Top 11 Fragebögen für die Bewertung von IT-Anbietern im Jahr 2023

Geschäftspartnerschaften erfordern Vertrauen, aber es ist schwierig zu wissen, welchen Anbietern Sie vertrauen können, um die personenbezogenen Daten und PHI Ihrer Kunden zu schützen. Mit dem Aufkommen der Informationstechnologie gibt es unzählige Möglichkeiten, wie Vertrauen gebrochen werden kann, ob absichtlich oder unabsichtlich.

Als Ausgangspunkt benötigen Sie zusätzliche Informationen zu Informationssicherheitsrichtlinien, internen Sicherheitspraktiken, Plänen für die Reaktion auf Vorfälle und zur Notfallwiederherstellung sowie zu früheren Sicherheitsvorfällen.

Fragebögen zur Sicherheitsbewertung von Anbietern sind eine Methode, um zu überprüfen, ob Dienstanbieter über ein geeignetes Sicherheitsprogramm verfügen.

Machen Sie einen Rundgang durch die Risikobewertungsfunktionen von UpGuard >

Das Problem ist, dass sich die Best Practices für Cybersicherheit und Informationssicherheit (InfoSec) in ständigem Wandel befinden.

Neue Frameworks für Lieferantenfragebögen werden gefühlt täglich eingeführt. Jeder hat seine eigenen Anwendungsfälle, Vor- und Nachteile.

Vor diesem Hintergrund haben wir bereits untersucht, dass die Planung Ihres Fragebogens zur Lieferantensicherheit und die Verwendung einer Fragebogenvorlage zur Risikobewertung von Anbietern das Onboarding und die Risikobewertungsprozesse für Anbieter optimieren und Ihnen Zeit und Geld sparen können.

Darüber hinaus ist das Risikomanagement von Anbietern ein wichtiger Bestandteil der Reduzierung von Third-Party-Risiken und Fourth-Party-Risiken, der Minderung von Cyber-Risiken und der Verhinderung von Datenschutzverletzungen, an denen Drittanbieter und Dienstleister beteiligt sind.

Das Problem, mit dem Sie und viele Experten für Third-Party-Risikomanagement (TPRM) konfrontiert sind, besteht darin, dass es mit der Einführung von mehr Sicherheitsbewertungen von Anbietern schwieriger geworden ist, zu verstehen, welche Frameworks für die Anbieterbewertung zu welchem Zeitpunkt und für welchen Drittanbieter verwendet werden sollen.

Bei UpGuard ist die Vereinfachung des Sicherheitsrisikomanagements Teil unserer Aufgabe. Aus diesem Grund haben wir eine Liste mit zehn der am häufigsten verwendeten Fragebögen zusammengestellt, die heute bei Sicherheitsbewertungen von IT-Anbietern verwendet werden.

Wir sind der Meinung, dass das Risikomanagement von Drittanbietern zu wichtig ist, um es dem Zufall zu überlassen, weshalb wir UpGuard Vendor Risk entwickelt haben, eine robuste Plattform für das Risikomanagement von Anbietern, die Sicherheitsbewertungen in Kombination mit einer Bibliothek vorgefertigter Fragebögen verwendet, um Ihnen zu helfen, einen tiefen Einblick in die Sicherheit von Anbietern zu erhalten und Ihre Abdeckung zu verbessern, ohne die Mitarbeiterzahl zu erhöhen.

Unser Fragebogenmodul hilft Ihnen beim Versenden von Fragebögen, verbessert Ihren Überprüfungsprozess und speichert ausgefüllte Fragebögen auf der Plattform, um sicherzustellen, dass sie immer zugänglich sind.

Zusätzlich zu den Sicherheitsfragebögen bieten Sicherheitsbewertungen eine sofortige Gewährleistung der Sicherheitskontrollen und eine kontinuierliche Überwachung der externen Sicherheitslage eines Anbieters. Lesen Sie hier mehr darüber, warum Sicherheitsbewertungen wichtig sind und wie sie Sicherheitsfragebögen ergänzen.

Die 11 besten Fragebögen zur Bewertung von IT-Anbietern im Jahr 2023

1. Fragebogen zum California Consumer Privacy Act (CCPA)

Der California Consumer Privacy Act (CCPA) oder AB 375 ist ein neues Gesetz, das am 1. Januar 2020 in Kraft getreten ist und die Datenschutzrechte der Verbraucher und den Schutz der Einwohner des Bundesstaates Kalifornien verbessern soll, indem Regeln für den Umgang von Unternehmen mit ihren personenbezogenen Daten festgelegt werden.

Der CCPA ist die umfangreichste Gesetzgebung zum Schutz der Privatsphäre von Verbrauchern, die in den Vereinigten Staaten verabschiedet wurde, und ähnelt der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und anderen Datenschutzgesetzen und Datenschutzbestimmungen.

Wie die DSGVO ist auch der CCPA ein extraterritoriales Gesetz, das für alle Organisationen gilt, unabhängig davon, ob sie in Kalifornien tätig sind.

Lesen Sie unseren vollständigen Leitfaden zum CCPA >

2. Center for Internet Security - CIS Critical Security Controls (CIS First 5/CIS Top 20)

Die CIS-Kontrollen für eine effektive Cyberabwehr sind eine priorisierte Reihe von Maßnahmen, die eine Reihe von Defense-in-Depth-Sets mit spezifischen und umsetzbaren Best Practices bilden, um die häufigsten Cyberangriffe abzuschwächen.

Sie wurden vom Center for Internet Security (CIS) erstellt und gepflegt, einer zukunftsorientierten gemeinnützigen Organisation, die die Kraft einer globalen IT-Community nutzt, um öffentliche und private Organisationen vor Cyberbedrohungen zu schützen.

Die CIS-Kontrollen verkörpern die ersten Schritte zur Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit eines Unternehmens und können als eine kurze Liste von hochpriorisierten, hochwirksamen Abwehrmaßnahmen für jeden Anbieter angesehen werden, der seine Cyberabwehr verbessern möchte.

Die ersten fünf CIS-Kontrollen werden oft als Cyber-Hygiene bezeichnet, und Studien haben gezeigt, dass ihre Implementierung eine wirksame Verteidigung gegen die häufigsten Cyberangriffe (~85% der Angriffe) bietet.

Darüber hinaus entsprechen die CIS-Kontrollen vielen wichtigen Compliance-Frameworks und regulatorischen Standards wie dem NIST Cybersecurity Framework, NIST 800-53, der ISO 27000-Serie und Vorschriften wie PCI DSS, HIPAA, NERC CIP und FISMA.

Lesen Sie hier unseren vollständigen Leitfaden zu den CIS Critical Security Controls.

3. Cloud Security Alliance - Fragebogen der Consensus Assessments Initiative (CAIQ)

Der Consensus Assessments Initiative Questionnaire (CAIQ) ist eine Sicherheitsbewertung, die von der Cloud Security Alliance (CSA) bereitgestellt wird, einer führenden Organisation, die sich der Definition und Sensibilisierung für sichere Best Practices für Cloud Computing verschrieben hat. Der CAIQ hilft Cloud-Verbrauchern und Auditoren, die Informationssicherheitsfähigkeiten von Rechenzentrums- und Cloud-Anbietern zu bewerten.

Der CAIQ wurde entwickelt, um eine der größten Bedenken von Unternehmen beim Wechsel in die Cloud auszuräumen, nämlich den Mangel an Transparenz darüber, welche Technologien und Taktiken Cloud-Anbieter in Bezug auf Datenschutz und Risikomanagement implementieren.

Es bietet allgemein akzeptierte Branchenstandards für die Dokumentation von Sicherheitskontrollen in IaaS-, PaaS- und SaaS-Angeboten.

Der CAIQ tut dies durch eine Reihe von "Ja/Nein"-Fragen, die darauf abzielen, die Einhaltung der CSA Cloud Controls Matrix (CCM) zu gewährleisten, die aus 133 Kontrollzielen besteht, die in 16 Bereichen strukturiert sind und alle wichtigen Aspekte der Cloud-Technologie abdecken.

Lesen Sie hier unseren vollständigen Leitfaden zum CAIQ.

4. Fragebogen zur Datenschutz-Grundverordnung (DSGVO)

Die Datenschutz-Grundverordnung (DSGVO) ist ein extraterritoriales europäisches Gesetz, das für die Verarbeitung, Speicherung und Offenlegung personenbezogener Daten (PII) europäischer Bürger gilt.

Die Einhaltung der DSGVO bedeutet auch die Einhaltung anderer Datenschutzgesetze wie CCPA, LGPD, SHIELD Act, FIPA und PIPEDA.

Während viele Unternehmen wissen, dass sie Daten in Übereinstimmung mit der DSGVO verarbeiten müssen, vergessen viele, dass sich die DSGVO ausschließlich auf Daten konzentriert, was bedeutet, dass alle Kundendaten, die einen Anbieter durchlaufen oder bei ihm gespeichert werden, ebenfalls der DSGVO entsprechen müssen.

Darüber hinaus verlangt die DSGVO, dass Unternehmen Datenschutzverletzungen innerhalb von 72 Stunden der zuständigen Datenschutzbehörde (DPA) melden, die sich um die rechtlichen Folgen der Datenoffenlegung kümmert, was zu Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes führen kann, je nachdem, welcher Betrag höher ist.

Um einen Überblick über die Einhaltung der DSGVO durch Ihren Anbieter zu erhalten, müssen Sie einen robusten DSGVO-Fragebogen entwickeln oder den auf der UpGuard-Plattform verfügbaren Fragebogen verwenden.

5. Tool zur Bewertung von Anbietern in der Hochschulgemeinschaft - (HECVAT/HECVAT Lite)

Das Higher Education Community Vendor Assessment Tool (HECVAT) ist eine Vorlage für die Sicherheitsbewertung, die Fragen zur Informationssicherheit und zum Datenschutz im Hochschulbereich sowie Fragen zu Cloud-Diensten im Hinblick auf Konsistenz und Benutzerfreundlichkeit verallgemeinert.

HECVAT verfügt über verschiedene Versionen, die kostenlos verwendet werden können und ein konsistentes, optimiertes Framework für die Risikobewertung von Drittanbietern bieten:

• HECVAT: 265 Fragen, einschließlich qualifizierender Fragen für HIPAA und PCI-DSS Opt-in
• HECVAT Lite: Ein leichter Fragebogen, der zur Beschleunigung des Prozesses verwendet wird
• On-Premise: Ein einzigartiger Fragebogen, der zur Bewertung der Sicherheit von On-Premise-Anwendungen verwendet wird.

Erfahren Sie, wie Sie HECVAT-Vorschriften einhalten können.

HECVAT wurde von der Shared Assessment Working Group des Higher Education Information Security Council (HEISC), EDUCAUSE, Internet2 und dem Research and Education Networking Information Sharing and Analysis Center (REN-ISAC) ins Leben gerufen.

Lesen Sie hier unseren vollständigen Leitfaden zu HECVAT.

Fragebogen 6. ISO 27001

ISO/IEC 27001 ist eine der bekanntesten und am häufigsten verwendeten Normen für Informationssicherheit und Teil der Normenfamilie ISO/IEC 27000. Es wird von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) herausgegeben.

ISO 27001 verfolgt einen systematischen Ansatz für das Lieferantenrisikomanagement, indem sie standardmäßige Risikobewertungen und Compliance-Prüfungen durchführt und dann Vorschläge und Aktionspläne zur Behandlung und Vermeidung von Problemen in der Zukunft bereitstellt.

Einer der größten Vorteile der Verwendung des ISO 27001-Fragebogens besteht darin, dass er proaktiv erkennt, wie Anbieter Ressourcen und Tools falsch einsetzen, was oft überhaupt erst zu Compliance-Lücken und Sicherheitsbedrohungen führt.

Erfahren Sie, wie Sie eine Software zur Automatisierung von Sicherheitsfragebögen auswählen.

7. Fragebogen zur modernen Sklaverei

Der Fragebogen zur modernen Sklaverei orientiert sich an dem australischen Modern Slavery Bill 2018 und dem britischen Modern Slavery Act 2015.

Es soll Sie bei der Identifizierung von Risiken moderner Sklaverei unterstützen, die Zusammenarbeit zwischen Dritten und Organisationen ermöglichen, um die Risiken anzugehen, die Transparenz zu verbessern und Bereiche für weitere Sorgfaltspflichten zu identifizieren.

8. Nationales Institut für Standards und Technologie - NIST SP 800-171

Die NIST-Sonderveröffentlichung 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations (NIST SP 800-171), bietet Bundesbehörden eine Reihe von Richtlinien, die sicherstellen sollen, dass Controlled Unclassified Information (CUI) in nicht-föderalen Systemen und Organisationen vertraulich, verfügbar und unverändert bleibt.

NIST SP 800-171 enthält 14 spezifische Sicherheitsziele, jedes mit einer Vielzahl einzigartiger Kontrollen.

Jede Bundesbehörde, die mit Dritten zusammenarbeitet, und alle nicht-föderalen Systeme oder Organisationen, die von Bundesbehörden verwendet werden, müssen NIST 800-171 einhalten. Die hohen Standards der Sicherheitsmaßnahmen zum Schutz sensibler Daten im gesamten Anbieternetzwerk machen NIST 800-171 effektiv bei der Reduzierung von Angriffsrisiken in der Lieferkette.

Durch die Einhaltung von NIST SP 800-171 erfüllen Sie auch die meisten Kriterien für NIST SP 800-53, und die Einhaltung von NIST SP 800-53 ist ein wichtiger Bestandteil der FISMA- und FedRAMP-Konformität.

Während sich NIST SP 800-171 hauptsächlich auf Unternehmen konzentriert, die im Rahmen eines Regierungsvertrags arbeiten, stellt es eine konzertierte Anstrengung zur Verbesserung der Cybersicherheit auf nationaler Ebene dar und ist ein detaillierter Rahmen, der von jeder Organisation verwendet werden kann, die ihre Cybersicherheitslage verbessern möchte.

Lesen Sie unseren vollständigen Leitfaden zum NIST SP 800-171.

9. Shared Assessments Group - Standardisierter Fragebogen zur Informationsbeschaffung (SIG/SIG-Lite)

Der SIG-Fragebogen (Standardized Information Gathering) wird verwendet, um eine erste Bewertung von Anbietern durchzuführen und Informationen zu sammeln, um zu bestimmen, wie Sicherheitsrisiken in 18 verschiedenen Risikobereichen gehandhabt werden.

SIG wurde von Shared Assessments entwickelt und ist ein ganzheitliches Tool für die Bewertung des Risikomanagements in den Bereichen Cybersicherheit, IT, Datenschutz, Datensicherheit und Business Resiliency.

Es gibt drei Arten von SIG-Fragebögen:

1. SIG-Fragebogen: Das SIG-Assessment bewertet Anbieter auf der Grundlage von 18 individuellen Risikokontrollen, die zusammen bestimmen, wie Sicherheitsrisiken in der gesamten Umgebung des Anbieters gehandhabt werden.
2. SIG LITE: Der SIG-Fragebogen ist umfangreich und richtet sich an mehrere Risikobereiche in verschiedenen Disziplinen. Für Anbieter, die ein geringeres inhärentes Risiko haben und nicht die gesamte SIG-Bewertung benötigen, kann SIG LITE wertvoll sein. Es nimmt die High-Level-Konzepte und -Fragen aus den grösseren SIG-Assessments und reduziert sie auf einige wenige Fragen.
3. SIG CORE: SIG CORE ist eine Bibliothek mit Fragen, aus denen Sicherheitsteams auswählen können, einschließlich umfangreicher Fragen zur DSGVO und anderen spezifischen Compliance-Vorschriften.

Lesen Sie hier unseren vollständigen Leitfaden zum SIG-Fragebogen.

10. Vendor Security Alliance - VSA-Fragebogen (VSA)

Der Fragebogen der Vendor Security Alliance (VSA) wurde von einer Koalition von Unternehmen erstellt, die sich für die Verbesserung der Internetsicherheit einsetzen.

Die VSA gibt zwei kostenlose Fragebögen heraus, die jährlich aktualisiert werden:

• VSA-Full: Dies ist der klassische VSA-Fragebogen, der sich stark auf die Sicherheit von Anbietern konzentriert und von Tausenden von Unternehmen weltweit verwendet wird.
• VSA-Core: Dieser Fragebogen setzt sich neben dem Datenschutz aus der kritischsten Anbieterbewertung zusammen. Der Abschnitt "Datenschutz" befasst sich sowohl mit den Meldepflichten bei Datenschutzverletzungen in den USA, dem California Consumer Privacy Act (CCPA) als auch mit der Datenschutz-Grundverordnung (DSGVO).

Im Gegensatz zu anderen Fragebögen wurde der VSA-Bewertungsprozess mit Blick auf den Anbieter entwickelt. Der Schwerpunkt liegt darauf, irrelevante Fragen zu eliminieren und die Zeit zu reduzieren, die InfoSec- und Sicherheitsteams zum Ausfüllen des Fragebogens benötigen.

Lesen Sie hier unseren vollständigen Leitfaden zum Fragebogen der Vendor Security Alliance (VSA).

11. Fragebogen zu den Datensicherheitsstandards der Zahlungskartenindustrie (PCI DSS)

Die Payment Card Industry Data Security Standards (PCI DSS) sind ein Informationssicherheits- und Datensicherheitsstandard für Organisationen, die Markenkreditkarten der wichtigsten Kartensysteme verarbeiten.

Im Jahr 2006 schlossen sich fünf große Kreditkartenunternehmen - Visa, MasterCard, Discover, American Express und JCB - zusammen und gründeten den Payment Card Industry Security Standards Council (PCI Security Standards Council oder PCI SSC), um Sicherheitsstandards für Unternehmen zu verwalten und zu verwalten, die mit Kreditkartendaten umgehen.

Jedes Unternehmen, das Zahlungskarten akzeptiert oder verarbeitet, muss PCI-konform sein, was im Wesentlichen drei Dinge umfasst:

1. Sicherstellen, dass sensible Kartendaten sicher erfasst und übertragen werden
2. Sichere Speicherung von Daten durch Erfüllung der 12 Sicherheitsdomänenanforderungen des PCI-Standards, wie z. B. Verschlüsselung, kontinuierliche Überwachung und Sicherheitstests der Zugriffskontrolle auf Kartendaten
3. Jährliche Validierung, ob die erforderlichen Sicherheitskontrollen vorhanden sind, die Formulare, Sicherheitsfragebögen, externe Schwachstellenscans und Audits durch Dritte umfassen können.

Welcher Fragebogen ist der richtige für Ihr Third-Party Risk Management (TPRM)-Programm?

Die Bestimmung des richtigen Bewertungstools für das Vendor Risk Management (VRM)-Programm Ihres Unternehmens sollte nicht auf die leichte Schulter genommen werden. Die Anzahl und Qualität der zur Verfügung stehenden Sicherheitsfragebögen nimmt jedoch kontinuierlich zu.

Die meisten werden regelmäßig (in der Regel jährlich) von Expertengruppen für Cybersicherheit, Informationssicherheit, Compliance und Risiken aktualisiert und verbessert und werden zunehmend von den weltweit führenden Unternehmen übernommen.

Wenn Sie sich nicht sicher sind, welcher Fragebogen oder welches Framework für Sie geeignet ist, lassen Sie sich von unserem Team bei UpGuard bei der Entscheidung helfen oder verwenden Sie unsere Bibliothek mit vorgefertigten Fragebögen, die den Prozess vereinfachen und Ihrem Team viel Zeit und Ressourcen sparen können.

Erfahren Sie, wie Sie den Prozess der Lieferantenbefragung optimieren können.

Warum Sie in Erwägung ziehen sollten, Sicherheitsbewertungen zusammen mit Anbieterfragebögen zu verwenden

Sicherheitsbewertungen bieten Risikomanagement- und Sicherheitsteams die Möglichkeit, die Sicherheitslage ihrer Anbieter kontinuierlich zu überwachen.

Der Vorteil von Sicherheitsbewertungen neben Sicherheitsfragebögen besteht darin, dass sie automatisch generiert und häufig aktualisiert werden und eine gemeinsame Sprache für technische und nicht-technische Stakeholder bieten.

Das Wichtigste ist, dass Sicherheitsbewertungen die große Lücke füllen, die bei herkömmlichen Risikobewertungstechniken wie Sicherheitsfragebögen entsteht. Das Versenden von Fragebögen an jeden Dritten erfordert viel Engagement, Zeit und ist ehrlich gesagt nicht immer genau.

Sicherheitsbewertungen können die in Sicherheitsfragebögen gemeldeten Ergebnisse ergänzen und sicherstellen, da sie extern überprüfbar sind, immer aktuell sind und von einer unabhängigen Organisation bereitgestellt werden.

Laut Gartner werden Cybersecurity-Ratings bei der Bewertung des Risikos bestehender und neuer Geschäftsbeziehungen genauso wichtig wie Kreditratings... Diese Dienstleistungen werden zur Voraussetzung für Geschäftsbeziehungen und Teil des Sorgfaltsstandards für Anbieter und Beschaffer von Dienstleistungen.

Lesen Sie hier mehr darüber, warum Sicherheitsbewertungen wichtig sind.

UpGuard ist einer der beliebtesten Anbieter von Sicherheitsbewertungen. Wir erstellen unsere Bewertungen mithilfe proprietärer Algorithmen, die vertrauenswürdige kommerzielle und Open-Source-Bedrohungs-Feeds aufnehmen und analysieren, sowie durch nicht-intrusive Datenerfassungsmethoden, um Cyberrisiken quantitativ zu bewerten.

Wir stützen unsere Bewertungen auf die Analyse von 70+ Vektoren, darunter:

• Anfälligkeit für Man-in-the-Middle-Angriffe
• Unsichere SSL/TLS-Zertifikate
• SPF-, DKIM- und DMARC-Einstellungen
• HTTP Streng Transport Sécherheet (HSTS)
• E-Mail-Spoofing und Phishing-Risiko
• Schwachstellen
• Anfälligkeit für Malware
• Unnötige offene Administrations-, Datenbank-, App-, E-Mail- und Filesharing-Ports
• Gefährdung durch bekannte Datenschutzverletzungen und Datenlecks
• Anfällige Software
• HTTP-Zugänglichkeit
• Sichere Cookie-Konfiguration
• Ergebnisse intelligenter Sicherheitsfragebögen

Wenn Sie neugierig auf andere Sicherheitsbewertungsdienste sind, lesen Sie unseren Leitfaden zu SecurityScorecard vs. BitSight hier.

UpGuard Vendor Risk kann den Zeitaufwand für die Bewertung der damit verbundenen Informationssicherheitskontrollen und der Informationssicherheitskontrollen von Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und anpassbare Anbieterfragebogenvorlagen bereitstellt.

Für die Bewertung Ihrer Informationssicherheitskontrollen kann die Sicherheitsbewertungsfunktion von UpGuard Ihr Unternehmen auf 70+ Sicherheitskontrollen überwachen, die Datenschutzverletzungen von Erst- und Drittanbietern erleichtern. Durch die Kombination von Sicherheitsbewertungen mit der Überwachung der Angriffsfläche beseitigt UpGuard die Einschränkungen der Sichtbarkeit von Point-in-Time-Bewertungen, um in Echtzeit ein Bewusstsein für Ihre sich entwickelnde Angriffsfläche zu erhalten.

Sehen Sie sich dieses Video an, um zu erfahren, wie UpGuard die Zusammenarbeit mit Lieferanten verbessert, um den Lebenszyklus des Lieferantenrisikomanagements zu optimieren.