschrieben, aber jedes SaaS-Unternehmen bekommt ihn, denn für den Kunden sind Sie ein Cloud-Dienst. Wenn Sie bei einem großen Anbieter hosten, beschreibt ein Teil des CAIQ dessen Kontrollen, und sein eigener veröffentlichter CAIQ ist Ihr Nachweis für diese Zeilen.
Was ist der Unterschied zwischen einem DDQ und einem Sicherheitsfragebogen?
Ein DDQ ist breiter. Er fragt nach dem Unternehmen (Eigentümer, Finanzen, Versicherung, Geschäftskontinuität) und nach Sicherheit. Der Sicherheitsabschnitt eines DDQ ist meist eine gekürzte Fassung eines SIG oder CAIQ.