Typer av frågeformulär
Säkerhetsfrågeformulär
En lista med frågor som en kund skickar till en leverantör för att bedöma om leverantören kan anförtros kundens data och system. Allt från trettio frågor i ett formulär till flera hundra fördelade på många kalkylbladsflikar.
Säkerhetsbedömning av leverantör (VSA)
Processen på kundens sida som frågeformuläret ingår i: frågeformuläret, granskningen av underlag, en riskklassning och ett beslut. Vissa kunder använder ”VSA” om själva frågeformuläret.
SIG
Standardized Information Gathering-frågeformuläret från Shared Assessments, standarden som används av banker, försäkringsbolag och stora företag. SIG Core är hela uppsättningen; SIG Lite är kortversionen. Se SIG vs CAIQ vs DDQ.
CAIQ
Consensus Assessment Initiative Questionnaire från Cloud Security Alliance, byggt för molntjänster och mappat mot Cloud Controls Matrix.
DDQ
Ett due diligence-frågeformulär: bredare än säkerhet och täcker företaget, dess ekonomi, försäkringar och kontinuitet liksom dess säkerhetskontroller.
Säkerhetsavsnittet i en RFP
Säkerhetsfrågorna i en anbudsförfrågan. Oftast ett förkortat frågeformulär, besvarat under en tidsfrist som sätts av säljcykeln snarare än av säkerhetsteamet.
Att svara
Svarsbibliotek
Uppsättningen godkända svar, ett per faktum, som frågeformulär besvaras utifrån. Varje post har en ägare och ett datum. Se att bygga ett svarsbibliotek.
Kunskapsbas
I Responsemate: svarsbiblioteket plus de dokument, länkar och tidigare frågeformulär som AI:n svarar utifrån.
Underlag
Ett dokument som visar att ett svar stämmer: en policy, ett certifikat, en testrapport, en övningslogg. Se vilka underlag du ska bifoga.
Ej tillämpligt
Ett ärligt svar när en fråga beskriver något du inte gör eller inte har, med en mening som förklarar varför. Granskare godtar det när skälet är verkligt.
Konfidenspoäng
I Responsemate: en markering High, Medium eller Low på varje utkast till svar, med skälen: hur rakt källorna besvarar frågan, hur väl de matchar den och hur aktuella de är.
Källa
Varifrån ett utkast till svar kommer: den Q&A-post, fil, länk eller det tidigare svar det byggdes på. Ett svar med sina källor kan kontrolleras; ett utan är en åsikt.
Aktualitet
Om en källa eller ett svar fortfarande är aktuellt: ett certifikat före sitt utgångsdatum, en policy granskad inom året, ett personalantal från det här kvartalet.
Godkänna
Steget där en person som ansvarar för svaret bekräftar det. Ett utkast blir ett svar först när någon godkänner det.
Ramverk och standarder
ISO 27001
Den internationella standarden för ett ledningssystem för informationssäkerhet. Certifiering innebär att en revisor har kontrollerat att systemet finns och fungerar, inom ett definierat tillämpningsområde. Se ISO 27001-frågeformulär.
SOC 2
En bestyrkanderapport, utfärdad av en revisor enligt AICPA:s trust services-kriterier, om en serviceorganisations kontroller. Type I beskriver kontrollerna vid en tidpunkt; Type II testar dem över en period. Se SOC 2-frågeformulär.
ISAE 3000 och ISAE 3402
Internationella bestyrkandestandarder som används för revisorsrapporter om en serviceorganisations kontroller, vanliga i Europa där SOC 2 används mindre. Se ISAE 3000-frågeformulär.
NIS2
EU:s direktiv om säkerhet i nätverk och informationssystem, i kraft genom nationell lag sedan 2024, som gör de omfattade organisationerna ansvariga för sina leverantörers säkerhet. Se NIS2-frågeformulär för leverantörer.
DORA
EU:s förordning om digital operativ motståndskraft för finanssektorn, som gäller från 2025, med detaljerade krav på hur finansiella enheter hanterar sina IKT-tredjeparter. Se DORA-frågeformulär.
GDPR
EU:s allmänna dataskyddsförordning. I ett frågeformulär dyker den upp som frågor om personuppgifter, rättslig grund, biträden och underbiträden, överföringar och anmälan av personuppgiftsincidenter. Se GDPR-leverantörsbedömningar.
NIST CSF
Det amerikanska standardiseringsinstitutet NIST:s ramverk för cybersäkerhet: fem funktioner (identifiera, skydda, upptäcka, hantera, återställa) som många frågeformulär är uppbyggda kring.
Cyber Essentials
En brittisk statligt stödd certifiering av fem grundläggande kontroller. Efterfrågas ofta av brittiska myndigheter och deras leverantörer.
Kontroll
En konkret åtgärd som minskar en risk: kvartalsvisa behörighetsgranskningar, kryptering i vila, en testad säkerhetskopia. Ramverk är listor över kontroller; frågeformulär frågar om du har dem.
Kontrollmappning
Att koppla dina svar och underlag till kontrollerna i ett ramverk, så att du ser vilka kontroller du täcker, vilka du inte täcker, och kan besvara ett ramverksbaserat frågeformulär utifrån det du redan har.
Avtal och dataskydd
Personuppgiftsbiträdesavtal (DPA)
Avtalet enligt GDPR mellan en kund (personuppgiftsansvarig) och en leverantör (personuppgiftsbiträde) som reglerar hur personuppgifter hanteras. Frågeformulär frågar om du har ett och ber ofta att få se det.
Underbiträde
En leverantör som din leverantör använder för att behandla kundens data: hostingleverantören, e-posttjänsten, AI-leverantören. Kunder förväntar sig en publicerad lista och besked om ändringar.
Datalagringsplats
Var data lagras och behandlas geografiskt. ”EU data residency” betyder att data inte lämnar datacenter inom EU.
Trust center
En offentlig sida där ett företag publicerar sin säkerhetsställning, sina certifikat och policyer så att kunder kan läsa dem innan de frågar. Den besvarar vanliga frågor i förväg; den besvarar inte en kunds eget frågeformulär. Se Responsemate vs. ett trust center.
Penetrationstest
Ett test där säkerhetsspecialister försöker ta sig in i ett system och rapporterar vad de hittade. Frågeformulär frågar när det senaste gjordes, vad det omfattade och om fynden åtgärdades.
Mål för återställningspunkt och återställningstid (RPO, RTO)
Hur mycket data du skulle kunna förlora vid ett avbrott (tiden sedan den senaste användbara säkerhetskopian) och hur länge tjänsten skulle kunna ligga nere. Frågeformulär om kontinuitet frågar efter båda.