Hva SIG er
Standardized Information Gathering-spørreskjemaet utgis av Shared Assessments, en medlemsorganisasjon for tredjepartsrisikostyring, og oppdateres hvert år. Det er bygget som et bibliotek: kundens risikoteam velger hvilke domener og spørsmål som gjelder for en leverandør og sender resultatet, som regel som en Excel-arbeidsbok. Domenene dekker blant annet risikostyring, policy, forvaltning av eiendeler, personal, fysisk sikkerhet, drift, tilgangsstyring, applikasjonssikkerhet, hendelseshåndtering, forretningskontinuitet, etterlevelse, personvern, leverandørstyring og sky, og hvert spørsmål er mappet mot de store standardene som ISO 27001 og NIST.
Core eller Lite
SIG Core er hele settet, som sendes til leverandører som har sensitive data eller støtter en viktig tjeneste. SIG Lite er et kort utvalg med ett eller to spørsmål per domene, brukt for leverandører med lavere risiko og for en første titt. Fordi kunden tilpasser filen, er to SIG-er fra to banker samme år sjelden like, selv når begge står som Core.
Hvordan svarene leses
De fleste spørsmål besvares med ja, nei eller ikke relevant, med en kommentar. Et «nei» er ikke et nederlag; det er et funn den som vurderer vil spørre om, så oppgi det kompenserende tiltaket eller planen i kommentaren. Et «ja» uten kommentar er svakt på alle spørsmål som handler om hyppighet, eierskap eller omfang. «Kvartalsvis, av IT-lederen, registrert i saksbehandlingssystemet» er den typen kommentar som lukker et spørsmål. Ikke relevant trenger også en begrunnelse: «vi har ingen kortinnehaverdata» i stedet for en naken N/A.
De som vurderer, sammenligner SIG-en med dokumentasjonen deres. Regn med forespørsler om informasjonssikkerhetspolicyen, sammendraget av den siste penetrasjonstesten, kontinuitetsplanen, forsikringsbeviset og en attestasjonsrapport hvis dere har en.
Å svare som leverandør
Besvar hele SIG Core én gang, grundig, selv om ingen kunde har sendt den ennå. Hver Lite og hver tilpasset SIG er da et utvalg av svar du allerede har. Hold ett godkjent svar per faktum, ikke én utfylt SIG per kunde: faktaene endrer seg (en ny plan for sikkerhetskopiering, en ny underdatabehandler), og et bibliotek oppdaterer alle fremtidige SIG-er på én gang, mens gamle arbeidsbøker glir fra hverandre.
I Responsemate
Importer SIG-arbeidsboken slik den kommer, så får hver rad et utkast fra kunnskapsbasen din med kilder og en konfidensscore. Radene biblioteket bare delvis dekker, merkes for gjennomgang, og de ferdige svarene går tilbake i kundens egen fil. Hvordan spørreskjemaer importeres og eksporteres.
Vanlige spørsmål
Hva er forskjellen mellom SIG Core og SIG Lite?
SIG Core er det fullstendige spørsmålssettet, beregnet på leverandører som har sensitive data eller driver en kritisk tjeneste. SIG Lite er et kort utvalg for leverandører med lavere risiko eller som en første runde. En kunde kan begynne med Lite og sende Core senere hvis svarene dine hever risikovurderingen.
Kan vi sende fjorårets SIG i stedet for å fylle ut en ny?
Ofte, ja. Mange kunder godtar en utfylt SIG fra inneværende år, særlig for Lite. Spør før du begynner, og sjekk at versjonen stemmer, fordi Shared Assessments utgir en ny SIG hvert år.
Trenger vi en lisens fra Shared Assessments for å besvare en SIG?
Nei. Lisensen gjelder organisasjonen som setter sammen og sender spørreskjemaet. En leverandør besvarer filen den mottar.