SIG-en
Standardized Information Gathering-spørreskjemaet vedlikeholdes av Shared Assessments og er det banker, forsikringsselskaper og store virksomheter sender oftest. Det finnes i to størrelser. SIG Core er hele biblioteket, flere hundre spørsmål fordelt på rundt tjue domener: tilgangskontroll, aktivaforvaltning, applikasjonssikkerhet, forretningsrobusthet, sky, etterlevelse, databeskyttelse, HR, hendelseshåndtering, nettverkssikkerhet, fysisk sikkerhet, personvern, leverandørstyring, trusselhåndtering. SIG Lite er et utvalg på rundt hundre spørsmål som brukes til leverandører med lavere risiko og første gjennomganger.
Spørsmålene besvares med ja, nei eller ikke relevant, med en kommentarkolonne. Verdien ligger i kommentaren. Et nakent ja på «Gjennomgås tilgangsrettigheter jevnlig?» forteller den som vurderer ingenting; «Kvartalsvis, av IT-lederen, resultatene i saksbehandlingssystemet» forteller alt.
CAIQ-en
Consensus Assessment Initiative Questionnaire kommer fra Cloud Security Alliance og mapper til deres Cloud Controls Matrix. Det er spørreskjemaet sky- og SaaS-leverandører får, og strukturen følger domenene i kontrollmatrisen: applikasjons- og grensesnittsikkerhet, revisjonssikring, forretningskontinuitet, endringskontroll, datasikkerhet, kryptering og nøkkelhåndtering, styring, identitet og tilgang, infrastruktursikkerhet, logging og overvåking, leverandørkjede, trussel- og sårbarhetshåndtering.
Fordi det er bygget for delt ansvar, besvares mange rader delvis av hostingleverandøren din. De store leverandørene publiserer sin egen utfylte CAIQ; å sitere riktig rad fra den er den aksepterte måten å svare på de spørsmålene, med en setning om hva du gjør i tillegg.
DDQ-en
Et due diligence-spørreskjema er det kundens innkjøps- eller risikoteam sender før signering, og det er bredere enn sikkerhet. Forvent seksjoner om selskapet (eierskap, år i drift, nøkkelpersoner), økonomi og forsikring, juridisk og regulatorisk status, forretningskontinuitet, databeskyttelse og personvern, og deretter en sikkerhetsseksjon som vanligvis er en forkortet SIG eller CAIQ. Finansinstitusjoner og offentlige organer sender de lengste. Sikkerhetsseksjonen er der svarbiblioteket ditt kommer til nytte; resten besvares én gang og endres sjelden.
Hva de har felles
Omtrent to tredjedeler av sikkerhetsspørsmålene i alle tre spør om det samme med andre ord: hvordan du styrer tilgang, hvordan du beskytter data lagret og under overføring, hvordan du utvikler og endrer programvare, hvordan du finner og retter sårbarheter, hvordan du håndterer hendelser, hvordan du holder tjenesten i drift, hvem leverandørene dine er, og hvordan du lærer opp folk. Ordlyden er forskjellig, nummereringen er forskjellig, ja/nei/kommentar-formatet er forskjellig. Fakta er det ikke.
Det er argumentet for ett svarbibliotek med ett godkjent svar per faktum, skrevet i en nøytral stemme, som radene i hvert spørreskjema lages utkast fra. Alternativet, en utfylt SIG her og en utfylt CAIQ der, sklir fra hverandre innen to kvartaler: SIG-en sier at sikkerhetskopier testes månedlig, CAIQ-en sier kvartalsvis, og en som vurderer begge, spør hva som stemmer.
Slik svarer du på alle tre fra ett sted
Ta vare på fakta, ikke spørreskjemaene. For hver kontroll: ett godkjent svar med eier, dokumentasjon og dato. Når en SIG kommer, lag utkast til hver rad fra det biblioteket, gjennomgå dem biblioteket bare halvveis dekker, og eksporter inn i SIG-ens egen fil. Når CAIQ kommer, svarer det samme biblioteket på den med CAIQ-ens ord. Kunnskap i Responsemate er der det biblioteket bor, med dokumentasjon og dato på hver oppføring, og spørsmålene du aldri har skrevet et svar på, dukker opp som radene AI-en ikke kan lage utkast til.
Vanlige spørsmål
Må vi fylle ut SIG hvis kunden sender den?
Som regel ja, men du kan sende SIG Lite eller din egen utfylte SIG fra tidligere på året hvis kunden godtar det, og det gjør mange. Spør før du begynner; en kunde som er fornøyd med din siste utfylte SIG, sparer begge parter en uke.
Er CAIQ bare for skyleverandører?
Det ble skrevet for skytjenester, men ethvert SaaS-selskap får det, fordi for kunden er du en skytjeneste. Hoster du hos en stor leverandør, beskriver en del av CAIQ deres kontroller, og deres egen publiserte CAIQ er dokumentasjonen din for de radene.
Hva er forskjellen på en DDQ og et sikkerhetsspørreskjema?
En DDQ er bredere. Den spør om selskapet (eierskap, økonomi, forsikring, forretningskontinuitet) i tillegg til sikkerhet. Sikkerhetsseksjonen i en DDQ er vanligvis en forkortet versjon av en SIG eller CAIQ.