De SIG
De Standardized Information Gathering-vragenlijst wordt onderhouden door Shared Assessments en is de lijst die banken, verzekeraars en grote ondernemingen het vaakst sturen. Hij komt in twee maten. De SIG Core is de volledige bibliotheek, enkele honderden vragen over zo'n twintig domeinen: toegangsbeheer, assetbeheer, applicatiebeveiliging, bedrijfsweerbaarheid, cloud, compliance, gegevensbescherming, personeelszaken, incidentbeheer, netwerkbeveiliging, fysieke beveiliging, privacy, leveranciersbeheer, dreigingsbeheer. De SIG Lite is een subset van ongeveer honderd vragen voor leveranciers met een lager risico en eerste rondes.
Vragen zijn ja, nee of niet van toepassing, met een toelichtingskolom. De waarde zit in de toelichting. Een kaal ja op “Worden toegangsrechten periodiek gecontroleerd?” zegt de beoordelaar niets; “Elk kwartaal, door de IT-verantwoordelijke, resultaten in het ticketsysteem” zegt alles.
De CAIQ
De Consensus Assessment Initiative Questionnaire komt van de Cloud Security Alliance en sluit aan op diens Cloud Controls Matrix. Het is de vragenlijst die cloud- en SaaS-aanbieders krijgen, en de structuur volgt de domeinen van de controlematrix: applicatie- en interfacebeveiliging, auditzekerheid, bedrijfscontinuïteit, wijzigingsbeheer, gegevensbeveiliging, versleuteling en sleutelbeheer, governance, identiteit en toegang, infrastructuurbeveiliging, logging en monitoring, toeleveringsketen, dreigings- en kwetsbaarhedenbeheer.
Omdat hij is opgezet rond gedeelde verantwoordelijkheid, worden veel rijen deels door uw hostingaanbieder beantwoord. De grote aanbieders publiceren hun eigen ingevulde CAIQ; de juiste rij daaruit aanhalen is de geaccepteerde manier om die vragen te beantwoorden, met een zin over wat u daarbovenop doet.
De DDQ
Een due-diligencevragenlijst is wat de inkoop- of risicoafdeling van een klant stuurt voor de ondertekening, en die is breder dan beveiliging. Reken op secties over het bedrijf (eigendom, jaren actief, sleutelfiguren), financiën en verzekeringen, juridische en regelgevende status, bedrijfscontinuïteit, gegevensbescherming en privacy, en dan een beveiligingssectie die meestal een ingekorte SIG of CAIQ is. Financiële instellingen en overheidsinstanties sturen de langste. In de beveiligingssectie komt uw antwoordbibliotheek van pas; de rest beantwoordt u één keer en verandert zelden.
Wat ze gemeen hebben
Ruwweg twee derde van de beveiligingsvragen in elk van de drie vraagt hetzelfde in andere woorden: hoe u toegang beheert, hoe u gegevens in rust en tijdens transport beschermt, hoe u software ontwikkelt en wijzigt, hoe u kwetsbaarheden vindt en verhelpt, hoe u incidenten afhandelt, hoe u de dienst draaiende houdt, wie uw leveranciers zijn en hoe u mensen traint. De formulering verschilt, de nummering verschilt, het ja/nee/toelichting-formaat verschilt. De feiten niet.
Dat pleit voor één antwoordbibliotheek met één goedgekeurd antwoord per feit, in een neutrale toon, waaruit de rijen van elke vragenlijst worden opgesteld. Het alternatief, een ingevulde SIG hier en een ingevulde CAIQ daar, loopt binnen twee kwartalen uiteen: de SIG zegt dat back-ups maandelijks worden getest, de CAIQ zegt elk kwartaal, en een beoordelaar die beide heeft, vraagt wat waar is.
Alle drie beantwoorden vanuit één plek
Bewaar de feiten, niet de vragenlijsten. Per controle één goedgekeurd antwoord met eigenaar, bewijs en datum. Komt er een SIG binnen, dan maakt u van elke rij een concept uit die bibliotheek, controleert u de rijen die de bibliotheek maar half dekt, en exporteert u naar het eigen bestand van de SIG. Komt de CAIQ binnen, dan beantwoordt dezelfde bibliotheek die in de woorden van de CAIQ. Kennis in Responsemate is waar die bibliotheek staat, met het bewijs en de datum op elk item, en de vragen waarvoor u nog nooit een antwoord hebt geschreven, verschijnen als de rijen waarvoor de AI geen concept kan maken.
Veelgestelde vragen
Moeten we de SIG invullen als de klant die stuurt?
Meestal wel, maar u kunt de SIG Lite of uw eigen eerder dit jaar ingevulde SIG sturen als de klant dat accepteert, en velen doen dat. Vraag het voordat u begint; een klant die genoegen neemt met uw laatste ingevulde SIG bespaart beide partijen een week.
Is de CAIQ alleen voor cloudaanbieders?
Hij is geschreven voor clouddiensten, maar elk SaaS-bedrijf krijgt hem, want voor de klant bent u een clouddienst. Host u bij een grote aanbieder, dan beschrijft een deel van de CAIQ hun controles, en hun eigen gepubliceerde CAIQ is uw bewijs voor die rijen.
Wat is het verschil tussen een DDQ en een beveiligingsvragenlijst?
Een DDQ is breder. Die vraagt naar het bedrijf (eigendom, financiën, verzekeringen, bedrijfscontinuïteit) én naar beveiliging. De beveiligingssectie van een DDQ is meestal een ingekorte versie van een SIG of CAIQ.