Wat de SIG is
De Standardized Information Gathering-vragenlijst wordt gepubliceerd door Shared Assessments, een ledenorganisatie voor risicobeheer van derden, en elk jaar bijgewerkt. Ze is opgezet als bibliotheek: het risicoteam van de klant kiest welke domeinen en vragen voor een leverancier gelden en stuurt het resultaat, meestal als Excel-werkmap. De domeinen omvatten onder meer risicobeheer, beleid, assetbeheer, personeelszaken, fysieke beveiliging, operations, toegangsbeheer, applicatiebeveiliging, incidentbeheer, bedrijfsweerbaarheid, compliance, privacy, leveranciersbeheer en cloud, en elke vraag is gekoppeld aan de belangrijkste normen, zoals ISO 27001 en NIST.
Core of Lite
De SIG Core is de volledige set, gestuurd naar leveranciers die gevoelige gegevens beheren of een belangrijke dienst ondersteunen. De SIG Lite is een korte subset met een of twee vragen per domein, voor leveranciers met een lager risico en voor een eerste blik. Omdat de klant het bestand afbakent, zijn twee SIG's van twee banken in hetzelfde jaar zelden gelijk, ook als er bij allebei Core op staat.
Hoe de antwoorden worden gelezen
De meeste vragen worden beantwoord met ja, nee of niet van toepassing, met een toelichting. Een “nee” is geen onvoldoende; het is een bevinding waar de beoordelaar naar zal vragen, dus noem in de toelichting de compenserende maatregel of het plan. Een “ja” zonder toelichting is zwak bij elke vraag naar frequentie, eigenaarschap of scope. “Elk kwartaal, door de IT-verantwoordelijke, vastgelegd in het ticketsysteem” is het soort toelichting dat een vraag afsluit. Ook niet van toepassing heeft een reden nodig: “wij hebben geen kaarthoudergegevens” in plaats van een kale N/A.
Beoordelaars vergelijken de SIG met uw bewijs. Reken op verzoeken om uw informatiebeveiligingsbeleid, de samenvatting van uw laatste penetratietest, uw continuïteitsplan, uw verzekeringscertificaat en een assurancerapport als u dat hebt.
Antwoorden als leverancier
Beantwoord de volledige SIG Core één keer, zorgvuldig, ook als nog geen klant hem heeft gestuurd. Elke Lite en elke afgebakende SIG is dan een subset van antwoorden die u al hebt. Bewaar één goedgekeurd antwoord per feit, niet één ingevulde SIG per klant: de feiten veranderen (een nieuw back-upschema, een nieuwe subverwerker), en een bibliotheek werkt elke toekomstige SIG in één keer bij, terwijl oude werkmappen uit elkaar groeien.
In Responsemate
Importeer de SIG-werkmap zoals hij binnenkomt, en elke rij wordt opgesteld vanuit uw kennisbank, met de bronnen en een betrouwbaarheidsscore. De rijen die de bibliotheek maar half dekt, worden gemarkeerd om te controleren, en de afgeronde antwoorden gaan terug in het eigen bestand van de klant. Hoe vragenlijsten worden geïmporteerd en geëxporteerd.
Veelgestelde vragen
Wat is het verschil tussen de SIG Core en de SIG Lite?
De SIG Core is de volledige vragenset, bedoeld voor leveranciers die gevoelige gegevens beheren of een kritieke dienst leveren. De SIG Lite is een korte subset voor leveranciers met een lager risico of voor een eerste ronde. Een klant kan met de Lite beginnen en later de Core sturen als uw antwoorden de risicobeoordeling verhogen.
Kunnen we de SIG van vorig jaar sturen in plaats van een nieuwe in te vullen?
Vaak wel. Veel klanten accepteren een ingevulde SIG van het lopende jaar, vooral bij de Lite. Vraag het voordat u begint, en controleer of de versie overeenkomt, want Shared Assessments publiceert elk jaar een nieuwe SIG.
Hebben we een licentie van Shared Assessments nodig om een SIG te beantwoorden?
Nee. De licentie is voor de organisatie die de vragenlijst samenstelt en verstuurt. Een leverancier beantwoordt het bestand dat hij ontvangt.