SIG
Standardized Information Gathering-frågeformuläret underhålls av Shared Assessments och är det som banker, försäkringsbolag och stora företag skickar oftast. Det finns i två storlekar. SIG Core är hela biblioteket, flera hundra frågor fördelade på ett tjugotal domäner: åtkomstkontroll, tillgångshantering, applikationssäkerhet, verksamhetens motståndskraft, moln, regelefterlevnad, dataskydd, HR, incidenthantering, nätverkssäkerhet, fysisk säkerhet, integritet, leverantörshantering, hothantering. SIG Lite är en delmängd på ett hundratal frågor som används för leverantörer med lägre risk och för första genomgångar.
Frågorna besvaras med ja, nej eller inte tillämpligt, med en kommentarskolumn. Värdet ligger i kommentaren. Ett blankt ja på ”Granskas behörigheter regelbundet?” säger granskaren ingenting; ”Kvartalsvis, av IT-chefen, resultaten i ärendesystemet” säger allt.
CAIQ
Consensus Assessment Initiative Questionnaire kommer från Cloud Security Alliance och mappar mot dess Cloud Controls Matrix. Det är frågeformuläret moln- och SaaS-leverantörer får, och strukturen följer domänerna i kontrollmatrisen: applikations- och gränssnittssäkerhet, revisionssäkring, kontinuitet, ändringshantering, datasäkerhet, kryptering och nyckelhantering, styrning, identitet och åtkomst, infrastruktursäkerhet, loggning och övervakning, leveranskedja, hot- och sårbarhetshantering.
Eftersom det är byggt för delat ansvar besvaras många rader delvis av din hostingleverantör. De stora leverantörerna publicerar sin egen ifyllda CAIQ; att citera rätt rad ur den är det accepterade sättet att besvara de frågorna, med en mening om vad du gör utöver det.
DDQ
Ett due diligence-frågeformulär är vad en kunds inköps- eller riskteam skickar innan avtalet skrivs under, och det är bredare än säkerhet. Räkna med avsnitt om företaget (ägande, antal år i verksamhet, nyckelpersoner), ekonomi och försäkringar, juridisk och regulatorisk status, kontinuitet, dataskydd och integritet, och sedan ett säkerhetsavsnitt som oftast är en förkortad SIG eller CAIQ. Finansinstitut och offentliga organ skickar de längsta. Säkerhetsavsnittet är där ditt svarsbibliotek kommer till användning; resten besvaras en gång och ändras sällan.
Vad de har gemensamt
Ungefär två tredjedelar av säkerhetsfrågorna i vilket som helst av de tre frågar om samma saker med olika ord: hur du styr åtkomst, hur du skyddar data i vila och under överföring, hur du utvecklar och ändrar programvara, hur du hittar och åtgärdar sårbarheter, hur du hanterar incidenter, hur du håller tjänsten igång, vilka dina leverantörer är, och hur du utbildar personalen. Formuleringarna skiljer sig, numreringen skiljer sig, formatet ja/nej/kommentar skiljer sig. Fakta gör det inte.
Det talar för ett svarsbibliotek med ett godkänt svar per faktum, skrivet i en neutral ton, som varje frågeformulärs rader får sina utkast från. Alternativet, en ifylld SIG här och en ifylld CAIQ där, glider isär inom två kvartal: SIG säger att säkerhetskopior testas varje månad, CAIQ säger varje kvartal, och en granskare som har båda frågar vilket som stämmer.
Så besvarar du alla tre från ett ställe
Spara fakta, inte frågeformulären. För varje kontroll: ett godkänt svar med sin ägare, sitt underlag och ett datum. När en SIG kommer, skriv utkast till varje rad från det biblioteket, granska dem som biblioteket bara halvt täcker, och exportera till SIG:s egen fil. När CAIQ kommer besvarar samma bibliotek den med CAIQ:s ord. Kunskapsbasen i Responsemate är där det biblioteket bor, med underlag och datum på varje post, och frågorna du aldrig har skrivit ett svar på dyker upp som de rader AI:n inte kan skriva utkast till.
Vanliga frågor
Måste vi fylla i SIG om kunden skickar den?
Oftast ja, men du kan skicka SIG Lite eller din egen ifyllda SIG från tidigare under året om kunden accepterar det, och det gör många. Fråga innan du börjar; en kund som nöjer sig med din senaste ifyllda SIG sparar båda sidor en vecka.
Är CAIQ bara för molnleverantörer?
Det skrevs för molntjänster, men alla SaaS-företag får det, för i kundens ögon är du en molntjänst. Om du hostar hos en stor leverantör beskriver en del av CAIQ deras kontroller, och deras egen publicerade CAIQ är ditt underlag för de raderna.
Vad är skillnaden mellan en DDQ och ett säkerhetsfrågeformulär?
En DDQ är bredare. Den frågar om företaget (ägande, ekonomi, försäkringar, kontinuitet) utöver säkerhet. Säkerhetsavsnittet i en DDQ är oftast en förkortad version av en SIG eller CAIQ.