無料のベンダーセキュリティ質問票テンプレート
ベンダーについて3つの質問に答えるだけで、リスクに応じたセキュリティ質問票を作成できます。低リスクのベンダーには短く、貴社のデータを扱う、またはシステムに接続するベンダーには詳細に。
なぜ質問票をベンダーに合わせるのですか？
すべてのベンダーに同じ300問のスプレッドシートを送ると、全員の時間が無駄になります。小規模なベンダーは途中で諦めたり雑に答えたりし、自社のチームもすべてを確認しきれません。リスクに応じたTier分けなら、低リスクのベンダーには数問だけを尋ね、機密データを扱う、システムに接続する、事業の継続を担うベンダーにフル評価を集中できます。
リスクTierの決まり方
- データ： ベンダーが見るデータの機密性が高いほど、リスクは高くなります。医療、金融、本人確認データは常にTier 1です。
- アクセス： 管理者権限や貴社ネットワークへの接続があると、ベンダーのセキュリティ問題がそのまま自社の問題になります。ネットワーク接続は常にTier 1です。
- 重要度： ベンダーの停止が貴社の業務や顧客にどれだけ影響するか。
よいベンダー質問票がカバーする内容
ガバナンスと認証、アクセス制御、データ保護とプライバシー、インフラと運用、アプリケーションセキュリティ、インシデント対応と事業継続、そしてベンダー自身の委託先と人員。ベンダーが医療データやカードデータを扱う場合は、その質問も追加します。重要な回答には「はい／いいえ」だけでなくエビデンスを求めましょう。
SOC 2またはISO 27001で代替
有効なSOC 2 Type 2報告書やISO 27001認証書は、多くの一般的な統制をすでにカバーしています。これらの質問の代わりに受け入れると、双方にとって評価が早く進みます。対象範囲と日付を確認し、SOC 2報告書の例外事項を読んだうえで、自社のデータとサービスに固有の質問は引き続き行ってください。
よくある質問
このベンダー質問票テンプレートは無料ですか？
はい。アカウントを作成せずに、質問票をいくつでも作成し、PDFまたはベンダー送付用のCSVでダウンロードできます。
CAIQ、SIG、HECVATと同じものですか？
いいえ。それらは他の団体が発行する標準質問票です。このビルダーは独自の質問を使い、ベンダーのリスクに見合った分量に抑えています。標準質問票に回答済みのベンダーの多くは、その内容をもとに素早く回答できます。
ベンダーはどのくらいの頻度で再評価すべきですか？
一般的には、Tier 1は毎年、Tier 2は2年ごと、Tier 3はサービス範囲が変わったときに評価します。インシデントやベンダー側の大きな変更があれば、早めに再評価してください。
入力した情報はアップロードされますか？
いいえ。質問票はブラウザ内で作成されます。連絡先を入力してダウンロードした場合、「連絡を希望しない」にチェックしない限り、当社チームがサポートできるよう、Sourceablyはその連絡先を保存します。