Typer spørreskjema
Sikkerhetsspørreskjema
En liste med spørsmål en kunde sender en leverandør for å vurdere om leverandøren kan betros kundens data og systemer. Alt fra tretti spørsmål i et skjema til flere hundre fordelt på mange regnearkfaner.
Sikkerhetsvurdering av leverandør (VSA)
Prosessen på kundesiden som spørreskjemaet inngår i: spørreskjemaet, gjennomgangen av dokumentasjonen, en risikovurdering og en beslutning. Noen kunder bruker «VSA» om selve spørreskjemaet.
SIG
Standardized Information Gathering-spørreskjemaet fra Shared Assessments, standarden som brukes av banker, forsikringsselskaper og store virksomheter. SIG Core er hele settet; SIG Lite er kortversjonen. Se SIG vs CAIQ vs DDQ.
CAIQ
Consensus Assessment Initiative Questionnaire fra Cloud Security Alliance, laget for skytjenester og mappet mot Cloud Controls Matrix.
DDQ
Et due diligence-spørreskjema: bredere enn sikkerhet, og dekker selskapet, økonomien, forsikringene og kontinuiteten i tillegg til sikkerhetskontrollene.
Sikkerhetsdelen i en RFP
Sikkerhetsspørsmålene i en anbudsforespørsel. Vanligvis et forkortet spørreskjema, besvart under en frist satt av salgsprosessen og ikke av sikkerhetsteamet.
Besvarelse
Svarbibliotek
Settet med godkjente svar, ett per faktum, som spørreskjemaer besvares fra. Hver oppføring har en eier og en dato. Se hvordan du bygger et svarbibliotek.
Kunnskapsbase
I Responsemate: svarbiblioteket pluss dokumentene, lenkene og de tidligere spørreskjemaene som AI-en svarer fra.
Dokumentasjon
Et dokument som viser at et svar er sant: en retningslinje, et sertifikat, en testrapport, en øvelseslogg. Se hvilken dokumentasjon du bør legge ved.
Ikke aktuelt
Et ærlig svar når et spørsmål beskriver noe du ikke gjør eller ikke har, med en setning som forklarer hvorfor. Vurderere godtar det når grunnen er reell.
Konfidensscore
I Responsemate: merket High, Medium eller Low på hvert utkast til svar, med begrunnelsen: hvor direkte kildene besvarer spørsmålet, hvor godt de passer til det, og hvor ferske de er.
Kilde
Hvor et utkast til svar kommer fra: Q&A-oppføringen, filen, lenken eller det tidligere svaret det ble bygget på. Et svar med kilder kan kontrolleres; et uten er en mening.
Aktualitet
Om en kilde eller et svar fortsatt gjelder: et sertifikat før utløpsdatoen, en retningslinje gjennomgått i løpet av året, et antall ansatte fra dette kvartalet.
Godkjenne
Steget der en person med ansvar for svaret bekrefter det. Et utkast blir et svar først når noen godkjenner det.
Rammeverk og standarder
ISO 27001
Den internasjonale standarden for et styringssystem for informasjonssikkerhet. Sertifisering betyr at en revisor har kontrollert at systemet finnes og fungerer, innenfor et definert omfang. Se ISO 27001-spørreskjemaer.
SOC 2
En attestasjonsrapport, utstedt av en revisor etter AICPAs trust services-kriterier, om kontrollene hos en tjenesteleverandør. Type I beskriver kontrollene på et gitt tidspunkt; Type II tester dem over en periode. Se SOC 2-spørreskjemaer.
ISAE 3000 og ISAE 3402
Internasjonale attestasjonsstandarder som brukes i revisorrapporter om kontrollene hos en tjenesteleverandør, vanlige i Europa der SOC 2 er mindre brukt. Se ISAE 3000-spørreskjemaer.
NIS2
EU-direktivet om sikkerhet i nettverk og informasjonssystemer, gjeldende gjennom nasjonal lovgivning siden 2024, som gjør omfattede virksomheter ansvarlige for sikkerheten hos leverandørene sine. Se NIS2-leverandørspørreskjemaer.
DORA
EUs forordning om digital operasjonell motstandsdyktighet i finanssektoren, gjeldende fra 2025, med detaljerte krav til hvordan finansforetak håndterer sine IKT-tredjeparter. Se DORA-spørreskjemaer.
GDPR
EUs personvernforordning. I et spørreskjema dukker den opp som spørsmål om personopplysninger, behandlingsgrunnlag, databehandlere og underdatabehandlere, overføringer og varsling av brudd. Se GDPR-leverandørvurderinger.
NIST CSF
Cybersikkerhetsrammeverket fra USAs National Institute of Standards and Technology: fem funksjoner (identifisere, beskytte, oppdage, respondere, gjenopprette) som mange spørreskjemaer er organisert etter.
Cyber Essentials
En britisk, statlig støttet sertifisering av fem grunnleggende kontroller. Etterspørres ofte av britiske offentlige virksomheter og leverandørene deres.
Kontroll
Et konkret tiltak som reduserer en risiko: kvartalsvise tilgangsgjennomganger, kryptering av lagrede data, en testet sikkerhetskopi. Rammeverk er lister over kontroller; spørreskjemaer spør om du har dem.
Kontrollmapping
Å knytte svarene og dokumentasjonen din til kontrollene i et rammeverk, slik at du ser hvilke kontroller du dekker, hvilke du ikke dekker, og kan besvare et rammeverksbasert spørreskjema med det du allerede har.
Avtaler og personvern
Databehandleravtale (DPA)
Avtalen under GDPR mellom en kunde (behandlingsansvarlig) og en leverandør (databehandler) som fastsetter hvordan personopplysninger håndteres. Spørreskjemaer spør om du har en, og ber ofte om å få den.
Underdatabehandler
En leverandør som leverandøren din bruker til å behandle kundens data: hostingleverandøren, e-posttjenesten, AI-leverandøren. Kunder forventer en publisert liste og varsel om endringer.
Datalokasjon
Hvor data lagres og behandles geografisk. «Datalagring i EU» betyr at dataene ikke forlater datasentre i EU.
Trust center
En offentlig side der et selskap publiserer sikkerhetsnivået sitt, sertifikater og retningslinjer, slik at kunder kan lese dem før de spør. Den besvarer vanlige spørsmål på forhånd; den besvarer ikke kundens eget spørreskjema. Se Responsemate vs. et trust center.
Penetrasjonstest
En test der sikkerhetsspesialister forsøker å bryte seg inn i et system og rapporterer hva de fant. Spørreskjemaer spør når den siste ble gjort, hva omfanget var og om funnene ble utbedret.
Mål for gjenopprettingspunkt og gjenopprettingstid (RPO, RTO)
Hvor mye data du kan miste ved et avbrudd (tiden siden siste brukbare sikkerhetskopi) og hvor lenge tjenesten kan være nede. Spørreskjemaer om forretningskontinuitet spør om begge.