Het werk herhaalt zich
Vier klanten, vier vragenlijsten, vier keer dezelfde vraag over back-upfrequentie. Steeds beantwoord door iemand die het net weer moet navragen bij de IT-partij.
Onderdeel van Leverancierssecurity
Eén keer uitzoeken, daarna alleen nog bijwerken
Elke klant stuurt een andere securityvragenlijst, en elke keer begint iemand opnieuw met uitzoeken hoe het ook alweer zat met back-ups, MFA en subverwerkers. Het Leveranciersdossier is één gestructureerd dossier met de antwoorden die telkens terugkomen, plus het bewijs erbij.
In de markt heet dit ook wel een security evidence pack. Wij noemen het een dossier, want dat is wat het is.
Een dossier is geen keurmerk. Het is jouw eigen onderbouwing, geordend en met bewijs erbij. Jij blijft verantwoordelijk voor de juistheid van de antwoorden.
Het probleem
Dezelfde vragen, elke keer opnieuw uitgezocht
De formulering verschilt per klant, de onderwerpen nauwelijks. Wie dat niet ordent, doet elk kwartaal hetzelfde werk over.
De antwoorden lopen uiteen
Twee collega's beantwoorden dezelfde vraag net anders. Een opdrachtgever die beide versies ziet, gaat doorvragen. Terecht.
Het komt altijd ongelegen
De vragenlijst hoort bij een offerte of een verlenging, en moet meestal binnen een week terug. Dat is het slechtste moment om te ontdekken dat er iets niet geregeld is.
Het bewijs ontbreekt
Ja invullen is snel gedaan. Laten zien dat het zo is, vraagt een schermafbeelding, een beleidsstuk of een bevestiging van je leverancier. Dat ligt zelden klaar.
De inhoud
Wat er in het dossier staat
De onderwerpen die in vrijwel elke securityvragenlijst terugkomen. Per onderdeel leggen we vast wat er geregeld is, waar het bewijs ligt, wie eigenaar is en wanneer het opnieuw beoordeeld moet worden.
Organisatie
- Bedrijfsinformatie en rechtsvorm
- Aanspreekpunt voor security
- Eventuele certificeringen
- Geldend beleid
Toegang
- MFA en waar die geldt
- Persoonlijke accounts
- Beheerdersaccounts
- In- en uitdiensttreding
Hosting en gegevens
- Waar gegevens staan
- Versleuteling onderweg en in rust
- Bewaartermijnen
- Subverwerkers
Continuïteit
- Back-upfrequentie en bewaartermijn
- Herstelprocedure
- Wanneer herstel voor het laatst getest is
- Uitwijk bij uitval
Incidenten en updates
- Incidentprocedure en meldpunt
- Patchbeleid
- Endpointbeheer
- Logging en bewaartermijn
Mensen en afspraken
- Bewustwording en training
- Verwerkersovereenkomsten
- Geheimhouding
- Datum van de laatste review
1
Nulmeting
De gratis Security Check, of de vragenlijst die je al binnen hebt. Daarmee weet je welke onderwerpen aandacht vragen voordat we beginnen.
2
Ophalen wat er al is
Veel is al geregeld maar nergens vastgelegd. We halen op wat er feitelijk staat, bij jou en bij je IT-partij.
3
Vastleggen met bewijs
Per onderwerp: het antwoord, waar het bewijs ligt en wie eigenaar is. Zonder onderbouwing gaat een antwoord er niet in.
4
Gaten omzetten in werk
Wat ontbreekt wordt een actiepunt met een eigenaar, niet een leeg vakje dat blijft staan.
5
Reviewafspraak
Bewijs veroudert. We spreken af wanneer het dossier wordt nagelopen en wie dat agendeert.
Belangrijk
Wat een dossier wel en niet waard is
Een goed dossier scheelt je veel werk en maakt een gesprek met een opdrachtgever een stuk korter. Maar het is geen stempel, en het is verstandig om daar geen misverstand over te laten bestaan.
- Het is geen certificering en geen keurmerk
- Wij toetsen niet als onafhankelijke partij of jouw antwoorden kloppen
- Een opdrachtgever kan alsnog om aanvullend bewijs of een audit vragen
- Een antwoord van vorig jaar is geen antwoord van vandaag
Begin bij de Security Check
Twintig vragen, vijf minuten, geen account. Je ziet per onderwerp waar je staat, en dat is meteen de inhoudsopgave van je dossier.
De andere kant: jouw leveranciers
Het dossier gaat over hoe jij antwoordt aan klanten. Het Leveranciersregister gaat over overzicht houden op de partijen die bij jouw systemen en gegevens komen.
Klaar om slimmer te werken?
Een vragenlijst binnen, en geen idee waar te beginnen?
Stuur kort wat er gevraagd wordt. We kijken samen wat je al kunt onderbouwen, wat ontbreekt en hoe je het zo vastlegt dat het de volgende keer klaarligt.