Gratis skabelon til spørgeskema til risikovurdering af leverandører (2023)

Et spørgeskema til styring af leverandørrisiko (også kendt som et spørgeskema til risikovurdering fra tredjepart eller spørgeskema til risikovurdering af leverandører) er designet til at hjælpe din organisation med at identificere potentielle svagheder blandt dine tredjepartsleverandører og -partnere, der kan resultere i et databrud, datalækage eller anden form for cyberangreb.

Få mere at vide om, hvordan UpGuard strømliner sikkerhedsspørgeskemaprocessen >

Gratis skabelon til risikovurdering af leverandører for 2023

Her er nogle spørgsmål, du kan bruge som et eksempel på en skabelon til spørgeskema til risikovurdering af leverandører, der er opdelt i fire sektioner:

  1. Informationssikkerhed og privatliv
  2. Fysisk sikkerhed og datacentersikkerhed
  3. Sikkerhed for webapplikationer
  4. Sikkerhed i infrastrukturen

Du kan downloade en redigerbar og mere omfattende skabelon til risikovurdering af leverandører her.

For at strømline leverandørrisikovurderingsprocessen bør der anvendes et værktøj til styring af risikovurdering. UpGuard tilbyder et bibliotek med brancheførende skabeloner til risikovurdering af leverandører, der er knyttet til populære regler og cyberrammer. UpGuard tilbyder også en række integrationer og dashboards til at strømline VRM-livscyklussen på tværs af flere brancher og brugssager.

Få en rundvisning i UpGuards risikovurderingsfunktioner >

Et øjebliksbillede af nogle af UpGuards redigerbare leverandørsikkerhedsspørgeskemaer.

Få mere at vide om UpGuards funktioner til risikovurdering af leverandører >

Spørgsmål om informationssikkerhed og beskyttelse af personlige oplysninger

  • Behandler din organisation personligt identificerbare oplysninger (PII) eller beskyttede sundhedsoplysninger (PHI)?
  • Har din organisation et sikkerhedsprogram? Hvis ja, hvilke standarder og retningslinjer følger den?
  • Dækker dit program for informationssikkerhed og beskyttelse af personlige oplysninger alle operationer, tjenester og systemer, der behandler følsomme data?
  • Hvem er ansvarlig for at administrere dit program for informationssikkerhed og beskyttelse af personlige oplysninger?
  • Hvilke kontroller anvender du som en del af dit program for informationssikkerhed og beskyttelse af personlige oplysninger?
  • Angiv venligst et link til din offentlige informationssikkerhed og/eller privatlivspolitik
  • Er der yderligere oplysninger, du gerne vil give om dit program for informationssikkerhed og beskyttelse af personlige oplysninger?
  • Hvad er din proces for dataklassificering? Hvilke sikkerhedsforanstaltninger er der indført for at beskytte hvert klassifikationsniveau?
  • Hvordan sikrer du, at der er fjernadgang til følsomme data (f.eks. data, der tilgås fra mobile enheder), er sikret?
  • Anvender du nogen anonymiseringsteknikker, såsom datamaskering? Hvis ja, beskriv de systemer, som disse teknikker er implementeret.
  • Har nogen af dine tredjepartsleverandører adgang til dine følsomme data? Hvis ja, hvilke kategorier af følsomme data har de adgang til?
  • Hvordan sikrer du, at dine tredjepartsleverandører, der behandler dine følsomme data, har de rette cybersikkerhedsforanstaltninger på plads?
  • Hvilke brugergodkendelsesteknikker implementerer du for at forhindre uautoriseret adgang?
  • Implementerer du nogen strategier til forebyggelse af datatab (DLP) for at forsvare dig mod eksfiltrering?
  • Hvordan sikrer du, at der kun indsamles og behandles det minimale niveau af påkrævede personoplysninger? Hvordan definerer du "minimalt niveau"?

Lær, hvordan du vælger software til automatisering af sikkerhedsspørgeskemaer >

Sikkerhedsspørgsmål om fysiske og datacentre

  • Er du på et delt kontor?
  • Gennemgår du fysiske og miljømæssige risici?
  • Har du procedurer på plads for forretningskontinuitet i tilfælde af, at dit kontor er utilgængeligt?
  • Har du en skriftlig politik for fysiske sikkerhedskrav til dit kontor?
  • Er dit netværksudstyr fysisk sikret?
  • Hvilke datacenterudbydere bruger I, hvis nogen?
  • Hvor mange datacentre gemmer følsomme data?
  • Hvilke lande er datacentre placeret i?
  • Er dine datacentre certificeret efter nogen industristandarder (f.eks. ISO 27001, SSAE 16)?
  • Er der yderligere oplysninger, du gerne vil give om dit fysiske sikkerhedsprogram og datacentersikkerhedsprogram?
  • Hvor opbevares følsomme oplysninger fysisk?
  • Er fysisk gemte følsomme oplysninger segmenteret fra generelle adgangsnetværksområder?
  • Hvordan sikrer du sikkerheden af personoplysninger, der overføres mellem fysiske enheder?
  • Har du overvågningskameraer på plads? Hvor er de placeret, og hvor længe opbevares optagelserne?
  • Er nogen af dine overvågningsenheder IoT'er?
  • Hvor ofte udfører du fysiske sikkerhedsrevisioner?

Sikkerhedsspørgsmål om webapplikationer

  • Hvad hedder din ansøgning? Og hvad gør den?
  • Har du et bug bounty-program eller en anden måde at rapportere sårbarheder på?
  • Har din applikation et gyldigt SSL-certifikat for at forhindre man-in-the-middle-angreb?
  • Kræver din ansøgning loginoplysninger?
  • Hvordan får brugerne deres første adgangskode?
  • Har du minimumsstandarder for adgangskodesikkerhed?
  • Hvordan gemmer du adgangskoder?
  • Tilbyder I single sign-on (SSO)?
  • Hvordan kan brugere gendanne deres legitimationsoplysninger?
  • Anvender din applikation en dybdegående forsvarsstrategi? Hvis ja, hvad?
  • Hvordan scanner du regelmæssigt CVE for kendte sårbarheder?
  • Hvordan kvalitetssikrer du?
  • Hvordan sikrer du, at data overføres sikkert mellem API'er og andre tredjepartsintegrationer?
  • Har du implementeret en Web Application Firewall (WAF)?
  • Hvordan sporer du og udtjente webserversoftware og forældede webudviklingsbiblioteker?
  • Anvender du penetrationstest til at teste integriteten af følsomme datasikkerhedskontroller?
  • Hvem kan vi kontakte for at få flere oplysninger om din webapplikations sikkerhed?
  • Hvordan sikrer du rettidig installation af sikkerhedsrettelser til webapplikationer?
  • Hvilke typer databehandlingsaktiviteter udfører I for forskellige typer brugere (besøgende, kunder osv.)?
  • Hvordan sikrer du adskillelse af opgaver i dine applikationsudviklings- og implementeringsprocesser?
  • Hvordan indsamler du brugersamtykke til behandling af personoplysninger?
  • Hvilke foranstaltninger er der truffet for at forhindre kapring af sessioner?
  • Implementerer du inputvalideringsforanstaltninger for at forhindre inputbaserede angreb, såsom SQL-injektion, keylogging og Cross-Site Scripting (XSS)?

Spørgsmål om infrastruktursikkerhed

  • Har du en skriftlig netværkssikkerhedspolitik?
  • Har du nogensinde oplevet et databrud? Hvis ja, hvad var virkningen, og hvordan blev den håndteret?
  • Bruger du en VPN?
  • Bruger du serverhærdning?
  • Hvordan holder du dine serveroperativsystemer patchet?
  • Logfører I sikkerhedshændelser?
  • Hvilke operativsystemer bruges på dine servere?
  • Sikkerhedskopierer du dine data?
  • Hvordan gemmer du sikkerhedskopier?
  • Segmenterer du dit netværk for at sløre adgangen til følsomme ressourcer?
  • Tester du sikkerhedskopier?
  • Hvem administrerer din e-mail-infrastruktur?
  • Hvordan forhindrer de e-mail-spoofing? f.eks. DMARC
  • Anvender du systemer til detektion og forebyggelse af indtrængen (IDPS)?
  • Hvordan håndterer du udtjent hardware og sikrer, at data slettes sikkert?
  • Hvordan beskytter du medarbejdernes enheder mod ransomware og andre typer malware?
  • Hvilke operativsystemer bruger medarbejderenheder?
  • Er medarbejdernes enheder krypteret?
  • Administreres brugerlogins i en centraliseret løsning?
  • Hvordan sikrer du sikre konfigurationer for alle netværksenheder, herunder routere, switche og firewalls?
  • Hvordan overvåger du for mistænkelige aktiviteter eller uregelmæssigheder i infrastrukturen?
  • Har du en plan for hændelsesresponsplan på plads? Hvor ofte testes det?
  • Har du en katastrofeberedskabsplan på plads? Hvor ofte testes det?
  • Hvor ofte gennemgår og opdaterer du firewallregler og -konfigurationer?
  • Ansætter du en tredjepart til at teste din infrastrukturs sikkerhed?
  • Hvem kan vi kontakte i forbindelse med infrastruktursikkerhed?
  • Hvilke sikkerhedsforanstaltninger er der på plads for at forsvare sig mod malware-injektioner, ransomware-angreb og andre ondsindede trusler?

Du kan læse dette indlæg for at få en trin-for-trin guide til, hvordan du udfører en risikovurdering af leverandører.

Se videoen nedenfor for at få et overblik over UpGuards arbejdsgang for risikovurdering.

Få en rundvisning i UpGuards platform til styring af leverandørrisiko >

Hvorfor er spørgeskemaer til risikovurdering af leverandører vigtige?

Spørgeskemaer om leverandørsikkerhed er en uvurderlig hjælp under due diligence, der hjælper dig med at forstå de potentielle risici og standarder for beskyttelse af kundedata for nye leverandører, før du forpligter dig til partnerskaber.

Uanset om du opererer i en branche med høj risiko for databrud, som f.eks. sundhedssektoren, er databeskyttelse altafgørende, og sikkerhedsspørgeskemaer er meget effektive til at evaluere leverandørernes sikkerhedsstillinger som en del af et TPRM-program (Third-Party Risk Management).

Dette gælder især, hvis du opererer i en branche med stram regulatorisk kontrol som PCI DSS, APRA CPS 234: Information Security Prudential Standard eller HIPAA.

Kombiner dette faktum med en voksende afhængighed af informationsteknologi og outsourcing, og antallet af angrebsvektorer, der kan afsløre følsomme data, har aldrig været højere.

Selvom din organisation har stramme sikkerhedskontroller og en førsteklasses informationssikkerhedspolitik, skal leverandørrisikostyring være kernen i dit informationssikkerhedsprogram (InfoSec). Det betyder, at du skal håndtere cybersikkerhedsrisici under onboarding til offboarding-leverandører.

Få mere at vide om risikostyring > for cyberleverandører

Spørgeskemaer til vurdering af leverandørsikkerhed er en del af at verificere, at dine tjenesteudbydere følger passende informationssikkerhedspraksis og kan hjælpe med planlægning af hændelsesrespons og it-katastrofeberedskab.

Andre almindelige metoder er sikkerhedsvurderinger, SOC 2-sikkerhed og overvågning af sikkerhedsniveau i realtid fra tredjepart.

Leverandørspørgeskemaer er en del af Vendor Risk Management - lær hvorfor VRM er vigtigt.

UpGuards sikkerhedsvurderingsfunktion hjælper dig med at spore hver leverandørs risikoniveau.

Hvad er ulemperne ved spørgeskemaer til risikovurdering af leverandører?

Problemet med sikkerhedsspørgeskemaer er, at de er notorisk arbejdskrævende at administrere, hvilket er grunden til, at mange organisationer investerer i værktøjer til at automatisere leverandørrisikostyring for at mindske leverandørrisikoen (tredjepartsrisiko og fjerdepartsrisiko).

Desværre giver selv det bedste spørgeskema kun et øjebliksbillede af din leverandørs cybersikkerhedsstilling.

Teknologien ændrer sig, forretningsprocesser outsources, politikker opdateres, fornyes og kasseres, så sikkerhedsrisikoen i din digitale forsyningskæde er i konstant forandring.

>

Sikkerhedsspørgeskemaer er selvevalueringer, hvilket betyder, at du tror på, hvad leverandører fortæller dig om deres sikkerhedskontroller. For at opbygge en robust tredjeparts risikovurderingsramme skal din organisation se på mere end blot spørgeskemaer.

Udvikl en proces til at skalere din risikovurderingsproces for cybersikkerhed og hold styr på nuværende, eksisterende og potentielle leverandører.

Uddan dit leverandørrisikoteam om forskellene mellem cybersikkerhed og informationssikkerhed, hvad cybersikkerhedsrisiko er, og fordelene ved informationsrisikostyring.

Og vigtigst af alt, se efter måder at verificere de krav, leverandørerne fremsætter om deres sikkerhedsstandarder.

Få mere at vide om, hvordan du strømliner processen med kreditorspørgeskema.

Hvordan kan min organisation opbygge et robust program til styring af leverandørrisiko?

Standard best practice er at bruge et branchestandardspørgeskema som udgangspunkt og derefter tilpasse det baseret på din organisations behov. Det skyldes, at det er svært at få en klar forståelse af intern netværkssikkerhed, datasikkerhed og informationssikkerhed uden at bede leverandøren om yderligere oplysninger. For eksempel er den bedste måde at forstå deres adgangskontrol på at spørge din leverandør.

Her er fem industristandard sikkerhedsvurderingsmetoder, du kan starte med:

  1. CIS Critical Security Controls (CIS First 5/CIS Top 20): Center for Internet Security (CIS) er en non-profit enhed, der ønsker at beskytte private og offentlige organisationer mod cybertrusler. CIS's 20 kontroller er et prioriteret sæt handlinger til at beskytte kritiske systemer og data mod almindelige cyberangreb. Disse er højt prioriterede, yderst effektive kontroller, der reducerer cybersikkerhedsrisikoen og kortlægges til de fleste større rammer såsom NIST Cybersecurity Framework, NIST 800-53, ISO 27000-serien og regler som PCI DSS, HIPAA, NERC CIP og FISMA.

    Få mere at vide om CIS-kontroller >

  2. Consensus Assessments Initiative Questionnaire (CAIQ): CAIQ kommer fra Cloud Security Alliance (CSA), en organisation, der er dedikeret til at definere og øge bevidstheden om bedste praksis for sikker cloud computing. Spørgeskemaet giver brancheaccepterede måder at dokumentere sikkerhedskontroller i IaaS-, PaaS- og SaaS-tilbud på. Der er et sæt spørgsmål, som du bør stille din cloududbyder.

    Få mere at vide om CAIQ->

  3. NIST 800-171: National Institute of Standards and Technology (NIST) implementerer vejledning om cybersikkerhed og privatliv for USA gennem bedste praksis og standarder. Formålet med NIST 800-171 er at hjælpe med at beskytte kontrollerede uklassificerede oplysninger (CUI) i ikke-føderale systemer og organisationer. Den indeholder 14 specifikke sikkerhedsmål med en række kontroller og kort til NIST 800-53 og ISO 27001. Hvis din organisation tilbyder produkter, løsninger eller tjenester til Department of Defense (DoD), General Services Administration (GSA) eller National Aeronautics and Space Administration (NASA), skal den overholde NIST 800-171.

    Få mere at vide om NIST 800-171 >

  4. Standardiseret spørgeskema til indsamling af oplysninger (SIG/SIG-Lite): SIG og SIG-Lite blev skabt af Shared Assessments-programmet, en pålidelig kilde til tredjeparts risikostyringsressourcer, herunder værktøjer og bedste praksis til styring af leverandørrisiko. SIG-spørgeskemaet er et værktøj til at vurdere cybersikkerhed, IT, privatlivets fred, datasikkerhed og forretningsresiliens. SIG-Lite er en samling af spørgsmål på højere niveau fra SIG og bruges generelt til leverandører med lav risiko.

    Få mere at vide om SIG-spørgeskemaet >

  5. VSA Questionnaire (VSAQ): Vendor Security Alliance (VSA) er en koalition af virksomheder, der er forpligtet til at forbedre internetsikkerheden. VSAQ blev første gang offentliggjort i 2016 og er designet specifikt til at hjælpe virksomheder med at overvåge deres leverandørers sikkerhedspraksis. Den indeholder seks afsnit: databeskyttelse, sikkerhedspolitik, forebyggende og reaktive sikkerhedsforanstaltninger, supply chain management og compliance.

    Læs mere om VSAQ->

Du kan udtrække tusindvis af potentielle spørgsmål fra disse rammer og tilpasse dem, så de passer til din organisations behov og prioriteter. Sikkerhedsspørgeskemaer er dog kun en del af løsningen.

Overvej at investere i et værktøj til at overvåge dine leverandører og deres leverandørers sikkerhedsvurderinger i realtid. Dette giver din organisation mulighed for at strømline leverandørvurderingsprocessen, overvåge ændringer i sikkerhedsniveauet og anmode om afhjælpning af vigtige problemer hos højrisikoleverandører.

Disse værktøjer kan overvåge problemer i forbindelse med DMARC, CVE-listede sårbarheder og udnyttelser, social engineering-angreb som phishing og spear phishing, malware (ransomware og andre typer malware), e-mail-spoofing, typosquatting, domænekapring, SSL, DNSSEC, man-in-the-middle-angreb og andre cybertrusler.

Med de gennemsnitlige omkostninger ved et databrud på 4,45 millioner dollars, skal organisationer fokusere på at forhindre databrud.

Når data er blevet eksponeret, kan det være næsten umuligt at rydde op på grund af dataenes reproducerbarhed. Stol ikke på digitale kriminaltekniske teknikker som IP-tilskrivning, som er fejlbehæftede.

Få mere at vide om bedste praksis for leverandørrisikostyring >

Hvorfor du bør overveje at bruge sikkerhedsvurderinger sammen med sikkerhedsspørgeskemaer

Sikkerhedsvurderinger giver risikostyring og sikkerhedsteams mulighed for løbende at overvåge deres leverandørers sikkerhedsstilling.

Fordelen ved sikkerhedsvurderinger sammen med sikkerhedsspørgeskemaer er, at de genereres automatisk, opdateres ofte, og de udgør et fælles sprog for tekniske og ikke-tekniske interessenter.

Det vigtigste at forstå er, at sikkerhedsvurderinger udfylder det store hul, der er tilbage fra traditionelle risikovurderingsteknikker som SIG-spørgeskemaet eller VSA-spørgeskemaet. At sende spørgeskemaer til alle tredjeparter kræver meget engagement, tid og er ærligt talt ikke altid nøjagtigt.

Sikkerhedsvurderinger kan supplere og give sikkerhed for de resultater, der rapporteres i sikkerhedsspørgeskemaer, fordi de er eksternt verificerbare, altid opdaterede og leveres af en uafhængig organisation.

Ifølge Gartner vil cybersikkerhedsvurderinger blive lige så vigtige som kreditvurderinger, når man vurderer risikoen for eksisterende og nye forretningsforbindelser... Disse tjenesteydelser vil blive en forudsætning for forretningsforbindelser og en del af standarden for den fornødne omhu for leverandører og indkøbere af tjenesteydelser.

De 6 angrebsvektorkategorier, der fodrer UpGuards sikkerhedsvurderinger.

Få mere at vide om UpGuards sikkerhedsvurderinger >

UpGuard er en af de mest populære udbydere af sikkerhedsvurderinger. Vi genererer vores vurderinger gennem proprietære algoritmer, der tager imod og analyserer pålidelige kommercielle og open source-trusselsfeeds, og ikke-påtrængende dataindsamlingsmetoder til kvantitativt at evaluere cyberrisiko.

Vi baserer vores vurderinger på analysen af 70+ vektorer, herunder:

  • Modtagelighed for man-in-the-middle-angreb
  • Usikre SSL/TLS-certifikater
  • SPF-, DKIM- og DMARC-indstillinger
  • HTTP Streng Transport Sikkerhed (HSTS)
  • Risiko for e-mail-spoofing og phishing
  • Sårbarheder
  • Modtagelighed for malware
  • Unødvendige åbne administration-, database-, app-, e-mail- og fildelingsporte
  • Eksponering for kendte databrud og datalækager
  • Sårbar software
  • HTTP-tilgængelighed
  • Sikker cookie-konfiguration
  • Resultater af intelligente sikkerhedsspørgeskemaer

Hvis du er nysgerrig efter andre sikkerhedsvurderingstjenester, så se vores guide om SecurityScorecard vs BitSight her.

Se videoen nedenfor for at få et overblik over UpGuard-platformen.