De eerste securityvragenlijst kost je twee dagen. De tweede kost je opnieuw twee dagen, want de vragen zijn net anders geformuleerd en degene die de eerste invulde weet niet meer precies waar hij die informatie vandaan had.
Dat is het probleem dat een leveranciersdossier oplost. In de markt heet dat ook wel een security evidence pack; het is hetzelfde ding.
Wat het is
Eén gestructureerd dossier met de antwoorden die in vrijwel elke vragenlijst terugkomen, plus het bewijs erbij. Per onderdeel leg je vier dingen vast:
- Wat er geregeld is, in gewone taal.
- Waar het bewijs ligt: een schermafbeelding van de instelling, een beleidsstuk, een bevestiging van je leverancier.
- Wie eigenaar is, dus wie het weet en wie het bijwerkt.
- Wanneer het opnieuw beoordeeld wordt.
Dat vierde punt is het punt dat het vaakst wordt overgeslagen, en het is het punt waardoor een dossier na een jaar niets meer waard is.
De onderwerpen
De formulering verschilt per klant, de onderwerpen nauwelijks. Dit is de lijst die je nodig hebt.
Organisatie. Bedrijfsinformatie, aanspreekpunt voor security, eventuele certificeringen, welk beleid er geldt.
Toegang. MFA en waar die geldt, persoonlijke accounts, beheerdersaccounts apart, hoe in- en uitdiensttreding gaat.
Hosting en gegevens. Waar gegevens staan, versleuteling onderweg en in rust, bewaartermijnen, welke subverwerkers je gebruikt.
Continuïteit. Back-upfrequentie en bewaartermijn, de herstelprocedure, wanneer herstel voor het laatst getest is, wat er gebeurt bij langdurige uitval.
Incidenten en updates. Je incidentprocedure en meldpunt, patchbeleid, endpointbeheer, logging en hoe lang je logs bewaart.
Mensen en afspraken. Bewustwording en training, verwerkersovereenkomsten, geheimhouding, en de datum van de laatste review.
De regel die het dossier bruikbaar houdt
Zonder onderbouwing gaat een antwoord er niet in.
Dat klinkt streng en het is de belangrijkste regel van het hele dossier. "Ja, we hebben back-ups" is geen antwoord; het is een aanname totdat iemand heeft gekeken of ze draaien en of er ooit iets is teruggezet.
De praktische consequentie: bij het opbouwen van het dossier ontdek je onvermijdelijk dingen die niet zo geregeld zijn als je dacht. Dat voelt als slecht nieuws en het is precies de opbrengst. Beter nu, in je eigen tempo, dan over drie weken in een vragenlijst waar een opdracht aan hangt.
Wat je met de gaten doet
Elk onderwerp waar je geen onderbouwd antwoord op hebt, wordt een actiepunt met een eigenaar en een datum. Niet een leeg vakje dat blijft staan.
Sorteer die actiepunten op twee dingen: hoe vaak het onderwerp in vragenlijsten voorkomt, en hoeveel werk het is. MFA aanzetten op de accounts die het nog niet hebben is meestal een uur werk en staat in elke vragenlijst. Een uitgeschreven incidentprocedure kost een dagdeel en komt ook overal terug. Een geteste herstelprocedure kost meer, en is het waard.
Wat een dossier níet is
Het is geen keurmerk. Er staat geen stempel op en er is geen partij die het goedkeurt. Het is jouw eigen onderbouwing, geordend.
Wij toetsen ook niet als onafhankelijke partij of jouw antwoorden kloppen; dat is een audit, en dat is een ander vak met andere eisen. Wat wij wel doen is helpen uitzoeken, ordenen en onderbouwen, en het zeggen als een antwoord niet houdbaar is.
En jij blijft verantwoordelijk voor de juistheid. Jij ondertekent de vragenlijst, dus jij moet erachter staan. Dat is geen juridische disclaimer maar een praktisch punt: een leverancier die "ja" invult bij iets wat niet zo is, heeft een groter probleem dan een leverancier die "nog niet, wel gepland" invult.
De volgende keer
De opbrengst zit in de tweede vragenlijst. Die is dan geen project meer maar een kwestie van de juiste antwoorden overnemen, controleren of ze nog kloppen, en de datum bijwerken.
Zo hoort het ook te gaan met een derde en een vierde. Wat overblijft aan echt werk is het onderhoud: één moment per jaar waarop je het dossier naloopt, plus een aanpassing zodra er iets verandert.
Beginnen
De gratis Security Check loopt in twintig vragen langs precies deze onderwerpen en geeft per categorie een status. Dat is meteen de inhoudsopgave van je dossier, inclusief de onderwerpen waarvan je nog niet weet hoe ze geregeld zijn.
Hoe wij het dossier opbouwen en wat er wel en niet in zit, staat op Leveranciersdossier. De andere kant, overzicht houden op je eigen leveranciers, is het Leveranciersregister.