Planen Sie Ihren Fragebogen zur Lieferantensicherheitsbewertung [Ausgabe 2023]

Geschäftspartnerschaften erfordern Vertrauen, aber es ist schwierig zu wissen, ob Ihre Lieferanten dieses Vertrauen verdienen. Mit dem Aufkommen der Informationstechnologie haben sich die Möglichkeiten, wie Vertrauen absichtlich oder unabsichtlich gebrochen werden kann, vervielfacht und sind komplexer geworden.

Fragebögen zur Lieferantensicherheitsbewertung sind eine Methode, um zu überprüfen, ob Dienstanbieter angemessene Informationssicherheitspraktiken befolgen, damit Ihr Unternehmen das Risiko abwägen kann, ihnen Ihre Daten anzuvertrauen.

In diesem Artikel finden Sie einige hilfreiche Hinweise, um im Rahmen Ihres Sicherheitsprogramms gründliche Fragebögen zur Anbieterbewertung zu erstellen. Die Verwaltung von Sicherheitsfragebögen ist notorisch lästig. Eine gute Planung ist entscheidend, um sicherzustellen, dass Sie die richtigen Fragen stellen, und zwar so, dass Sie den besten Einblick in Ihr Risikomanagementprogramm für Lieferanten erhalten.

1. Kennen Sie Ihr Geschäft

Die Arten von Daten, die Ihr Unternehmen generiert, und die Arten von Diensten, die es in Anspruch nimmt, sind wichtige Überlegungen, um Ihr Risiko gegenüber Drittanbietern zu minimieren. UpGuard hat festgestellt, dass Verstöße von Drittanbietern, die identifizierbare Kundeninformationen enthalten, insbesondere Kreditkartendaten und SSNs, von böswilligen Akteuren für Identitätsdiebstahl und Betrug verwendet werden können. Verstöße, die Krankenakten enthalten, sind sogar mehr wert als Kreditkarten im Dark Web. Sicherheitsverletzungen, die proprietäre Geschäftsdaten wie Finanzdaten, Blaupausen, Code und Strategie-/Messaging-Dokumente enthalten, geben Wettbewerbern die Oberhand, wenn sie offengelegt werden. Und Nutzungsdetails und andere psychografische Daten können Angreifern helfen, Menschen ins Visier zu nehmen, indem sie Informationen für gezieltere Phishing-Versuche liefern.

Wenn Ihr Unternehmen beispielsweise Cloud-SaaS-Produkte (Software-As-A-Service) verwendet, gehört das Verständnis der Datensicherheit zu Ihren Hauptanliegen. Wenn Ihre IT-Lösungen hauptsächlich vor Ort eingesetzt werden, wo sich der Speicher in einem verwalteten Rechenzentrum befindet, sollten Sie wahrscheinlich mehr Fragen zu Sicherheitstests im Softwareentwicklungszyklus stellen, um die Wahrscheinlichkeit von Sicherheitsrisiken zu verstehen.

Die Anzahl der Lieferantenbeziehungen, die Ihr Unternehmen hat, und die Bedeutung dieser Beziehungen sind ebenfalls eine Klärung wert. Einige Branchen und Unternehmen setzen auf vertikale Integration, und Lieferantenbeziehungen bergen möglicherweise ein geringeres Risiko. In anderen Fällen sind Anbieter Teil der Kerngeschäftsprozesse und können Ihre wichtigsten Assets leicht offenlegen.

Schlüsselfragen

1. Welche Arten von Daten erstellt Ihr Unternehmen und wo werden sie gespeichert?
2. Wie viele Anbieter haben Sie?
3. Was ist die Bedeutung Ihrer Lieferantenbeziehungen?

Erfahren Sie, wie Sie eine Software zur Automatisierung von Sicherheitsfragebögen auswählen >

2. Klären Sie Ihre Ziele

Wie bei jedem Projekt beginnt die Erstellung eines erfolgreichen Fragebogens zur Bewertung des Lieferantenrisikos mit der Festlegung klarer Ziele. Für weniger ausgereifte Unternehmen könnte es das Ziel sein, überhaupt einen Fragebogen einzurichten. Für reifere Unternehmen haben Sie möglicherweise bereits einen Prozess, müssen ihn aber effizienter gestalten. Ein größerer Umfang Ihres Fragebogens muss gegen die gestiegenen Kosten für die Wartung und Verwaltung des Fragebogens abgewogen werden.

Wenn Sie offen darüber sprechen, was Ihr Lieferantenrisikoprogramm letztendlich antreibt, stellen Sie sicher, dass alle die gleiche oberste Priorität haben. Wie würde die Worst-Case-Datenschutzverletzung für Ihr Unternehmen aussehen? Welche behördlichen Strafen drohen Ihnen? Könnten bei einem Dienstausfall Menschenleben verloren gehen? Während das Ziel darin besteht, dass immer alles perfekt funktioniert, bietet die Ausrichtung auf die Prioritäten der obersten Ebene Richtlinien, die Konflikte oder Missverständnisse bei der Ausarbeitung der Details der zu stellenden Fragen vermeiden können.

Schlüsselfragen

1. Wie sieht eine schlimme Datenschutzverletzung für Ihr Unternehmen aus?
2. Wie viele Bewertungen müssen Sie jeden Monat bearbeiten?
3. Wie sieht ein gutes Ergebnis für das Lieferantenrisikoprogramm aus?

3. Gute Künstler leihen sich

Wenn es um die Risikobewertung von Anbietern geht, müssen Sie das Rad nicht neu erfinden. Es gibt zwar keine Rechtfertigung dafür, sich zurückzulehnen - 3rd-Party-Risiken sind wichtiger denn je -, aber wir erweisen uns und unserem Kundenökosystem einen Bärendienst, wenn wir nicht auf dem aufbauen, was wir zuvor getan haben. Und so wie Menschen 99 % ihrer DNA mit Affen teilen, sind sich Unternehmen mehr ähnlich, als dass sie sich unterscheiden. Die Kernbedenken in Bezug auf das Lieferantenrisiko sind im Großen und Ganzen für alle gleich - befolgt der Anbieter die Best Practices für die Sicherheit, wer sind seine Anbieter, welche Technologie verwendet er und wird sie aktualisiert - während sich einige kleine Details von Unternehmen zu Unternehmen ändern, erhalten Sie durch das Verständnis dieser Kernprobleme ein allgemeines Verständnis dafür, wie Ihre Anbieter mit ihrem Sicherheitsrisiko umgehen.

Google VSAQ

Es kann einfach sein, sich einen Vorsprung bei einem Risikomanagementprogramm für Lieferanten zu verschaffen. Ressourcen wie der VSAQ (Vendor Security Assessment Questionnaire) von Google sind fantastisch, um schnell zu handeln. Der VSAQ wurde ursprünglich im Jahr 2016 veröffentlicht und wurde speziell entwickelt, um Unternehmen dabei zu helfen, die Sicherheitspraktiken von Anbietern zu verstehen. Es ist sofort einsatzbereit und deckt mehrere Bereiche ab, darunter Datenschutz, Lieferkettenmanagement und Informationssicherheitsrichtlinien. VSAQ wurde entwickelt, um Anbietern die Risikobewertung zu erleichtern, wobei der Schwerpunkt auf der Rationalisierung des Sicherheitsüberprüfungsprozesses liegt.

ISO 27001, HIPAA, PCI DSS

Am anderen Ende des Komplexitätsspektrums stehen Standards wie ISO 27001, HIPAA und PCI DSS (Payment Card Industry). Diese Art von umfassenden Branchenstandards und regulatorischen Anforderungen führt in der Regel zu äußerst detaillierten Sicherheitsfragebögen der Anbieter. Fragebögen, die diesen Standards entsprechen, tauchen oft tief in Konzepte ein, darunter:

• Physische Sicherheit, einschließlich der Rechenzentren des Anbieters
• Anwendungssicherheit, insbesondere mit Schwerpunkt auf Penetrationstests von Webanwendungen
• Netzwerksicherheit
• Datensicherheit
• Management von Sicherheitsvorfällen und Reaktion auf Vorfälle
• Praktiken für Sicherheitstests im Softwareentwicklungsprozess des Anbieters
• Schulung des Sicherheitsbewusstseins in der gesamten Organisation des Anbieters
• Disaster Recovery und Business Continuity-Planung für den Anbieter

UpGuard VendorRisk erstellt auf einfache Weise Fragebögen, die mit ISO 27001, HIPAA und PCI DSS konform sind. Mehrere Kunden aus den Bereichen Finanzdienstleistungen, Gesundheitswesen und anderen regulierten Sektoren nutzen VendorRisk, um die Sicherheitskontrollen ihrer Anbieter zu validieren.

Mit übergeordneten Zielen für das Programm und einer gewissen Berücksichtigung der Prioritäten sind Sie bereit, mit der Erstellung des Fragebogens zu beginnen. Wenn Sie sich für eine Vorlage oder einen Industriestandard entscheiden, wird Ihr Sicherheitsfragebogen in Kategorien unterteilt, die Ihnen helfen, die Fragen logisch zu ordnen und eine umfassende Abdeckung zu gewährleisten, um blinde Flecken für Sicherheitsrisiken zu vermeiden. Wenn Sie verstehen, welche Bereiche wichtig sind und was Sie in diesen Bereichen wissen müssen, können Sie einen maßgeschneiderten, aber vollständigen Fragebogen für Ihr Unternehmen erstellen.

Schlüsselfragen

1. Welche Sicherheitsfragebögen für ähnliche Unternehmen können Sie online finden?
2. Welche Standard-Sicherheitsfragebögen bieten Fragen, die Sie verwenden können?
3. Gibt es eine Lösung, die Ihnen den Einstieg mit Out-of-the-Box-Funktionen erleichtern kann?
4. Woher wissen Sie, ob Ihr Sicherheitsprogramm nicht funktioniert?

4. Personal und Ressourcen

Eine Einschränkung, die bei der Entscheidung über den Umfang und die Spezifität Ihres Fragebogens zur Risikobewertung von Anbietern eine Rolle spielen sollte, ist die Anzahl der Personen, die die Antworten lesen und verarbeiten werden. In einer perfekten Welt hätten Sie so viele Informationen, wie Sie sich vorstellen können. Für diejenigen von uns, die in der realen Welt leben, ist die Verarbeitung von Informationen mit Zeitkosten verbunden. Die Strukturierung von Daten in Richtig/Falsch- oder numerische Antworten - alles, was programmgesteuert auf Risikofaktoren bewertet werden kann - kann dazu beitragen, Teile dieser Aufnahme zu automatisieren, sodass das Personal nur Zeit damit verbringt, die freien Antwortabschnitte zu lesen, die Interpretation und Beurteilung erfordern.

Vor diesem Hintergrund wird Ihr Lieferantenrisikoprogramm über ein gewisses Budget und eine gewisse Anzahl von Personen verfügen, die daran arbeiten. Sie haben eine festgelegte Anzahl von Fragen, die sie für einen bestimmten Zeitraum durchlesen können. Ihre Fragen sollten so formuliert werden, dass Sie diese Zeit optimal nutzen - um Nicht-Risiken schnell zu eliminieren und zu verstehen, ob die Anbieter Ihre Anforderungen erfüllen.

Schlüsselfragen

1. Wie viele Personen werden Fragebögen zur Sicherheitsbewertung von Anbietern durchführen?
2. Welche anderen Aufgaben werden sie haben?
3. Wie kann die Aufnahme von Bewertungen beschleunigt oder automatisiert werden?

5. Prozess zur Verwaltung des Dokumentenlebenszyklus

Das Verteilen von Fragebögen ist nur ein Teil der Verwaltung. Nach dem Versenden einer Nachricht benötigen die Empfänger möglicherweise Nachverfolgungserinnerungen. Der Empfänger Ihres Fragebogens ist möglicherweise nicht der geeignete Sicherheitsbeauftragte des Anbieters, was zu einer zusätzlichen Verzögerung auf der Fulfillment-Seite führt. Wenn es Abweichungen von Ihrem akzeptablen Schwellenwert für das Risikomanagement oder technologische Entscheidungen seitens des Anbieters gibt, die zuvor von Ihrem Unternehmen nicht besprochen wurden, müssen Sie interne Überprüfungen durchführen, um zu entscheiden, ob die Reaktion akzeptabel ist. Wenn dies außerhalb Ihrer Sicherheitsrichtlinie liegt, müssen Sie die Ergebnisse mit dem Anbieter überprüfen und prüfen, ob er die Probleme beheben oder nachweisen kann, dass kompensierende Kontrollen in anderen Bereichen die von ihnen ausgehenden Risiken mindern.

Nachdem eine Entscheidung über eine akzeptable Anbietereinreichung getroffen wurde, müssen diese Dokumente in einer leicht zugänglichen und überprüfbaren Lösung gespeichert werden, damit sie im Falle einer internen Überprüfung, einer Änderung der Sicherheitsrichtlinie oder eines Verstoßes gegen diesen Anbieter abgerufen werden können. Und wenn alles gut geht, müssen sie so geplant werden, dass sie irgendwann in der Zukunft erneut gesendet werden. Die Cyber-Bedrohungsumgebung ändert sich, Ihr Unternehmen ändert sich und die Sicherheitspraktiken der Anbieter ändern sich. Die jährliche Wiederholung von Fragebögen zur Risikobewertung von Anbietern bietet eine gewisse Gewissheit, dass diese Dinge in Einklang bleiben.

Da Bewertungsfragebögen im Laufe der Zeit gesammelt werden, kann die Art und Weise, wie sich das Sicherheitsrisikoprofil eines Anbieters geändert hat, aus Änderungen zwischen den Intervallen abgeleitet werden und zeigen, ob ein Anbieter im Laufe der Beziehung widerstandsfähiger oder riskanter wird.

Erfahren Sie, wie Sie den Prozess der Lieferantenbefragung optimieren können >

Schlüsselfragen

1. Wie oft werden Sicherheitsfragebögen an die Anbieter verteilt?
2. Wann müssen Sicherheitsfragebögen zur Überprüfung aufgerufen werden?
3. Welche Teile dieses Prozesses können automatisiert werden?

6. Einschränkungen der Bewertung von Lieferantenfragebögen

Wenn Anbieterbewertungen nach viel Arbeit klingen, dann liegt das daran, dass sie es sind. Das Ziel der Wiederholung eines guten Fragebogens besteht nicht darin, Ihnen zu sagen, was Sie bereits wissen, sondern darin, den Business Case für die Durchführung Ihres Sicherheitsprogramms zu gestalten. Dazu gehört auch zu wissen, was außerhalb des Geltungsbereichs liegt.

Lesen Sie unseren Leitfaden zu den Top-Anbieter-Fragebögen.

Fragebögen stützen sich bei ihrer Selbsteinschätzung auf die Antworten der Anbieter in gutem Glauben. Da es keinen unabhängigen Einblick in die internen Sicherheitsrichtlinien und Risikomanagementpraktiken eines Unternehmens gibt, wird davon ausgegangen, dass die Anbieter die Fragebögen in gutem Glauben beantworten. Zumindest tragen Bewertungsfragebögen dazu bei, das primäre Unternehmen im Falle eines Vorfalls zu schützen, indem sie zeigen, dass eine Due-Diligence-Prüfung und eine Sicherheitsbewertung des Anbieters durchgeführt wurden und dass sie unter der Annahme gehandelt haben, dass der Anbieter über bestimmte Kontrollen zum Schutz von Daten und Diensten verfügt.

In großem Maßstab wird die Pflege regelmäßiger Fragebögen für Anbieter unhandlich. Viele Unternehmen bewerten nur ihre wichtigsten Lieferanten und lassen Hunderte von anderen unberücksichtigt. Die Nachverfolgung von Sicherheitskontakten von Anbietern und die Erneuerung von Bewertungsfragebögen kann sich selbst für eine kleine Untergruppe von Anbietern als Herausforderung erweisen. Dieser Prozess ist oft mit einer direkteren Geschäftsarbeit für Ihr IT-Sicherheitsteam verbunden und kann vernachlässigt werden, wenn der Verwaltungsaufwand das wahrgenommene Risiko überwiegt.

Die Fragebogenbewertungen werden in der Regel jährlich eingereicht, aber Änderungen des Sicherheitsrisikos erfolgen in Sekundenschnelle. Technologien werden hinzugefügt, entfernt und aktualisiert; Schwachstellen werden in bisher sicherer Software entdeckt; Konfigurationen und Zugriffskontrollen werden geändert - das ist die tägliche Arbeit einer IT-Abteilung. Aus diesem Grund sollten Fragebögen von unabhängigen externen Wertpapierbewertungen begleitet werden, die beobachtbare Veränderungen im Laufe der Zeit verfolgen können.

7. Mehr erfahren

Fragebögen zur Anbietersicherheit und zur Risikobewertung von Anbietern haben eine ganze Menge zu bieten, wenn Sie anfangen, ins Detail zu gehen. Der Prozess umfasst das Schreiben von Fragebögen, das Einreichen an die Anbieter, das Verbleiben an ihnen, bis sie vollständig sind, die Überprüfung der Antworten, die Entscheidung, ob das Risiko des Anbieters akzeptabel ist, und die Erneuerung der Fragebögen in regelmäßigen Abständen.

In The Guide to Vendor Questionnaires werfen wir einen Blick darauf, wie der Prozess der Risikobewertung und des Sicherheitsfragebogens verbessert werden kann und was UpGuard tut, um ihn zu automatisieren und zu dokumentieren.