Qué es el SIG
El cuestionario Standardized Information Gathering lo publica Shared Assessments, una organización de miembros dedicada a la gestión de riesgos de terceros, y se actualiza cada año. Está concebido como una biblioteca: el equipo de riesgos del cliente elige qué dominios y preguntas se aplican a un proveedor y envía el resultado, normalmente como libro de Excel. Los dominios abarcan, entre otros, gestión de riesgos, políticas, gestión de activos, recursos humanos, seguridad física, operaciones, control de acceso, seguridad de aplicaciones, gestión de incidentes, resiliencia del negocio, cumplimiento, privacidad, gestión de proveedores y nube, y cada pregunta está mapeada con las principales normas, como ISO 27001 y NIST.
Core o Lite
El SIG Core es el conjunto completo, que se envía a los proveedores que guardan datos sensibles o dan soporte a un servicio importante. El SIG Lite es un subconjunto breve, con una o dos preguntas por dominio, que se usa para proveedores de menor riesgo y para una primera revisión. Como el cliente acota el archivo, dos SIG de dos bancos en el mismo año rara vez son idénticos, aunque ambos digan Core.
Cómo se leen las respuestas
La mayoría de las preguntas se responden con sí, no o no aplicable, más un comentario. Un «no» no es un suspenso; es un hallazgo por el que el revisor preguntará, así que indique en el comentario el control compensatorio o el plan. Un «sí» sin comentario se queda corto en cualquier pregunta sobre frecuencia, responsabilidad o alcance. «Trimestralmente, por el responsable de TI, registrado en el sistema de tickets» es el tipo de comentario que cierra una pregunta. El no aplicable también necesita un motivo: «no guardamos datos de titulares de tarjetas» en lugar de un N/A sin más.
Los revisores comparan el SIG con su evidencia. Cuente con que le pidan su política de seguridad de la información, el resumen de su última prueba de penetración, su plan de continuidad, su certificado de seguro y un informe de aseguramiento si lo tiene.
Responder como proveedor
Responda al SIG Core completo una vez, con cuidado, aunque ningún cliente se lo haya enviado todavía. Así, cada Lite y cada SIG acotado es un subconjunto de respuestas que ya tiene. Conserve una respuesta aprobada por cada hecho, no un SIG completado por cliente: los hechos cambian (un nuevo calendario de copias de seguridad, un nuevo subencargado), y una biblioteca actualiza de una vez todos los SIG futuros, mientras que los libros de Excel antiguos divergen entre sí.
En Responsemate
Importe el libro de Excel del SIG tal como llega, y cada fila se redacta a partir de su base de conocimiento con sus fuentes y una puntuación de confianza. Las filas que la biblioteca solo cubre a medias se marcan para revisión, y las respuestas terminadas vuelven al propio archivo del cliente. Cómo se importan y exportan los cuestionarios.
Preguntas que hacen las personas
¿Cuál es la diferencia entre el SIG Core y el SIG Lite?
El SIG Core es el conjunto completo de preguntas, pensado para proveedores que guardan datos sensibles o prestan un servicio crítico. El SIG Lite es un subconjunto breve para proveedores de menor riesgo o para una primera revisión. Un cliente puede empezar con el Lite y enviar el Core más adelante si sus respuestas elevan la calificación de riesgo.
¿Podemos enviar el SIG del año pasado en lugar de rellenar uno nuevo?
A menudo, sí. Muchos clientes aceptan un SIG completado del año en curso, sobre todo en el caso del Lite. Pregunte antes de empezar y compruebe que la versión coincide, porque Shared Assessments publica un SIG nuevo cada año.
¿Necesitamos una licencia de Shared Assessments para responder a un SIG?
No. La licencia es para la organización que elabora y envía el cuestionario. Un proveedor responde al archivo que recibe.