Was ist der Vendor Security Alliance Questionnaire (VSAQ)?

Der Vendor Security Alliance Questionnaire (VSAQ) wurde von einer Koalition von Unternehmen erstellt, die sich der Verbesserung der Internetsicherheit verschrieben haben.

Es ist einer der bekanntesten und angesehensten Sicherheitsfragebögen, neben:

• Der Fragebogen der Cloud Security Alliance (CSA) zur Konsensusbewertung (CAIQ)
• CIS-kritische Sicherheitskontrollen
• NIST SP 800-171
• Standardisierter Fragebogen zur Informationsbeschaffung (SIG/SIG-Lite)
• ISO 27001

Der VSA-Fragebogen kann kostenlos verwendet werden und ist auf der VSA-Website zugänglich.

Erfahren Sie, wie UpGuard den Prozess der Sicherheitsbefragung optimiert >

Wer hat die Vendor Security Alliance (VSA) ins Leben gerufen?

Die Vendor Security Alliance (VSA) wurde von Airbnb, Atlassian, Docker, Dropbox und Uber gegründet, um die Einhaltung der Sicherheitsvorschriften und die Sorgfaltspflicht von Anbietern zu optimieren und es ihren Mitgliedern zu ermöglichen, das VSA-Netzwerk von externen Prüfern zu nutzen, um Risikobewertungen von Anbietern durchzuführen.

Dies ermöglicht es Anbietern, andere Anbieter schneller und kostengünstiger als zuvor zu bewerten. Neben den Gründungsmitgliedern gehören der VSA Unternehmen wie Adobe, Coinbase, TaskUs und Replicated an.

Warum wurde der VSA-Fragebogen erstellt?

Der VSA-Fragebogen wurde erstellt, um Unternehmen bei der Bewältigung wachsender Cybersicherheitsrisiken bei Cloud-Diensten und SaaS-Anbietern von Drittanbietern zu unterstützen. Wenn der VSAQ während der Due Diligence eingesetzt wird, sichert er den Lieferantenüberprüfungsprozess und ermöglicht es Unternehmen, die potenziellen Auswirkungen eines potenziellen Kunden auf ihre Sicherheitslage zu identifizieren.

In der Vergangenheit hatten Unternehmen keine standardisierte Methode, um die Sicherheitsrisiken ihrer Mitbewerber und Drittanbieter zu bewerten. Dank von Fragebögen, die auf Standards wie VASQ und PCI DSS abgestimmt sind, können Unternehmen jetzt die Informationssicherheitsrichtlinien potenzieller Partner verstehen und Anbieter auf der Grundlage fundierter Cybersicherheitsentscheidungen auswählen.

Mit innovativen Funktionen wie der Technologie zur Automatisierung von Fragebögen sind die Programme für das Lieferantenrisikomanagement erheblich ausgereift. Heute haben Unternehmen vollständige Transparenz und Kontrolle über ihre Risikolandschaft von Drittanbietern und können so Störungen der Geschäftskontinuität reduzieren, die durch Sicherheitsprobleme der Anbieter verursacht werden.

Welche Arten von VSA-Fragebögen gibt es?

Die VSA gibt zwei kostenlose Fragebögen heraus, die jährlich aktualisiert werden:

• VSA-Full: Dies ist der klassische VSA-Fragebogen, der sich stark auf die Sicherheit von Anbietern konzentriert und von Tausenden von Unternehmen weltweit verwendet wird.
• VSA-Core: Dieser Fragebogen setzt sich neben dem Datenschutz aus der kritischsten Anbieterbewertung zusammen. Der Abschnitt "Datenschutz" befasst sich sowohl mit den Meldepflichten bei Datenschutzverletzungen in den USA, dem California Consumer Privacy Act (CCPA) als auch mit der Datenschutz-Grundverordnung (DSGVO).

VSA-Voll

Der VSA-Full wurde erstmals 2016 veröffentlicht und soll Unternehmen dabei helfen, ihr Risikomanagementprogramm für Lieferanten zu verbessern, indem sie die Sicherheitsbewertungen von Anbietern rationalisieren.

Der VSA-Fragebogen besteht aus acht verschiedenen Abschnitten, darunter:

1. Leistungsübersicht
2. Datenschutz & Zugriffskontrolle
3. Richtlinien und Standards
4. Proaktive Sicherheit
5. Reaktive Sicherheit
6. Software-Lieferkette
7. Kundenorientierte Anwendungssicherheit
8. Beachtung

VSA-Kern

Der VSA-Core-Fragebogen konzentriert sich auf Sicherheits- und Datenschutzprinzipien und -praktiken. Aus Sicherheitssicht geht er nicht in die gleiche Tiefe wie der VSA-Full-Fragebogen, fügt jedoch den Abschnitt "Datenschutz" hinzu, der die Kernprinzipien der US-amerikanischen Gesetze zu Datenschutzverletzungen, des California Consumer Privacy Act und der DSGVO abdeckt.

Der VSA-Core-Fragebogen sollte verwendet werden, wenn Unternehmen sicherstellen möchten, dass der Anbieter über gut konzipierte Sicherheits- und Datenschutzabläufe verfügt, während sich der VSA-Full ausschließlich auf die Sicherheit konzentriert.

Erfahren Sie, wie Sie eine Software zur Automatisierung von Sicherheitsfragebögen auswählen >

Wie unterscheidet sich der VSA-Fragebogen von anderen Fragebögen zur Lieferantenbewertung?

Im Gegensatz zu anderen Fragebögen wurde der VSA-Bewertungsprozess mit Blick auf den Anbieter entwickelt. Der Schwerpunkt liegt darauf, irrelevante Fragen zu eliminieren und die Zeit zu reduzieren, die InfoSec- und Sicherheitsteams zum Ausfüllen des Fragebogens benötigen.

Sicherheitsexperten wissen, dass jeder Anbieter, der ein Produkt oder eine Dienstleistung anbietet, Risiken mit sich bringen kann, insbesondere wenn er Zugriff auf sensible Daten hat, ohne dass entsprechende Kontrollen vorhanden sind. Das Problem ist, dass es mühsam, zeitintensiv und teuer sein kann, Anbieter zum Ausfüllen von Sicherheitsfragebögen zu bewegen.

Aus diesem Grund fordert die VSA Unternehmen auf, das Risikomanagement von Drittanbietern wie folgt anzugehen:

• Datenrisikobasiert: Nicht alle Anbieter sollten an den gleichen Standard gehalten werden, das Risiko steht in einem angemessenen Verhältnis zur Sensibilität der Daten, auf die sie zugreifen (und deren Volumen). Das bedeutet, dass die Sicherheitskontrollen, die Anbieter eingerichtet haben, in einem angemessenen Verhältnis zu ihrem Risiko stehen müssen
• Integrierte Sicherheit: Große Sicherheit wird nicht durch den Kauf eines Produkts erreicht, sondern durch einen Defense-in-Depth-Ansatz, der damit beginnt, wie das Produkt entworfen, getestet, gepatcht und gewartet wird, sowie mit den Schritten, die unternommen wurden, um die Wahrscheinlichkeit einer Datenschutzverletzung zu minimieren, und was nach einem Sicherheitsvorfall passiert (Incident Response Planning und Disaster Recovery)
• Serviceorientiert: Viele Unternehmen bieten mehrere Produkte und Dienstleistungen an. Anstatt das Unternehmen zu prüfen, konzentriert sich der VSA-Bewertungsprozess auf das Produkt oder die Dienstleistung, die geliefert wird. Das bedeutet, dass Anbieter den Fragebogen für jedes spezifische Produkt oder jede Dienstleistung ausfüllen sollten, die bewertet wird.

Lesen Sie unseren Leitfaden zu den wichtigsten Sicherheitsfragebögen >

Welche Art von Organisation sollte den VSA-Fragebogen verwenden?

Obwohl der VSA-Fragebogen ursprünglich für die Mitglieder der VSA erstellt wurde, kann er von jedem Sicherheitsteam kostenlos verwendet werden, um die Datensicherheitsstandards der Anbieter zu bewerten.

Zu den gängigen Branchen gehören Finanzdienstleistungen, Technologie, Gesundheitswesen, Behörden und Hochschulbildung.

Warum Sie die Verwendung von Sicherheitsbewertungen mit dem VSA-Fragebogen in Betracht ziehen sollten

Sicherheitsbewertungen bieten Risikomanagement- und Sicherheitsteams die Möglichkeit, die Sicherheitslage ihrer Anbieter kontinuierlich zu überwachen.

Der Vorteil von Sicherheitsbewertungen neben Sicherheitsfragebögen besteht darin, dass sie automatisch generiert und häufig aktualisiert werden und eine gemeinsame Sprache für technische und nicht-technische Stakeholder bieten.

Das Wichtigste ist, dass Sicherheitsbewertungen die große Lücke füllen, die bei herkömmlichen Risikobewertungstechniken wie Sicherheitsfragebögen entsteht. Das Versenden von Fragebögen an jeden Dritten erfordert viel Engagement, Zeit und ist ehrlich gesagt nicht immer genau.

Sicherheitsbewertungen können die in Sicherheitsfragebögen gemeldeten Ergebnisse ergänzen und sicherstellen, da sie extern überprüfbar sind, immer aktuell sind und von einer unabhängigen Organisation bereitgestellt werden.

Laut Gartner werden Cybersecurity-Ratings bei der Bewertung des Risikos bestehender und neuer Geschäftsbeziehungen genauso wichtig wie Kreditratings... Diese Dienstleistungen werden zur Voraussetzung für Geschäftsbeziehungen und Teil des Sorgfaltsstandards für Anbieter und Beschaffer von Dienstleistungen.

Erfahren Sie mehr darüber, warum Sicherheitsbewertungen wichtig sind >

UpGuard ist einer der beliebtesten Anbieter von Sicherheitsbewertungen. Wir generieren unsere Bewertungen mithilfe proprietärer Algorithmen, die vertrauenswürdige kommerzielle und Open-Source-Feeds zu Sicherheitsrisiken berücksichtigen und analysieren, sowie durch nicht-intrusive Datenerfassungsmethoden, um die Sicherheitspraktiken von Dienstanbietern quantitativ zu bewerten.

Wir stützen unsere Bewertungen auf die Analyse von 70+ Vektoren, darunter:

• Anfälligkeit für Man-in-the-Middle-Angriffe
• Unsichere SSL/TLS-Zertifikate
• SPF-, DKIM- und DMARC-Einstellungen
• HTTP Streng Transport Sécherheet (HSTS)
• E-Mail-Spoofing und Phishing-Risiko
• Schwachstellen
• Anfälligkeit für Malware
• Unnötige offene Administrations-, Datenbank-, App-, E-Mail- und File-Sharing-Ports
• Gefährdung durch bekannte Datenschutzverletzungen und Datenlecks
• Anfällige Software
• HTTP-Zugänglichkeit
• Sichere Cookie-Konfiguration
• Ergebnisse intelligenter Sicherheitsfragebögen

Wenn Sie neugierig auf andere Sicherheitsbewertungsdienste sind, lesen Sie unseren Leitfaden zu SecurityScorecard vs. BitSight hier.

Sehen Sie sich das folgende Video an, um zu erfahren, wie UpGuard die Arbeitsabläufe bei der Risikobewertung optimiert.