Vad SIG är
Standardized Information Gathering-frågeformuläret ges ut av Shared Assessments, en medlemsorganisation för riskhantering av tredje parter, och uppdateras varje år. Det är uppbyggt som ett bibliotek: kundens riskteam väljer vilka domäner och frågor som gäller för en leverantör och skickar resultatet, oftast som en Excel-arbetsbok. Domänerna omfattar bland annat riskhantering, policy, tillgångshantering, personal, fysisk säkerhet, drift, åtkomstkontroll, applikationssäkerhet, incidenthantering, verksamhetens motståndskraft, regelefterlevnad, integritet, leverantörshantering och moln, och varje fråga är mappad mot de stora standarderna som ISO 27001 och NIST.
Core eller Lite
SIG Core är hela uppsättningen och skickas till leverantörer som har känsliga data eller stöder en viktig tjänst. SIG Lite är ett kort urval med en eller två frågor per domän, som används för leverantörer med lägre risk och för en första översikt. Eftersom kunden avgränsar filen är två SIG från två banker samma år sällan identiska, även när båda säger Core.
Hur svaren läses
De flesta frågor besvaras med ja, nej eller inte tillämpligt, med en kommentar. Ett ”nej” är inget underkännande; det är ett fynd som granskaren kommer att fråga om, så ange den kompenserande kontrollen eller planen i kommentaren. Ett ”ja” utan kommentar är svagt på varje fråga som gäller frekvens, ägarskap eller omfattning. ”Kvartalsvis, av IT-chefen, dokumenterat i ärendesystemet” är den sortens kommentar som avslutar en fråga. Även inte tillämpligt behöver ett skäl: ”vi har inga kortinnehavardata” snarare än ett kort N/A.
Granskare jämför SIG med ditt underlag. Räkna med förfrågningar om din informationssäkerhetspolicy, sammanfattningen av ditt senaste penetrationstest, din kontinuitetsplan, ditt försäkringsbevis och en granskningsrapport om du har en.
Att svara som leverantör
Besvara hela SIG Core en gång, noggrant, även om ingen kund har skickat den ännu. Varje Lite och varje avgränsad SIG blir då ett urval av svar du redan har. Håll ett godkänt svar per faktum, inte en ifylld SIG per kund: fakta ändras (ett nytt schema för säkerhetskopiering, ett nytt underbiträde), och ett bibliotek uppdaterar alla framtida SIG på en gång, medan gamla arbetsböcker glider isär.
I Responsemate
Importera SIG-arbetsboken som den kommer, så skrivs varje rad som utkast utifrån din kunskapsbas med sina källor och en konfidenspoäng. De rader som biblioteket bara delvis täcker markeras för granskning, och de färdiga svaren går tillbaka till kundens egen fil. Så importeras och exporteras frågeformulär.
Vanliga frågor
Vad är skillnaden mellan SIG Core och SIG Lite?
SIG Core är hela frågeuppsättningen, avsedd för leverantörer som har känsliga data eller driver en kritisk tjänst. SIG Lite är ett kort urval för leverantörer med lägre risk eller för en första genomgång. En kund kan börja med Lite och skicka Core senare om dina svar höjer riskbedömningen.
Kan vi skicka förra årets SIG i stället för att fylla i en ny?
Ofta, ja. Många kunder godtar en ifylld SIG från innevarande år, särskilt för Lite. Fråga innan du börjar, och kontrollera att versionen stämmer, eftersom Shared Assessments ger ut en ny SIG varje år.
Behöver vi en licens från Shared Assessments för att besvara en SIG?
Nej. Licensen gäller organisationen som sätter ihop och skickar frågeformuläret. En leverantör besvarar den fil den får.