Come integrare HECVAT nei programmi VRM

HECVAT (Higher Education Community Vendor Assessment Toolkit) è un questionario di valutazione della sicurezza che misura il rischio di sicurezza informatica dei fornitori di terze parti per gli istituti di istruzione superiore. Aiuta le università a garantire che i loro fornitori di terze parti abbiano implementato pratiche e politiche di sicurezza adeguate, che vengono misurate in base a un elenco completo di controlli di sicurezza, per proteggere le grandi quantità di dati sensibili e informazioni di identificazione personale (PII) che gestiscono. Una singola violazione o fuga di dati da parte di un fornitore di servizi di terze parti potrebbe potenzialmente compromettere un intero sistema scolastico e i suoi sistemi.

Ancora più importante, HECVAT è uno strumento essenziale per le scuole di istruzione superiore per lanciare i loro programmi di gestione del rischio dei fornitori (VRM). I programmi VRM sono spesso difficili da implementare, ma consentono alle scuole di gestire correttamente i rischi per la sicurezza di terze parti. In sostanza, HECVAT può aiutare le istituzioni educative a stabilire un framework di sicurezza di base per monitorare i rischi dei fornitori terzi.

Man mano che sempre più scuole iniziano ad adottare l'uso di HECVAT, spingerà l'intero settore dell'istruzione a migliorare anche i propri standard generali di sicurezza informatica, in particolare per i loro venditori e fornitori. Questo articolo discuterà come le scuole possono iniziare a integrare HECVAT nei loro programmi VRM e di cosa hanno bisogno per iniziare il processo.

Comprendere i diversi tipi di HECVAT

HECVAT è un modello completo che copre 22 diverse categorie con 265 domande che coincidono anche con altri quadri e normative di sicurezza, come HIPAA (Health Insurance Portability and Accountability Act), NIST SP 800-171, ISO 27001, PCI-DSS (Payment Card Industry - Data Security Standards) e conformità SOC 2 tra molti altri.

Tuttavia, non tutte le scuole di istruzione superiore avranno bisogno dell'intero strumento HECVAT, a seconda delle dimensioni del fornitore, del tipo di dati che gestiscono o se semplicemente necessitano di un processo più snello che non richieda la piena conformità con altri framework.

In effetti, ci sono tre versioni di HECVAT tra cui le scuole possono scegliere:

• HECVAT Full - HECVAT Full è la valutazione completa della sicurezza che include tutte le 22 categorie e 265 domande progettate per i fornitori che gestiscono i dati più critici. Le categorie complete HECVAT includono anche valutazioni per la conformità HIPAA e PCI-DSS.
• HECVAT Lite - HECVAT Lite copre 14 sezioni delle 22 disponibili e rimuove le domande relative a HIPAA e PCI-DSS. Ci sono solo 62 domande nella versione Lite, il che aiuta a risparmiare tempo per i fornitori che non gestiscono dati critici.
• HECVAT On-Premise - HECVAT On-Premise è la versione più breve dello strumento, composta da 11 diverse categorie e 55 domande. I fornitori che non utilizzano servizi cloud e utilizzano solo appliance e software on-premise possono utilizzare On-Premise per valutare i rischi per la sicurezza.

Esiste un quarto strumento, chiamato HECVAT Triage, che i fornitori o le scuole possono utilizzare per determinare di quale delle tre versioni principali di HECVAT hanno bisogno per la valutazione del rischio del fornitore.

Scopri di più su HECVAT qui.

Integrazione di HECVAT nel programma VRM

La creazione di HECVAT come parte del programma VRM richiede una serie di passaggi per garantire che il programma sia formalizzato e completo. Un efficace programma di gestione del rischio di terze parti dovrebbe coprire tutti gli aspetti del ciclo di vita del fornitore, inclusi i seguenti:

• Valutazione iniziale del rischio e screening dei fornitori
• Processo di onboarding dei fornitori
• Processo di audit e revisione
• Aspettative di rendicontazione
• Monitoraggio continuo dei fornitori
• Soglie di condivisione dei dati
• Livelli di accettazione del rischio
• Conformità normativa
• Gestione delle relazioni con i fornitori

Sebbene l'HECVAT sia un potente strumento di valutazione di base, è importante notare che non dovrebbe essere l'unico utilizzato per stabilire un sistema di controlli e valutazioni. Altre certificazioni di conformità dovrebbero essere utilizzate anche con HECVAT per garantire che tutte le basi siano coperte. Le scuole dovrebbero anche prendere in considerazione l'utilizzo di soluzioni VRM dedicate, come UpGuard, che possono aiutare a valutare i fornitori con software e flussi di lavoro automatizzati.

Il processo di integrazione è costituito da tre fasi principali, ciascuna con una propria serie di fasi:

1. preparazione
2. integrazione
3. gestione

Ecco come la tua organizzazione può iniziare a implementare un forte programma VRM con HECVAT:

Preparazione per un programma VRM utilizzando HECVAT

Ecco alcuni elementi attuabili che dovrebbero essere completati prima di stabilire HECVAT come parte del programma VRM:

Identificare la versione HECVAT necessaria per il fornitore

Le scuole devono comprendere e identificare il caso d'uso e il tipo di dati con cui il fornitore sta lavorando per fornire loro la versione corretta di HECVAT. I fornitori che lavorano con dati non critici non dovranno completare HECVAT Full e potrebbero dedicare tempo inutile a cercare di soddisfare standard che non si applicano a loro. Al contrario, i fornitori che lavorano con dati critici devono essere conformi a HECVAT Fully per garantire che soddisfino tutti i requisiti.

Idealmente, tutte le scuole dovrebbero completare HECVAT Triage per determinare la versione corretta che il fornitore deve completare.

Determinare i livelli di accettazione del rischio

Durante il processo di valutazione del rischio, le scuole devono determinare il livello di rischio che sono disposte ad accettare prima di accettare di collaborare con il fornitore. Tutti i fornitori avranno un rischio che deve essere risolto, ma se non soddisfano gli standard minimi stabiliti dall'istituto, il loro profilo di rischio potrebbe essere troppo ampio per essere accettato.

Oltre al punteggio HECVAT, le scuole dovrebbero creare il proprio sistema di valutazione interno o una lista di controllo per determinare se i rischi coinvolti sono abbastanza minimi da risolvere e se vale la pena assumersi il rischio per l'importanza del fornitore. Le scuole possono personalizzare i propri criteri di valutazione per determinare quali rischi non sono negoziabili in base ai propri obiettivi aziendali a lungo termine.

Prendi in considerazione l'outsourcing di soluzioni VRM dedicate

La gestione delle relazioni con i fornitori è una parte cruciale della VRM e, con centinaia o migliaia di fornitori da gestire, l'utilizzo di un processo manuale con cartelle e fogli di calcolo crea spazio per errori e inefficienze. Può anche richiedere molto tempo e risorse, motivo per cui le scuole dovrebbero prendere in considerazione l'utilizzo di soluzioni VRM dedicate.

L'automazione è una parte importante di qualsiasi programma di gestione del rischio dei fornitori perché consente alle scuole di valutare i rischi dei fornitori, gestire questionari di sicurezza come HECVAT, ottenere una panoramica dei loro fornitori e monitorare i progressi dei fornitori su un'unica dashboard. Inoltre, la soluzione VRM è in grado di inviare e raccogliere automaticamente le risposte ai questionari, risparmiando tempo ed energia preziosi.

Integrazione di HECVAT nel programma VRM

Una volta completate la preparazione e la pianificazione, è possibile iniziare a integrare HECVAT nel programma VRM:

Richiesta di HECVAT ai fornitori

Che si tratti di nuovi membri o di partner di lunga data, le scuole possono richiedere ai fornitori di completare HECVAT in base alla versione loro assegnata. Una volta completato, la scuola deve raccogliere e valutare i risultati per passare alla fase successiva.

Nella stessa comunicazione, le scuole possono anche richiedere certificazioni, questionari e qualsiasi altra documentazione richiesta come parte del loro nuovo programma VRM.

Valuta il rischio dei fornitori e identifica le lacune di sicurezza

Una volta che i risultati HECVAT sono stati presentati durante il processo di approvvigionamento, spetta alla scuola e al team di sicurezza iniziare il processo di due diligence del fornitore. La prima parte del processo di valutazione prevede il risk tiering, che classifica i fornitori in base al livello di rischio (Basso, Medio, Alto, Critico). Se il fornitore mostra un punteggio HECVAT basso, viene immediatamente classificato come rischio critico e un'ulteriore valutazione dovrebbe avere la priorità.

Se un potenziale fornitore viene esaminato ed è classificato come rischio elevato o critico, potrebbe non essere consigliabile lavorare con quel fornitore specifico, a seconda dei livelli di accettazione del rischio determinati. In questo caso, le scuole dovrebbero rifiutare quel fornitore e cercare nuove alternative.

Tuttavia, se un fornitore essenziale ha punteggi HECVAT bassi, i suoi processi di correzione del rischio dovrebbero essere prioritari per limitare il rischio di una violazione della sicurezza o dell'esposizione dei dati. Le soluzioni VRM dedicate possono anche valutare rapidamente le posizioni di sicurezza con valutazioni di sicurezza e questionari istantanei.

Cataloga i fornitori e inizia a dare priorità alla correzione dei rischi

Le scuole dovrebbero creare un catalogo o un elenco completo dei fornitori come parte del processo di gestione delle relazioni con i fornitori una volta che il fornitore soddisfa i requisiti minimi di sicurezza. Avere un elenco completo dei fornitori aiuta anche a dare priorità ai processi di correzione in base al loro livello di rischio.

Le scuole possono iniziare la correzione dei rischi e delle vulnerabilità dando priorità ai fornitori ad alto rischio che gestiscono i dati più sensibili. Sebbene l'obiettivo sia quello di garantire che tutti i rischi siano stati risolti, questo crea un flusso di lavoro migliore per organizzare la sicurezza del fornitore. Un ottimo modo per mantenere un catalogo accurato dei fornitori e delle loro posizioni di sicurezza è attraverso una soluzione dedicata come UpGuard Vendor Risk.

Gestione dei programmi VRM con HECVAT

I programmi VRM di successo non si fermano dopo la fase di valutazione: devono continuare a scalare e maturare nel tempo per stare al passo con le crescenti minacce informatiche.

Pratica il monitoraggio continuo

In sostanza, i programmi VRM dovrebbero lavorare 24 ore su 24 per identificare fughe di dati, potenziali violazioni della sicurezza e vulnerabilità senza patch. Che si tratti di un team IT che monitora attivamente la sicurezza di terze parti o di software automatizzato da una soluzione VRM, mantenere la visibilità sulle posizioni di sicurezza dei fornitori è una delle cose più importanti da fare.

Soprattutto per quanto riguarda il rischio della catena di approvvigionamento, le scuole devono prendere in considerazione uno strumento di monitoraggio della superficie di attacco per monitorare continuamente tutti i potenziali rischi informatici e i punti di ingresso del rischio, che includono terze e quarte parti.

Esecuzione di audit e revisioni annuali

Le scuole di istruzione superiore possono richiedere ai fornitori di completare HECVAT ogni anno per assicurarsi di mantenere aggiornate le loro pratiche di sicurezza dei dati. I fornitori che sono rimasti indietro dovrebbero essere rapidamente identificati e avvisati, o se mantengono costantemente una scarsa sicurezza, potrebbe essere il momento di trovare un sostituto.

Questo passaggio può includere anche altre valutazioni dei fornitori e non è limitato a una valutazione annuale. In alcuni casi, possono essere necessarie valutazioni semestrali per identificare i rischi di terze parti.

Scopri di più su come eseguire audit di sicurezza informatica per college e università qui.

Costruisci un modello di maturità del fornitore

Man mano che l'organizzazione cresce, la sicurezza dei fornitori deve crescere insieme ad essa. Fornitori diversi si troveranno in fasi diverse del modello di maturità, ma è importante identificare in quale fase si trova il fornitore in modo che la sua maturità possa essere misurata e tracciata. Il modello di maturità fornisce inoltre un quadro di riferimento per il fornitore per sviluppare una strategia e un percorso per migliorare i propri programmi di sicurezza.

Un esempio di modello di maturità del fornitore può includere i seguenti percorsi:

1. Avvio o nessuna gestione del rischio di terze parti
2. Visione iniziale e attività ad hoc
3. Roadmap approvata e attività ad hoc
4. Sicurezza definita e stabilita
5. Completamente implementato e operativo
6. Miglioramento continuo e indipendenza

UpGuard è una piattaforma leader del settore che può aiutare a gestire l'intero processo end-to-end del VRM. Utilizzando software proprietari e dashboard di facile utilizzo, UpGuard ha aiutato centinaia di aziende a costruire i loro programmi VRM da zero con valutazioni di sicurezza istantanee, questionari di sicurezza personalizzati, rilevamento automatico delle perdite e monitoraggio completo della superficie di attacco.

UpGuard offre anche un questionario HECVAT pre-costruito che le istituzioni educative possono inviare ai loro fornitori e gestire tutte le risposte al questionario in un'unica piattaforma. I rischi vengono identificati automaticamente e suddivisi in più livelli in base alle risposte del fornitore, che la scuola può decidere di derogare o aumentare in base al fornitore. Infine, il team di esperti di analisti di UpGuard può lavorare con la tua organizzazione per determinare un piano di correzione e creare un flusso di lavoro di valutazione del rischio per risparmiare tempo e risorse.