Modello gratuito di questionario per fornitori NIST CSF

Questo modello di questionario NIST CSF ti aiuterà a capire il grado di allineamento di ciascun fornitore con la funzione di alto livello del framework NIST CSF: Identifica, Proteggi, Rileva, Rispondi e Recupera. Sebbene questa valutazione offra solo una comprensione superficiale della conformità, è sufficiente per avere un'idea della posizione di sicurezza di un potenziale fornitore, soprattutto se abbinata a una soluzione di scansione della superficie di attacco esterna.

Per una valutazione più completa della conformità al NIST CSF, UpGuard offre un questionario NIST Cybersecurity Framework che evidenzia automaticamente specifiche lacune di conformità in base alle risposte.

Scopri come UpGuard semplifica la gestione del rischio dei fornitori >

Scarica il modello >

Identità

[ID:AM] Gestione patrimoniale

Descrizione: i dati, il personale, i dispositivi, i sistemi e le strutture che consentono all'organizzazione di raggiungere gli scopi aziendali sono identificati e gestiti in modo coerente con la loro importanza relativa per gli obiettivi dell'organizzazione e la strategia di rischio dell'organizzazione.

Si dispone di una politica per l'inventariazione dei componenti del sistema informativo?

Sì
No
Commenti

Puoi fornire la documentazione che illustra questa politica?

Sì
No
Commenti

Disponi di un processo per il monitoraggio dell'inventario dei dispositivi fisici?

Sì
No
Commenti

Come si fa a garantire che l'inventario del sistema informativo sia sempre aggiornato?

Commenti

Automatizzi i meccanismi per mantenere aggiornato il tuo inventario fisico?

Sì
No
Commenti

Scopri come scegliere un prodotto conforme al NIST CSF >

Disponi di una politica di sicurezza delle informazioni per mantenere un inventario aggiornato di tutti i dispositivi informatici, come soluzioni SaaS, software cloud e applicazioni?

Sì
No
Commenti

È possibile fornire prove della vostra politica per l'inventario di applicazioni, piattaforme software e soluzioni cloud?

Sì
No
Commenti

Il sistema informativo segue le procedure di sicurezza consigliate in termini di limitazione dell'accesso alle applicazioni al livello minimo richiesto per soddisfare le esigenze operative?

Sì
No
Commenti

Sono in atto standard di sicurezza per supportare le seguenti azioni: identificazione di software non autorizzato, applicazione di una politica di "negazione di tutto, autorizzazione per eccezione" per l'esecuzione del software e manutenzione di un elenco aggiornato di software non autorizzato?

Sì
No
Commenti

La tua organizzazione ha classificato le proprie informazioni e il proprio sistema informativo in conformità con le linee guida FIPS 199-200 e NIST 800-53?

Sì
No
Commenti

Disponi di una politica che delinea e spiega i processi di categorizzazione del tuo sistema informativo?

Sì
No
Commenti

È possibile fornire una documentazione specifica che illustri i metodi per classificare i sistemi mission-critical che richiedono controlli di sicurezza critici? Inoltre, puoi fornire la documentazione di supporto per una classificazione "Moderata"?

Scopri di più sull'importanza del vendor tiering nei processi di valutazione del rischio >

La categorizzazione del sistema registrato in tutti i sistemi informativi è in linea con gli standard FIPS 199? Si prega di fornire prove ove possibile.

Sì
No
Commenti

I metodi di categorizzazione della sicurezza (come definiti da FIPS 199) sono stati esaminati da un soggetto ufficiale?

Sì
No
Commenti

Tutti i fornitori di terze parti che hanno accesso ai vostri sistemi sono allineati agli standard del NIST CSF? Puoi fornire prove degli standard di sicurezza dei loro fornitori?

Sì
No
Commenti

Confermate l'allineamento NIST CSF durante la fase di due diligence del vostro programma di gestione del rischio di terze parti (TPRM)?

Sì
No
Commenti

Disponi di piani di risposta per rispondere alle violazioni dei dati, ai rischi della catena di approvvigionamento e alle esposizioni alla sicurezza del cloud in linea con gli standard del National Institute of Standards and Technology (NIST)?

Sì
No
Commenti

Scopri come prevenire le violazioni dei dati >

Avete un programma di sensibilizzazione alle minacce informatiche che fornisce al personale gli strumenti necessari per evitare le comuni tattiche di attacco informatico? Monitorate l'efficacia di questi programmi con le autovalutazioni?

Sì
No
Commenti

Esaminate regolarmente i piani di risposta e le politiche di inventario in linea con le minacce informatiche emergenti e i cambiamenti degli standard di settore?

Sì
No
Commenti

Avete una politica in atto per garantire che le risorse hardware e software vengano riutilizzate e smaltite in linea con gli standard del NIST?

Sì
No
Commenti

[ID:BE] Contesto aziendale

Descrizione: la missione, gli obiettivi, gli stakeholder e le attività dell'organizzazione sono compresi e classificati in ordine di priorità; queste informazioni vengono utilizzate per informare i ruoli, le responsabilità e le decisioni di gestione del rischio in materia di sicurezza informatica.

Disponi di un'analisi dell'impatto aziendale (BIA) e di un piano di recupero dei test (TRP)?

Sì
No
Commenti

Eseguite un'analisi dell'impatto aziendale (BIA) ogni anno?

Sì
No
Commenti

Hai sviluppato un piano di recupero dei test (TRP) basato sulle intuizioni della tua analisi dell'impatto aziendale (BIA)?

Sì
No
Commenti

Come garantire che i BIA e i TRP siano in linea con gli standard del NIST CSF?

Commenti

Disponi di un processo per identificare le risorse critiche che sono fondamentali per le operazioni e gli obiettivi aziendali?

Sì
No
Commenti

Effettui test di regolarità l'efficacia dei piani di disaster recovery e incident response?

Sì
No
Commenti

Potrebbe fornire i risultati di questi test?

Sì
No
Commenti

Coinvolgi fornitori di terze parti nei processi BIA?

Sì
No
Commenti

Coinvolgi fornitori di terze parti nei test TRP per garantire la sicurezza end-to-end del sistema informativo?

Sì
No
Commenti

[ID:GV] Governance

Descrizione: le politiche, le procedure e i processi per gestire e monitorare i requisiti normativi, legali, di rischio, ambientali e operativi dell'entità sono compresi e informano la gestione del rischio di sicurezza informatica.

Eseguite valutazioni della sicurezza in tutti i sistemi a rischio di compromettere la privacy dei clienti, ad esempio le valutazioni dell'impatto sulla privacy (PIA)?

Sì
No
Commenti

Hai completato i questionari di sicurezza PIA per tutte le attività che potrebbero rappresentare un rischio per la privacy?

Sì
No
Commenti

Eseguire valutazioni di sicurezza per misurare l'allineamento con le normative sulla sicurezza dei dati, come GDPR, PCI DSS, HIPAA, ecc.?

Sì
No
Commenti

Inviate questionari ai fornitori per valutare la conformità alle normative sulla sicurezza dei dati o la conformità a standard come ISO 27001, SOC 2, ecc.?

Sì
No
Commenti

Scopri come scegliere il software di automazione dei questionari di sicurezza >

Puoi fornire la documentazione del tuo programma di privacy a livello aziendale e la prova che dispone di risorse sufficienti?

Sì
No
Commenti

Disponi di un processo che garantisce che i tuoi piani e le tue politiche sulla privacy siano aggiornati regolarmente?

Sì
No
Commenti

Consentono solo a determinate persone di pubblicare contenuti su sistemi informativi rivolti al pubblico?

Sì
No
Commenti

Con quale frequenza la tua azienda rivede le proprie politiche interne di gestione del rischio e di gestione del rischio di terze parti?

Commento

Quali sono i tuoi indicatori chiave di prestazione (KPI) per monitorare l'efficacia dei tuoi programmi di gestione del rischio e sicurezza delle informazioni?

Commento

[ID:RA] Valutazione del rischio

Descrizione: l'entità comprende il rischio di sicurezza informatica per le operazioni dell'entità (inclusi missione, funzioni, immagine o reputazione), i beni dell'entità e gli individui.

Scopri come UpGuard semplifica le valutazioni del rischio dei fornitori >

È possibile fornire prove dei programmi di rilevamento delle vulnerabilità e di gestione dei rischi?

Sì
No
Commenti

Eseguite scansioni di monitoraggio della superficie di attacco per identificare i rischi per la sicurezza interni e di terze parti? In caso affermativo, con quale frequenza vengono eseguite queste scansioni?

Sì
No
Commenti

È possibile fornire i risultati delle scansioni della superficie di attacco per i due mesi precedenti o più?

Sì
No
Commenti

Hai misurato la tua esposizione al rischio in base alla California Cybersecurity Vulnerability Metric (CCVM)?

Sì
No
Commenti

Hai ottenuto un punteggio di "Moderato" o inferiore sul CCVM?

Sì
No
Commenti

Valutate le posizioni di sicurezza dei fornitori con questionari di valutazione del rischio? Se sì, perché usi i tipi di questionari (SIG LIte, CIS, ecc.)

Sì
No
Commenti

Scopri di più sui questionari di UpGuard >

Con quale frequenza eseguite le valutazioni del rischio dei fornitori?

Commenti

Come si determina quali rischi per la sicurezza interni e di terze parti devono essere considerati prioritari nelle attività di correzione?

Commenti.

Con quale frequenza viene aggiornato il tuo programma di gestione delle vulnerabilità?

Commenti.

Qual è il vostro processo per inserire le vulnerabilità appena scoperte nei programmi di gestione del rischio?

Commenti.

Proteggere

[PR:AC] Controllo di accesso

Descrizione: l'accesso alle risorse e alle strutture associate è limitato agli utenti, ai processi o ai dispositivi autorizzati e alle attività e transazioni autorizzate.

Puoi fornire informazioni sulla tua politica di controllo degli accessi? È stato condiviso con tutti i dipendenti?

Sì
No
Commenti

Quali procedure sono in atto per applicare le politiche di controllo degli accessi?

Commenti

Disponi di un sistema di gestione delle password? Impone l'uso di lettere maiuscole e minuscole, numeri e caratteri speciali?

Sì
No
Commenti

Eseguite regolarmente test di penetrazione sui commenti del vostro sistema informativo?

Sì
No
Commenti

I tuoi sistemi informativi sono stati esposti a test di penetrazione del red team che imitano tattiche di tentativo di violazione reali (inclusa la compromissione dell'account)?

Sì
No
Commenti

Metti alla prova la resilienza dei controlli di sicurezza fisica con test di penetrazione basati su tattiche di ingegneria sociale?

Sì
No
Commenti

È stato applicato il principio del privilegio minimo per tutti gli utenti, compresi i contraenti esterni?

Sì
No
Commenti

Si dispone di account separati per l'accesso generale e gli utenti con privilegi?

Sì
No
Commenti

All'interno del limite di sicurezza, l'organizzazione utilizza strumenti automatizzati per gestire gli account del sistema informativo, che include il controllo delle azioni di creazione, modifica, abilitazione, disabilitazione e rimozione degli account? Puoi fornire una matrice o un foglio di calcolo che identifichi i diversi tipi di account, gli utenti assegnati e i gestori di approvazione?

Sì
No
Commenti

Qual è la vostra politica per disabilitare gli account dopo l'inattività?

Commenti

Qual è la vostra politica per la rimozione dell'accesso dei dipendenti ai sistemi informativi dopo il licenziamento/la dimissione volontaria?

Commenti

Qual è la vostra politica per la rimozione dell'accesso di terzi ai sistemi di informazione dopo il licenziamento/l'uscita volontaria?

Commenti

È stata implementata un'architettura zero-trust?

Sì
No
Commenti

Quali controlli IT dei confini sono in atto (ad esempio, firewall, ecc.)

Commenti

È stata implementata una strategia di controllo degli accessi in base al ruolo?

Sì
No
Commenti

Implementate tecnologie di crittografia per proteggere le informazioni sensibili in forma statica e di transito?

Sì
No
Commenti

Quali criteri sono in vigore per isolare le aree di rete compromesse in un attacco informatico?

Commenti

Hai un piano di continuità aziendale in atto e viene mantenuto aggiornato?

Sì
No
Commenti

[PR:AT] Sensibilizzazione e formazione

Descrizione: il personale e i partner dell'organizzazione ricevono una formazione sulla consapevolezza della sicurezza informatica e sono adeguatamente formati per svolgere i propri compiti e responsabilità relativi alla sicurezza delle informazioni in conformità con le politiche, le procedure e gli accordi correlati.

La vostra politica di formazione sulla consapevolezza delle minacce è stata condivisa con tutte le parti interessate?

Sì
No
Commenti

Confermi l'efficacia della formazione di sensibilizzazione con attacchi di phishing simulati?

Sì
No
Commenti

Offrite una formazione generica e specifica per il ruolo di sensibilizzazione alle minacce?

Sì
No
Commenti

Conservi le prove degli eventi di formazione sulla consapevolezza delle minacce per un minimo di un anno?

Sì
No
Commenti

È possibile fornire prove del fatto che almeno l'80% degli utenti che richiedono una consapevolezza delle minacce informatiche specifica per il ruolo ha completato la formazione?

Sì
No
Commenti

Ti assicuri che la formazione sulla consapevolezza delle minacce venga fornita ai nuovi dipendenti entro 30 giorni dalla data di inizio?

Sì
No
Commenti

[PR:DS] Sicurezza dei dati

Descrizione: le informazioni e i record (dati) vengono gestiti in modo coerente con la strategia di rischio dell'organizzazione per proteggere la riservatezza, l'integrità e la disponibilità delle informazioni.

Quali sono i vostri metodi per garantire la sicurezza dei dati inattivi e in transito?

Commenti

Quale tecnologia di crittografia viene utilizzata per i dati inattivi e in transito?

Commenti

Quali sono i criteri per la gestione delle chiavi crittografiche?

Commenti

Quali sono le vostre politiche di crittografia per le risorse non mobili che richiedono l'accesso a dati sensibili?

Commenti

Se si utilizza un metodo di crittografia per proteggere i dispositivi mobili, è conforme a FIPS 140-2?

Sì
No
Commenti

Scopri di più su FIPS 140-3 >

Quale metodologia utilizzate per analizzare il traffico di rete crittografato?

Commento

Con quale frequenza vengono rivisti e aggiornati i criteri di crittografia?

Commento

Tenete traccia dell'attuale configurazione di base dei vostri sistemi di sicurezza dei dati?

Sì
No
Commenti

Come si gestisce il ciclo di vita della chiave di crittografia?

Commenti

Il tuo piano di risposta agli incidenti affronta le violazioni del tuo sistema crittografico?

Sì
No
Commenti

La tua strategia di protezione dei dati si estende al cloud storage e ad altre soluzioni di archiviazione dei dati di terze parti?

Sì
No
Commenti

[PR:IP] Processi e procedure di protezione delle informazioni

Descrizione: le politiche di sicurezza (che riguardano lo scopo, l'ambito, i ruoli, le responsabilità, l'impegno di gestione e il coordinamento tra le entità organizzative), i processi e le procedure vengono mantenuti e utilizzati per gestire la protezione dei sistemi e delle risorse informative.

Si dispone di linee di base di configurazione per workstation e server?

Sì
No
Commenti

Questa linea di base ha un punteggio di conformità compreso tra il 50% e il 75%, secondo un modello SCAP approvato come USGCB o STIG?

Sì
No
Commenti

Qual è la tua polizia per la gestione del cambiamento?

Commenti

Come si affrontano le configurazioni non conformi rilevate dalle valutazioni dei rischi?

Commenti

Come si garantisce l'efficacia continua dei controlli di configurazione?

Commenti

Con quale frequenza rivedete le vostre politiche di protezione fisica e ambientale?

Commenti

Qual è il vostro processo per identificare le lacune di controllo rispetto alle politiche di protezione fisica e ambientale?

Commenti

Rilevare

[DE:AE] Anomalie ed eventi

Descrizione: l'attività anomala viene rilevata in modo tempestivo e viene compreso il potenziale impatto degli eventi.

Tieni traccia dei seguenti eventi: accessi riusciti/non riusciti, visualizzazioni dati, aggiornamenti, eliminazioni, modifiche dell'accesso ai dati, eliminazioni di account utente>

Sì
No
Commenti

In caso di errore di un processo di controllo, qual è la vostra politica di emissione degli avvisi?

Commenti

Utilizzi la tecnologia di automazione per semplificare le revisioni e l'analisi degli audit?

Sì
No
Commenti

A chi vengono forniti i rapporti di audit a seguito di una revisione (ad esempio, responsabile della sicurezza, CISO, ecc.)?

Commenti

Qual è la vostra politica per mantenere aggiornate le politiche di audit?

Commenti

Quali misure di sicurezza sono state adottate per proteggere i registri di controllo da accessi e modifiche non autorizzati?

Commenti

I dati di audit vengono utilizzati per migliorare continuamente le misure di sicurezza e le strategie di gestione dei rischi?

Sì
No
Commenti

Qual è la vostra politica per segnalare tempestivamente le violazioni dei dati e gli incidenti di sicurezza?

Commenti

[DT:CM] Sicurezza Monitoraggio continuo

Descrizione: Il sistema informativo e il patrimonio sono monitorati a intervalli discreti per identificare gli eventi di sicurezza informatica e verificare l'efficacia delle misure di protezione.

Puoi fornire dettagli sulle tue strategie di difesa della rete IT?

Sì
No
Commenti

È possibile includere un diagramma di rete che illustri le strategie di sicurezza della rete?

Sì
No
Commenti

Utilizzi strumenti automatizzati per il monitoraggio continuo? In caso affermativo, si prega di fornire i dettagli.

Sì
No
Commenti

Monitori tutte le comunicazioni oltre i confini IT?

Sì
No
Commenti

Monitorate continuamente la rete dei vostri fornitori alla ricerca di rischi emergenti per la sicurezza?

Sì
No
Commenti

Dai la priorità a eventi o transazioni specifici nelle tue attività di monitoraggio?

Sì
No
Commenti

Qual è il vostro processo per scoprire gli indicatori di compromissione e gli indicatori di attacco?

Commenti

Disponi di soluzioni anti-malware?

Sì
No
Commenti

Quali controlli di sicurezza sono in atto per mitigare le iniezioni di codice dannoso?

Commenti

Qual è il processo per avvisare tempestivamente il personale in caso di minacce informatiche nuove e in tempo reale?

Sì
No
Commenti

[DT:DP] Processi di rilevamento

Descrizione: I processi e le procedure di rilevamento sono mantenuti e testati per garantire una tempestiva e adeguata consapevolezza degli eventi anomali.

Hai assegnato ruoli e responsabilità all'interno delle strategie di sicurezza delle informazioni?

Sì
No
Commenti

Con quale frequenza questi ruoli e responsabilità vengono rivisti e aggiornati?

Commenti

Si prega di fornire informazioni sui protocolli di escalation quando è richiesto un processo decisionale a livello dirigenziale.

Sì
No
Commenti

Condividete i metadati pertinenti dell'evento con il Cal-CSIC o con altri organismi di coordinamento appropriati?

Sì
No
Commenti

Come si fa a garantire che i metadati condivisi non violino le normative sulla privacy?

Commenti

Rispondere

[RS:RP] Pianificazione della risposta

Descrizione: i processi e le procedure di risposta vengono eseguiti e mantenuti per garantire una risposta tempestiva agli eventi di sicurezza informatica rilevati.

Hai un piano di risposta agli incidenti in atto?

Sì
No
Commenti

In che modo il tuo piano di risposta agli incidenti si adatta ai tuoi piani generali di continuità aziendale e ripristino di emergenza?

Commenti

Scopri come creare un piano di risposta agli incidenti >

Con quale frequenza viene testato l'IRP?

Commenti

Tenete un registro dei tempi di risposta per ogni test IRP?

Sì
No
Commenti

Qual è il processo per alimentare le lezioni apprese nei processi di aggiornamento IRP?

Commento

È possibile rilevare una minaccia di phishing e avvisare i team di sicurezza informatica entro 60 minuti dal rilevamento?

Sì
No
Commenti

Qual è il tempo medio di risposta alle minacce di phishing e ad altri rischi di violazione dei dati?

Commenti

Il tuo IRP include diagrammi di flusso per semplificare la comprensione dei processi?

Sì
No
Commenti

Il tuo IRP tiene conto degli incidenti che si verificano al di fuori dell'orario di lavoro?

Sì
No
Commenti

Disponi di un team di risposta agli incidenti dedicato o questo sforzo è esternalizzato a terzi?

Commenti

[RS:RP] Pianificazione del recupero

Descrizione: i processi e le procedure di ripristino vengono eseguiti e mantenuti per garantire il ripristino tempestivo dei sistemi o delle risorse interessate da eventi di sicurezza informatica.

Avete un piano in atto per rimuovere i sistemi informativi coinvolti in un attacco informatico?

Sì
No
Commenti

Con quale frequenza viene testato questo piano?

Commenti

Qual è il periodo di tempo medio per un ripristino completo del sistema, ad esempio durante un attacco ransomware?

Commenti

Hai un team di ripristino del sistema dedicato o questo sforzo è esternalizzato?

Sì
No
Commenti

Qual è la vostra politica per la revisione dei ruoli e delle responsabilità dei vostri piani di recupero?

Commenti

Come si fa a tenere informate le parti interessate sui propri sforzi di recupero?

Commenti

In che modo il piano di ripristino si allinea con i piani di risposta agli incidenti e di continuità aziendale?

Commenti

Come si verifica il successo degli sforzi di ripristino e l'integrità dei dati sostituiti?

Commenti

[RC:IM] Miglioramenti

Descrizione: La pianificazione e i processi di recupero vengono migliorati incorporando le lezioni apprese nelle attività future.

Discuti l'apprendimento chiave dagli sforzi di risposta a seguito di un evento informatico reale o simulato?

Sì
No
Commenti

Qual è il vostro processo per incorporare queste conoscenze chiave nei piani di risposta agli incidenti, ripristino e continuità aziendale?

Commenti

Le parti interessate sono coinvolte nelle discussioni chiave sull'apprendimento?

Commento

Qual è il vostro processo di aggiornamento della formazione sulla consapevolezza delle minacce (generale e basata sui ruoli) sulla base delle informazioni chiave dell'apprendimento?

Commento

Puoi fornire un esempio di una lezione appresa che è stata utilizzata per migliorare la resilienza di un sistema mission-critical?

Sì
No
Commenti

Come viene testata l'efficacia delle lezioni apprese?

Commenti

[RC:CO] Comunicazioni

Descrizione: Le attività di ripristino sono coordinate con parti interne ed esterne, come centri di coordinamento, fornitori di servizi Internet, proprietari dei sistemi di attacco, vittime, altri CSIRT e fornitori.

Come puoi assicurarti che i tuoi stakeholder siano tenuti informati sui tuoi sforzi di gestione del rischio?

Commenti

Scopri come UpGuard semplifica i > di reporting sulla sicurezza informatica

Come gestisci le comunicazioni tra i tuoi team di sicurezza e i fornitori di terze parti, in particolare nell'area della gestione del rischio dei fornitori?

Commenti

Come si comunica con le parti esterne durante la fase di recupero di un attacco informatico?

Commenti

Qual è il vostro processo per interagire con i fornitori che sono caduti vittime di una violazione dei dati?

Commento

Come si garantisce l'affidabilità di tutti i canali di comunicazione durante la fase di ripristino di un evento di sicurezza?

Commenti

Come gestite le comunicazioni con le forze dell'ordine o gli organismi di regolamentazione durante il processo di recupero?

Commenti

Puoi fornire un esempio di quando la comunicazione con un fornitore di terze parti o altre parti esterne ha aiutato i tuoi sforzi di recupero?

Sì
No
Commenti

Come garantire comunicazioni efficienti con i fornitori per semplificare i processi di valutazione del rischio?

Commenti

Guarda questo video per scoprire come UpGuard migliora le relazioni con i fornitori attraverso una migliore collaborazione.