Modello gratuito di questionario per fornitori ISO 27001 (edizione 2023)

La norma ISO 27001 è comunemente utilizzata per valutare i rischi di violazione della catena di approvvigionamento e dei dati durante la due diligence. Questo post fornisce un modello gratuito di questionario per i fornitori ISO 27001 per una valutazione di alto livello degli standard di sicurezza delle informazioni dei fornitori. Sebbene questo modello di valutazione della sicurezza copra solo in generale gli aspetti della gestione dei rischi della catena di approvvigionamento della ISO 27001, dovrebbe comunque essere sufficiente per identificare potenziali carenze nella strategia di controllo della sicurezza di un fornitore che richiedono ulteriori indagini.

I questionari di sicurezza dovrebbero essere gestiti all'interno del contenuto di un programma di gestione del rischio del fornitore, idealmente all'interno di un'unica piattaforma, in modo che l'intero ciclo di vita del questionario possa essere automatizzato.

Richiedi una prova gratuita di UpGuard >

Modello ISO 27001 gratuito per i fornitori di servizi nel 2023

Il seguente modello ISO 27001 enfatizza le famiglie di controllo di sicurezza che si associano agli standard di sicurezza e protezione dei dati di fornitori di terze parti, principalmente le seguenti famiglie di controlli:

• A.5 Politiche di sicurezza delle informazioni
• A.9 Controllo degli accessi
• A.12 Sicurezza operativa
• A.15 Rapporti con i fornitori
• A.16 Gestione degli incidenti di sicurezza delle informazioni
• A.17 Aspetti relativi alla sicurezza delle informazioni nella gestione della continuità operativa
• A.18 Conformità

Questo modello copre anche le seguenti clausole:

• Clausola 4: Contesto dell'organizzazione - Prova di conoscenza sicura di tutte le questioni normative interne ed esterne.
• Clausola 5: Leadership - L'impegno del team di leadership nei confronti di un sistema di gestione della sicurezza delle informazioni (ISMS).
• Articolo 6: Pianificazione - Competenza nella valutazione dei rischi per la sicurezza degli asset nell'ambito dell'ISMS.
• Clausola 7: Supporto - Garantisce che tutto il personale sia supportato con risorse sufficienti per il mantenimento dell'ISMS
• Clausola 8: Funzionamento - La capacità di applicare misure di sicurezza appropriate a tutti i rischi identificati per l'integrità dei dati sensibili, alle vulnerabilità scoperte e a qualsiasi esposizione che faciliti attacchi informatici e violazioni dei dati.
• Clausola 9: Valutazione delle prestazioni - Una valutazione degli audit interni per il monitoraggio dell'efficacia dei controlli e dei processi di sicurezza.
• Clausola 10: Miglioramento - Garantire che siano in atto processi per migliorare continuamente l'ISMS.

Scopri l'ambito completo dei controlli di sicurezza e delle clausole all'interno della norma ISO 27001 >

Nota: questo modello è utile per una valutazione di alto livello della sicurezza delle informazioni di fornitori e fornitori di servizi. Per una valutazione completa del rischio del fornitore, si consiglia di utilizzare una piattaforma di gestione del rischio del fornitore come UpGuard per garantire che i processi di gestione dei questionari siano basati su un framework efficiente e scalabile.

UpGuard offre una libreria di questionari standard del settore, tra cui ISO 27001, GDPR, NIST CSF, HIPAA e PCI DSS.

Scopri come scegliere il software di automazione dei questionari di sicurezza >

Contesto dell'organizzazione

1. Potrete effettuare un controllo di sicurezza in loco con un preavviso di 24 ore?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

2. Manterrete un registro di controllo dei server di dati e dei processi di backup per i vostri dati riservati?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

3. Puoi fornire una prova di dove si trovano i tuoi dati riservati in qualsiasi momento?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

4. Ci sono problemi interni o esterni che influiscono negativamente sulla tua capacità di raggiungere i risultati attesi dal tuo sistema di gestione della sicurezza delle informazioni (ISMS)?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

5. È possibile definire e decidere i limiti e le aree in cui verrà applicato il sistema di gestione della sicurezza delle informazioni (ISMS)?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

Un'organizzazione può avere vari reparti o unità aziendali che gestiscono diversi tipi di informazioni e hanno esigenze di sicurezza diverse. Devono identificare chiaramente quali specifici asset informativi saranno coperti dall'ISMS.

6. Hai creato un sistema per la gestione della sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

7. La presente politica di sicurezza delle informazioni è stata messa in atto?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

8. Avete una politica per il mantenimento di questo sistema di sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

Scopri come UpGuard protegge il settore sanitario dalle violazioni dei dati >

Leadership

1. Hai stabilito la tua politica e i tuoi obiettivi di sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

2. Puoi fornire prove che la tua politica e i tuoi obiettivi di sicurezza delle informazioni siano compatibili con la direzione strategica della tua azienda?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

Questa domanda garantisce che la sicurezza delle informazioni sia integrata nella strategia organizzativa complessiva e riceva il supporto necessario per raggiungere efficacemente i suoi obiettivi.

3. Siete in grado di fornire la prova che i requisiti del vostro sistema di gestione della sicurezza delle informazioni sono integrati senza problemi nei suoi processi quotidiani?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

4. Siete in grado di fornire prove della disponibilità di tutte le risorse necessarie richieste dai vostri sistemi di gestione della sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

5. È possibile fornire prove per comunicare continuamente l'importanza di un'efficace gestione della sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

6. È possibile fornire prove per l'allineamento continuo con i requisiti del sistema di gestione della sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

7. È possibile fornire la prova che il sistema di gestione della sicurezza delle informazioni sta raggiungendo gli obiettivi predeterminati e i risultati previsti?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

8. È possibile fornire la prova che il sistema di gestione della sicurezza delle informazioni sta raggiungendo gli obiettivi predeterminati e i risultati previsti?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

9. Disponi di processi che supportano il miglioramento continuo del tuo sistema di gestione della sicurezza delle informazioni

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

10. I vertici aziendali garantiscono che le responsabilità del personale addetto alla sicurezza delle informazioni siano comunicate?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

Pianificazione

1. La tua organizzazione dispone di misure di sicurezza per identificare i rischi associati al tuo sistema di gestione della sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

2. La tua organizzazione dispone di soluzioni per la correzione dei rischi associati al tuo sistema di gestione della sicurezza delle informazioni?

• Sì
• No
• Non applicabile.
• Il fornitore deve aggiungere commenti

3. La tua organizzazione dispone di criteri di accettazione del rischio nell'ambito di un programma di gestione del rischio di terze parti?

• Sì
• No
• Non applicabile.
• Il fornitore deve aggiungere commenti

Scopri di più sulla gestione del rischio di terze parti >

4. La tua organizzazione dispone di un framework di valutazione dei rischi ripetibile per indagare sui rischi dei fornitori e sul loro impatto sulla tua posizione di sicurezza?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

5. Qual è il vostro processo per applicare le valutazioni del rischio ai rischi identificati e come monitorate i loro progressi?

• Sì
• No.
• Non applicabile.
• Il fornitore deve aggiungere commenti

Scopri come fare in modo che i fornitori rispondano alle valutazioni dei rischi più rapidamente >

6. Qual è il tuo sistema per misurare l'impatto previsto sulla tua posizione di sicurezza nel caso in cui si materializzino rischi rilevati?

• Il fornitore deve aggiungere commenti

Soluzioni come UpGuard possono valutare l'efficacia degli sforzi di correzione proiettando il loro impatto sulla tua posizione di sicurezza.

Richiedi una prova gratuita di UpGuard >

7. Qual è il vostro processo per determinare la gravità del rischio per tutte le vulnerabilità identificate?

• Non applicabile
• Il fornitore deve aggiungere commenti

8. Qual è il vostro processo per dare priorità ai rischi critici per la sicurezza, sia internamente che nell'ambito del vostro programma di gestione dei rischi di terze parti?

• Non applicabile
• Il fornitore deve aggiungere commenti

Il processo di organizzazione dei fornitori in base all'aumento della gravità del rischio per la sicurezza è noto come Vendor Tiering.

Scopri di più sul Vendor Tiering >

9. Qual è il tuo sistema per scegliere i controlli di sicurezza a supporto dei tuoi obiettivi di sicurezza delle informazioni?

• Non applicabile
• Il fornitore deve aggiungere commenti

Disporre di un sistema per la selezione dei controlli di sicurezza dimostra che il fornitore segue un approccio strutturato e sistematico alla selezione delle misure di sicurezza appropriate.

10. Qual è il vostro sistema per comunicare gli sforzi di mitigazione del rischio con i membri del consiglio di amministrazione e le parti interessate?

• Non applicabile
• Il fornitore deve aggiungere commenti

Scopri di più sulla funzionalità di reporting esecutivo di UpGuard >

11. Hai un piano di disaster recovery in atto?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

12. Avete un piano di risposta agli incidenti?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

Scopri come progettare un piano di risposta agli incidenti efficace >

13. Quali processi di notifica degli incidenti sono in atto per l'attivazione delle pratiche di sicurezza?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

Appoggiare

1. Avete fornito ai team di sicurezza le risorse necessarie per la creazione e la manutenzione del vostro ISMS?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

2. Tutte le persone all'interno dei tuoi team di sicurezza informatica sono a conoscenza della tua politica di sicurezza delle informazioni?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

3. Quali processi del programma di sicurezza sono in atto per proteggere la documentazione sensibile (inclusi i dettagli del controllo degli accessi, la sicurezza fisica, i controlli di sicurezza del cloud, i test di penetrazione, ecc.)?

• Non applicabile
• Il fornitore deve aggiungere commenti

Operazione

1. Qual è il tuo sistema per gestire la tua superficie di attacco?

• Non applicabile
• Il fornitore deve aggiungere commenti

2. Qual è il tuo sistema per rilevare le minacce nella tua superficie di attacco (configurazioni errate dei prodotti SaaS, software legacy, server senza patch, ecc.)?

• Non applicabile
• Il fornitore deve aggiungere commenti

Scopri come UpGuard semplifica la gestione della superficie di attacco >

3. Qual è il vostro processo per tenere traccia di tutti i processi esternalizzati?

• Non applicabile
• Il fornitore deve aggiungere commenti

4. Utilizzi altri questionari o framework per monitorare i tuoi sforzi di sicurezza del cloud o dei dati (CAIQ, SIG, SOC 2, ecc.)?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

5. Le valutazioni dei rischi per la sicurezza dei fornitori vengono eseguite a intervalli pianificati?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

6. Qual è il processo per l'attivazione dei processi di valutazione del rischio quando si verificano cambiamenti imprevisti dell'ISMS?

• Non applicabile
• Il fornitore deve aggiungere commenti

La capacità di rispondere rapidamente alle modifiche ISMS, come aggiornamenti di sistema, modifiche alle policy o incidenti di sicurezza, dimostra che il fornitore è in grado di mantenere controlli di sicurezza delle informazioni adeguati.

7. Avete una politica per conservare i risultati della valutazione del rischio informativo?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

8. Qual è il periodo di conservazione per le valutazioni del rischio delle informazioni completate?

• Non applicabile
• Il fornitore deve aggiungere commenti

Valutazione delle prestazioni

1. Qual è il vostro sistema per valutare continuamente l'efficacia del vostro sistema di gestione della sicurezza delle informazioni?

• Non applicabile
• Il fornitore deve aggiungere commenti

2. Disponi di un sistema per monitorare continuamente la tua superficie di attacco interna?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

3. Disponi di un sistema per monitorare continuamente la tua superficie di attacco esterna?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

4. Disponi di un sistema per monitorare continuamente la tua superficie di attacco esterna?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

I fornitori che monitorano continuamente la loro superficie di attacco esterna riducono il rischio che la tua azienda venga colpita da attacchi alla catena di approvvigionamento e violazioni di terze parti.

5. Eseguite regolarmente audit interni per determinare se il vostro sistema di gestione della sicurezza delle informazioni soddisfa lo standard ISO 27001?

• Sì
• No
• Non applicabile
• Il fornitore deve aggiungere commenti

Miglioramento

1. Qual è il vostro sistema per valutare l'efficacia degli sforzi di bonifica?

• Non applicabile
• Il fornitore deve aggiungere commenti

2. Qual è il tuo sistema per regolare il tuo sistema di gestione della sicurezza delle informazioni quando necessario?

• Non applicabile
• Il fornitore deve aggiungere commenti

Avendo un sistema ben definito per apportare modifiche, le organizzazioni possono adattare prontamente i controlli, le politiche e i processi di sicurezza, garantendo la protezione continua delle risorse informative e mantenendo la conformità agli standard ISO 27001.

3. Spiega il tuo processo per migliorare continuamente il tuo ISMS

• Non applicabile
• Il fornitore deve aggiungere commenti

4. Fornisci prove del miglioramento continuo del tuo ISMS sin dalla sua implementazione

• Non applicabile
• Il fornitore deve aggiungere commenti

Per scoprire come UpGuard può aiutarti a semplificare e automatizzare i flussi di lavoro di valutazione del rischio, guarda il video qui sotto.