Kostenlose ISO 27001 Vendor Questionnaire Vorlage (Ausgabe 2023)

ISO 27001 wird häufig zur Bewertung von Risiken in der Lieferkette und bei Datenschutzverletzungen im Rahmen der Due Diligence verwendet. Dieser Beitrag bietet eine kostenlose ISO 27001-Fragebogenvorlage für Anbieter für eine allgemeine Bewertung der Informationssicherheitsstandards von Anbietern. Obwohl diese Vorlage für die Sicherheitsbewertung die Aspekte des Risikomanagements in der Lieferkette von ISO 27001 nur grob abdeckt, sollte sie dennoch ausreichen, um potenzielle Mängel in der Sicherheitskontrollstrategie eines Anbieters zu identifizieren, die einer weiteren Untersuchung bedürfen.

Sicherheitsfragebögen sollten innerhalb des Inhalts eines Lieferantenrisikomanagementprogramms verwaltet werden, idealerweise auf einer einzigen Plattform, damit der gesamte Fragebogenlebenszyklus automatisiert werden kann.

Fordern Sie eine kostenlose Testversion von UpGuard > an

Kostenlose ISO 27001-Vorlage für Dienstleister im Jahr 2023

Die folgende ISO 27001-Vorlage legt den Schwerpunkt auf die Zuordnung von Sicherheitskontrollfamilien zu den Datensicherheits- und Datenschutzstandards von Drittanbietern, hauptsächlich auf die folgenden Kontrollfamilien:

• A.5 Richtlinien zur Informationssicherheit
• A.9 Zugangskontrolle
• A.12 Betriebssicherheit
• A.15 Lieferantenbeziehungen
• A.16 Management von Vorfällen im Bereich der Informationssicherheit
• A.17 Aspekte der Informationssicherheit im Rahmen des Business Continuity Managements
• A.18 Einhaltung der Vorschriften

Diese Vorlage deckt auch die folgenden Klauseln ab:

• Klausel 4: Kontext der Organisation - Nachweis der sicheren Kenntnis aller internen und externen regulatorischen Fragen.
• Klausel 5: Führung - Das Engagement des Führungsteams für ein Informationssicherheitsmanagementsystem (ISMS).
• Abschnitt 6: Planung - Kompetenz in der Bewertung der Sicherheitsrisiken von Vermögenswerten im Rahmen des ISMS.
• Klausel 7: Unterstützung - Stellt sicher, dass alle Mitarbeiter mit ausreichenden Ressourcen für die Wartung des ISMS unterstützt werden
• Klausel 8: Betrieb - Die Fähigkeit, geeignete Sicherheitsmaßnahmen auf alle identifizierten Risiken für die Integrität sensibler Daten, entdeckte Schwachstellen und alle Gefährdungen anzuwenden, die Cyberangriffe und Datenschutzverletzungen begünstigen.
• Klausel 9: Leistungsbewertung - Eine Bewertung interner Audits zur Überwachung der Wirksamkeit von Sicherheitskontrollen und -prozessen.
• Klausel 10: Verbesserung - Sicherstellen, dass Prozesse vorhanden sind, um das ISMS kontinuierlich zu verbessern.

Erfahren Sie mehr über den vollständigen Umfang der Sicherheitskontrollen und -klauseln in ISO 27001 >

Hinweis: Diese Vorlage ist hilfreich für eine allgemeine Bewertung der Informationssicherheit von Anbietern und Dienstleistern. Für eine umfassende Risikobewertung von Anbietern wird empfohlen, eine Vendor Risk Management-Plattform wie UpGuard zu verwenden, um sicherzustellen, dass Ihre Prozesse für das Fragebogenmanagement auf einem effizienten und skalierbaren Framework basieren.

UpGuard bietet eine Bibliothek mit branchenüblichen Fragebögen, darunter ISO 27001, DSGVO, NIST CSF, HIPAA und PCI DSS.

Erfahren Sie, wie Sie eine Software zur Automatisierung von Sicherheitsfragebögen auswählen >

Kontext der Organisation

1. Werden Sie ein Sicherheitsaudit vor Ort mit einer Frist von 24 Stunden durchführen?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

2. Werden Sie ein Audit-Protokoll der Datenserver und Backup-Prozesse für Ihre vertraulichen Daten führen?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

3. Können Sie zu irgendeinem Zeitpunkt nachweisen, wo sich Ihre vertraulichen Daten befinden?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

4. Gibt es interne oder externe Probleme, die sich negativ auf Ihre Fähigkeit auswirken, die beabsichtigten Ergebnisse Ihres Informationssicherheitsmanagementsystems (ISMS) zu erreichen?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

5. Können Sie die Grenzen und Bereiche definieren und entscheiden, in denen das Informationssicherheitsmanagementsystem (ISMS) angewendet wird?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Eine Organisation kann über verschiedene Abteilungen oder Geschäftseinheiten verfügen, die mit unterschiedlichen Arten von Informationen umgehen und unterschiedliche Sicherheitsanforderungen haben. Sie müssen klar angeben, welche spezifischen Informationsbestände vom ISMS abgedeckt werden.

6. Haben Sie ein System zur Verwaltung der Informationssicherheit entwickelt?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

7. Wurde diese Informationssicherheitsrichtlinie in die Tat umgesetzt?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

8. Haben Sie eine Richtlinie für die Wartung dieses Informationssicherheitssystems?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Erfahren Sie, wie UpGuard das Gesundheitswesen vor Datenschutzverletzungen schützt >

Leitung

1. Haben Sie Ihre Richtlinien und Ziele für die Informationssicherheit festgelegt?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

2. Können Sie nachweisen, dass Ihre Informationssicherheitspolitik und -ziele mit der strategischen Ausrichtung Ihres Unternehmens vereinbar sind?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Diese Frage stellt sicher, dass die Informationssicherheit in die Gesamtstrategie der Organisation integriert wird und die notwendige Unterstützung erhält, um ihre Ziele effektiv zu erreichen.

3. Können Sie nachweisen, dass die Anforderungen an Ihr Informationssicherheitsmanagementsystem reibungslos in die täglichen Abläufe integriert sind?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

4. Können Sie den Nachweis erbringen, dass alle notwendigen Ressourcen zur Verfügung stehen, die für Ihre Informationssicherheitsmanagementsysteme erforderlich sind?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

5. Können Sie Belege dafür liefern, wie wichtig ein effektives Informationssicherheitsmanagement kontinuierlich kommuniziert werden kann?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

6. Können Sie den Nachweis erbringen, dass Sie sich kontinuierlich an den Anforderungen Ihres Informationssicherheitsmanagementsystems orientieren?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

7. Können Sie nachweisen, dass Ihr Informationssicherheitsmanagementsystem die vorgegebenen Ziele und beabsichtigten Ergebnisse erreicht?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

8. Können Sie nachweisen, dass Ihr Informationssicherheitsmanagementsystem die vorgegebenen Ziele und beabsichtigten Ergebnisse erreicht?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

9. Verfügen Sie über Prozesse, die die kontinuierliche Verbesserung Ihres Informationssicherheitsmanagementsystems unterstützen

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

10. Stellt Ihr oberes Management sicher, dass die Verantwortlichkeiten der Mitarbeiter für Informationssicherheit kommuniziert werden?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Planung

1. Verfügt Ihr Unternehmen über Sicherheitsvorkehrungen, um Risiken im Zusammenhang mit Ihrem Informationssicherheitsmanagementsystem zu identifizieren?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

2. Verfügt Ihr Unternehmen über Lösungen für die Behebung von Risiken, die mit Ihrem Informationssicherheitsmanagementsystem verbunden sind?

• Ja
• Nein
• Nicht zutreffend.
• Kreditor zum Hinzufügen von Kommentaren

3. Verfügt Ihr Unternehmen über Risikoakzeptanzkriterien als Teil eines Risikomanagementprogramms eines Drittanbieters?

• Ja
• Nein
• Nicht zutreffend.
• Kreditor zum Hinzufügen von Kommentaren

Erfahren Sie mehr über Third-Party Risk Management >

4. Verfügt Ihr Unternehmen über ein wiederholbares Risikobewertungs-Framework zur Untersuchung von Lieferantenrisiken und deren Auswirkungen auf Ihre Sicherheitslage?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

5. Wie sehen Ihr Verfahren zur Anwendung von Risikobewertungen auf identifizierte Risiken aus und wie verfolgen Sie deren Fortschritt?

• Ja
• Nein.
• Nicht zutreffend.
• Kreditor zum Hinzufügen von Kommentaren

Erfahren Sie, wie Sie Anbieter dazu bringen können, schneller > auf Risikobewertungen zu reagieren.

6. Wie sieht Ihr System aus, um die prognostizierten Auswirkungen auf Ihre Sicherheitslage zu messen, falls erkannte Risiken eintreten?

• Kreditor zum Hinzufügen von Kommentaren

Lösungen wie UpGuard können die Wirksamkeit von Abhilfemaßnahmen bewerten, indem sie deren Auswirkungen auf Ihre Sicherheitslage projizieren.

Fordern Sie eine kostenlose Testversion von UpGuard > an

7. Wie verfolgen Sie den Prozess zur Bestimmung des Risikoschweregrads für alle identifizierten Schwachstellen?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

8. Wie gehen Sie bei der Priorisierung kritischer Sicherheitsrisiken vor, sowohl intern als auch im Rahmen Ihres Third-Party-Risikomanagement-Programms?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Der Prozess der Organisation von Anbietern basierend auf zunehmendem Schweregrad des Sicherheitsrisikos wird als Anbieter-Tiering bezeichnet.

Erfahren Sie mehr über Vendor Tiering >

9. Welches ist Ihr System für die Auswahl von Sicherheitskontrollen, die Ihre Informationssicherheitsziele unterstützen?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Ein System zur Auswahl von Sicherheitskontrollen zeigt, dass der Anbieter einen strukturierten und systematischen Ansatz bei der Auswahl geeigneter Sicherheitsmaßnahmen verfolgt.

10. Wie sieht Ihr System für die Kommunikation von Bemühungen zur Risikominderung mit Vorstandsmitgliedern und Stakeholdern aus?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Erfahren Sie mehr über die Reporting-Funktionen von UpGuard für Führungskräfte >

11. Haben Sie einen Disaster-Recovery-Plan?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

12. Haben Sie einen Incident Response Plan?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Erfahren Sie, wie Sie einen effektiven Incident-Response-Plan entwerfen >

13. Welche Verfahren zur Benachrichtigung über Vorfälle gibt es für die Aktivierung von Sicherheitspraktiken?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Unterstützen

1. Haben Sie den Sicherheitsteams die Ressourcen zur Verfügung gestellt, die für die Einrichtung und Wartung Ihres ISMS erforderlich sind?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

2. Sind sich alle Personen in Ihren Cybersicherheitsteams Ihrer Informationssicherheitsrichtlinie bewusst?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

3. Welche Sicherheitsprogrammprozesse haben Sie zum Schutz sensibler Dokumente eingerichtet (einschließlich Details zur Zugriffskontrolle, physischer Sicherheit, Cloud-Sicherheitskontrollen, Penetrationstests usw.)?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Operation

1. Was ist Ihr System für die Verwaltung Ihrer Angriffsfläche?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

2. Was ist Ihr System zur Erkennung von Bedrohungen auf Ihrer Angriffsfläche (Fehlkonfigurationen von SaaS-Produkten, Legacy-Software, ungepatchte Server usw.)?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Erfahren Sie, wie UpGuard das Attack Surface Management > optimiert

3. Wie verfolgen Sie alle ausgelagerten Prozesse?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

4. Verwenden Sie andere Fragebögen oder Frameworks, um Ihre Cloud-Sicherheits- oder Datensicherheitsbemühungen zu verfolgen (CAIQ, SIG, SOC 2 usw.)?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

5. Werden Ihre Sicherheitsrisikobewertungen für Lieferanten in geplanten Abständen durchgeführt?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

6. Wie gehen Sie vor, um Risikobewertungsprozesse zu aktivieren, wenn unerwartete ISMS-Änderungen auftreten?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Die Fähigkeit, schnell auf ISMS-Änderungen wie Systemaktualisierungen, Richtlinienänderungen oder Sicherheitsvorfälle zu reagieren, beweist, dass der Anbieter angemessene Informationssicherheitskontrollen aufrechterhalten kann.

7. Haben Sie eine Richtlinie zur Aufbewahrung der Ergebnisse der Informationsrisikobewertung?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

8. Wie lange ist Ihre Aufbewahrungsfrist für abgeschlossene Risikobewertungen von Informationen?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Leistungsbewertung

1. Was ist Ihr System zur kontinuierlichen Bewertung der Wirksamkeit Ihres Informationssicherheitsmanagementsystems?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

2. Haben Sie ein System zur kontinuierlichen Überwachung Ihrer internen Angriffsfläche?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

3. Haben Sie ein System zur kontinuierlichen Überwachung Ihrer externen Angriffsfläche?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

4. Haben Sie ein System zur kontinuierlichen Überwachung Ihrer externen Angriffsfläche?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Anbieter, die ihre externe Angriffsfläche kontinuierlich überwachen, verringern das Risiko, dass Ihr Unternehmen von Angriffen auf die Lieferkette und Sicherheitsverletzungen Dritter betroffen ist.

5. Führen Sie regelmäßig interne Audits durch, um festzustellen, ob Ihr Informationssicherheitsmanagementsystem der Norm ISO 27001 entspricht?

• Ja
• Nein
• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Verbesserung

1. Was ist Ihr System zur Bewertung der Wirksamkeit von Sanierungsmaßnahmen?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

2. Was ist Ihr System, um Ihr Informationssicherheitsmanagementsystem bei Bedarf anzupassen?

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Durch ein klar definiertes System für Anpassungen können Unternehmen ihre Sicherheitskontrollen, Richtlinien und Prozesse umgehend anpassen, um den kontinuierlichen Schutz von Informationsressourcen zu gewährleisten und die Einhaltung der ISO 27001-Standards zu gewährleisten.

3. Erläutern Sie Ihren Prozess zur kontinuierlichen Verbesserung Ihres ISMS

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

4. Weisen Sie nach, dass sich Ihr ISMS seit der Implementierung kontinuierlich verbessert hat

• Nicht zutreffend
• Kreditor zum Hinzufügen von Kommentaren

Um zu erfahren, wie UpGuard Ihnen helfen kann, Ihre Arbeitsabläufe zur Risikobewertung zu optimieren und zu automatisieren, sehen Sie sich das folgende Video an.