Wie Sie einen Sicherheitsfragebogen sicher und prüfbar beantworten
Ein Käufer hat einen Sicherheitsfragebogen gesendet und möchte ihn diese Woche zurückerhalten. Die Fragen befassen sich mit Ihrem Produkt, Ihren Mitarbeitern und Ihren Betriebsabläufen, während die Nachweise über Richtlinien, Berichte und frühere Antworten verstreut liegen. Um einen Sicherheitsfragebogen gut zu beantworten, verbinden Sie jede Antwort mit aktuellem Nachweis und machen Sie Lücken sichtbar, bevor die Antwort Ihr Team verlässt.
Das Ergebnis, das Sie benötigen, ist eine überprüfte Antworttabelle: was Sie sagen können, welche Quelle das unterstützt und wer etwaige unvollständige oder fehlende Punkte klären muss. Ein plausibler Absatz ohne diesen Kontext kann mehr Überprüfungsarbeit schaffen, als er erspart.
Zusammenfassung
- Bestätigen Sie den Dienst und den Zeitraum, auf den sich der Fragebogen bezieht.
- Sammeln Sie aktuelle Nachweise, bevor Sie Antworten entwerfen.
- Unterscheiden Sie unterstützte, teilweise und fehlende Antworten.
- Bewahren Sie Quellenangaben, Prüferentscheidungen und genehmigte Formulierungen zusammen auf.
Definieren Sie, worum der Fragebogen bittet
Beginnen Sie mit dem Käufer, dem bewerteten Dienst und der Frist für die Antwort. Eine Richtlinie, die Ihre unternehmensweite IT-Umgebung abdeckt, legt möglicherweise nicht fest, wie ein bestimmter kundenorientierter Dienst funktioniert. Ein Nachweis aus einer früheren Produktversion kann den aktuellen Umfang nicht unterstützen.
Lesen Sie die Antwortanweisungen. Manche Fragebögen verlangen Ja/Nein-Antworten mit Erläuterungen; andere fordern Dokumentnamen, Daten, Anhänge oder einen benannten Verantwortlichen für die Kontrolle an. Bewahren Sie die ursprünglichen Frage-IDs, damit Prüfer und Käufer die Antwort nachvollziehen können.
Identifizieren Sie Fragen, die eine neue Verpflichtung, eine Ausnahme von Ihrer üblichen Praxis oder eine Aussage über einen Lieferanten beinhalten. Weisen Sie diese frühzeitig dem entsprechenden Verantwortlichen zu, anstatt jede Zelle als Schreibaufgabe zu behandeln.
Erstellen Sie ein aktuelles Nachweispaket
Sammeln Sie die Dokumente, die für die tatsächlichen Fragen relevant sind. Dazu gehören Sicherheitsrichtlinien, Zugriffskontrollverfahren, Incident-Response-Pläne, Backup-Verfahren, Datenschutzdokumentation, Subprozessoren und zuvor genehmigte Antworten.
Für jede Quelle dokumentieren Sie den Eigentümer, die Version, das Inkrafttretungsdatum und den Geltungsbereich. Eine Richtlinie legt fest, was geschehen sollte; ein Betriebsnachweis kann zeigen, was tatsächlich geschehen ist. Allein eine Backup-Richtlinie kann zum Beispiel nicht belegen, wann zuletzt ein Wiederherstellungstest durchgeführt wurde.
Vermeiden Sie das Hochladen eines großen Ordners nur weil er verfügbar ist. Irrelevantes oder veraltetes Material erschwert das Erkennen widersprüchlicher Antworten. Fügen Sie nur die Nachweise hinzu, deren Verwendung Sie autorisiert sind, und erklären Sie etwaige Geltungsbereichsbeschränkungen dem Prüfer.
Die CAIQ-Leitfaden der Cloud Security Alliance beschreibt einen strukturierten Fragebogen, der zur Bewertung von Cloud-Sicherheitskontrollen verwendet wird. Unabhängig davon, ob der Käufer CAIQ oder seine eigene Tabellenkalkulation verwendet, besteht die praktische Aufgabe weiterhin darin, die angeforderte Aussage mit geeignetem Nachweis zu verbinden.
Formulieren Sie überprüfbare Antworten
Eine nützliche Antwort hat drei Teile: eine direkte Antwort, den relevanten Geltungsbereich oder die relevante Einschränkung und die unterstützende Quelle. Vermeiden Sie es, mehrere Absätze aus einer Richtlinie in eine Zelle zu kopieren, ohne zu erklären, welcher Teil die Frage beantwortet.
Betrachten Sie diese fiktiven Beispiele:
| Frage | Vorliegender Nachweis | Entwurf der Antwort | Prüfstatus |
|---|---|---|---|
| Sind privilegierte Konten durch MFA geschützt? | Die Zugriffspolitik schreibt MFA für Produktionsadministratoren vor | MFA ist für Produktionsadministrator-Konten gemäß Zugriffspolitik v3, Abschnitt 4 vorgeschrieben | Unterstützt innerhalb des angegebenen Geltungsbereichs |
| Werden Wiederherstellungstests jährlich durchgeführt? | Die Backup-Richtlinie schreibt jährliche Tests vor; kein Testprotokoll beigefügt | Die Richtlinie verlangt jährliche Wiederherstellungstests; der zuletzt abgeschlossene Test muss bestätigt werden | Teilweise |
| Können Sie den aktuellen Penetrationstestbericht bereitstellen? | Kein Bericht im Nachweispaket | Fordern Sie den aktuellen Bericht an und bestätigen Sie, ob er geteilt werden kann | Fehlend |
Die Beispiele zeigen eine Struktur der Antwort, nicht die eigenen Sicherheitskontrollen oder eine Zertifizierung von Arthur & Co. Halten Sie die Unterscheidung zwischen einer dokumentierten Anforderung und einem Nachweis der Durchführung in der Antwort sichtbar.
Gehen Sie bei fehlendem Nachweis nicht zum Erfinden einer Antwort über
Eine fehlende Quelle ist nützliche Information. Notieren Sie genau, was benötigt wird, wer es besitzt und ob die Frist des Käufers Zeit lässt, es zu beschaffen. „Nachweis fehlt“ ist aussagekräftiger, wenn dem ein konkreter Bedarf folgt, z. B. „aktueller Wiederherstellungstestbericht vom Infrastrukturverantwortlichen“.
Verwandeln Sie eine geplante Kontrolle nicht in eine abgeschlossene. Wenn eine Frage die aktuelle Praxis abfragt, bedarf ein Roadmap-Punkt einer expliziten Erläuterung. Der verantwortliche Eigentümer sollte jede Aussage über den Zeitpunkt oder die zukünftige Umsetzung genehmigen.
Eine „nicht anwendbar“-Antwort benötigt ebenfalls eine Begründung. Erklären Sie, welcher Dienst, welche Daten oder welche Verantwortung außerhalb des Geltungsbereichs liegt. Die Verwendung dieser Antwort zur Vermeidung einer unangenehmen Frage lässt den Käufer ohne sinnvolle Grundlage für die Bewertung.
Lösen Sie widersprüchliche oder veraltete Quellen
Angenommen, ein früherer Fragebogen besagt, dass Aufzeichnungen 12 Monate aufbewahrt werden, während die aktuelle Richtlinie 24 Monate festlegt. Wählen Sie nicht automatisch den neu erscheinenden Satz. Bestätigen Sie das Inkrafttretungsdatum der Richtlinie, die anwendbaren Daten und den Produktumfang mit dem Eigentümer.
Halten Sie den Widerspruch im Prüfungsprotokoll fest und aktualisieren Sie die genehmigte Antwort nur, nachdem er gelöst wurde. Eine frühere Antwort ist ein nützlicher Hinweis, aber keine dauerhafte Autorität für alle künftigen Fragebögen.
Dasselbe gilt für Shared-Responsibility-Aussagen. Ein Bericht des Cloud-Anbieters kann eine Aussage über den Geltungsbereich des Anbieters unterstützen; er legt jedoch nicht automatisch fest, dass Ihr Team jede zugehörige Kontrolle korrekt konfiguriert hat.
Verwenden Sie die Nachweisprüfung für den ersten strukturierten Durchgang
Der Workflow zur Prüfung von Fragen und Nachweisen von Arthur & Co nimmt den Fragebogen und das Nachweispaket und liefert Entwurfsantworten, Quellenkontext und Deckungslücken zurück. Überprüfen Sie das zitierte Material und den Geltungsbereich jeder Antwort, bevor Sie es akzeptieren.
Beginnen Sie mit einem repräsentativen Fragebogen, der einfache, teilweise und fehlende Fälle enthält. Prüfen Sie, ob das Ergebnis dem Prüfer hilft, die relevante Quelle zu finden und zu verstehen, was noch bestätigt werden muss.
Der Workflow sendet den Fragebogen nicht ab und zertifiziert keine Konformität. Ihr Team ist für die endgültige Antwort und etwaige darin enthaltene Verpflichtungen verantwortlich. Für eine lieferantenspezifische Bewertung bietet der Lieferantennachweise kostenlos prüfen einen verwandten Ausgangspunkt unter Verwendung desselben Nachweisprüfauftrags.
Erleichtern Sie die Übergabe an Vertrieb und Sicherheit
Bewahren Sie Frage-ID, vorgeschlagene Antwort, Quelle, Prüfer und Status im selben Prüfungsdokument auf. Legen Sie ungelöste Fragen in einer kurzen Nachverfolgungsliste mit einem Verantwortlichen und einem Fälligkeitsdatum ab. Der Vertrieb kann dann sehen, was die Antwort blockiert, ohne jedes technische Detail interpretieren zu müssen.
Bevor Sie den Fragebogen zurücksenden, prüfen Sie, dass jede Ja/Nein-Antwort mit ihrer Erläuterung übereinstimmt, dass Dokumentversionen aktuell sind und dass Anhänge geteilt werden können. Entfernen Sie interne Notizen, die nur für den Prüfer bestimmt sind.
Bei wiederkehrenden Anfragen bewahren Sie genehmigte Formulierungen mit ihrer Quelle und dem Prüfdatum auf. Verwenden Sie die Antwort nur wieder, nachdem Sie geprüft haben, ob sich der Dienst, die Frage oder der Nachweis geändert hat. Dies ist eine Prüfungspraktik; sie sollte nicht mit einem Versprechen verwechselt werden, dass das Produkt automatisch eine Bibliothek genehmigter Antworten pflegt.
Beginnen Sie mit dem nächsten Fragebogen in Ihrer Warteschlange
Wählen Sie die tatsächlichen Fragen aus, sammeln Sie die Nachweise dazu und prüfen Sie die unterstützten, teilweise und fehlenden Ergebnisse. Ein nützlicher erster Durchgang sollte Ihnen weniger nicht aufgefundene Quellen und eine klarere Liste von Entscheidungen für die richtigen Verantwortlichen hinterlassen.
Der kostenlose Einstieg ermöglicht es Ihnen, dieses Ergebnis zu prüfen, bevor Sie eine kostenpflichtige Wiederverwendung und das Speichern der Historie in Betracht ziehen. Treffen Sie die Kaufentscheidung in Abhängigkeit von der Qualität der Antworten und des Prüfprozesses, nicht von einer angenommenen Verkürzung der Antwortzeit.