Che cos'è un buon punteggio HECVAT?

L'HECVAT (Higher Education Community Vendor Assessment Toolkit) è un framework di valutazione della sicurezza sotto forma di questionario specificamente progettato per gli istituti di istruzione superiore per misurare il rischio dei fornitori.

HECVAT tenta di standardizzare i requisiti di sicurezza delle informazioni e protezione dei dati dell'istruzione superiore per i fornitori di servizi cloud e le soluzioni di terze parti, in particolare per la loro coerenza, compatibilità e facilità d'uso.

Quando un istituto scolastico decide di acquistare soluzioni di terze parti, di solito chiede al fornitore di compilare un questionario HECVAT per assicurarsi che tutte le informazioni, i dati e i requisiti di sicurezza informatica siano in ordine.

Che tu sia un fornitore che spera di migliorare il punteggio dei propri servizi o un'istituzione interessata al raggiungimento degli standard HECVAT, questo articolo ti mostrerà come ottenere un buon punteggio HECVAT. Continua a leggere per saperne di più sulla conformità HECVAT e sulle diverse varianti dei modelli di valutazione della sicurezza HECVAT.

Scopri di più sull'ambito di applicazione di HECVAT.

In che modo HECVAT valuta i fornitori

Proprio come altri questionari di valutazione del rischio dei fornitori, HECVAT si basa sulla forza combinata dei requisiti comuni di controllo della sicurezza e delle migliori pratiche per la gestione del rischio dei fornitori.

I fornitori devono rispondere in modo esauriente a tutte le domande elencate. Devono fornire i dati pertinenti, la documentazione aggiuntiva, le politiche e le prove (ad esempio, i risultati dei controlli di sicurezza), che devono supportare le loro risposte. Successivamente, un fornitore viene valutato con un punteggio HECVAT.

Per una valutazione approfondita, queste pratiche e requisiti sono anche aiutati dal consolidamento da più fonti.

Scopri come rispettare l'HECVAT.

Qual è il punteggio HECVAT minimo consigliato?

I fornitori e le soluzioni di terze parti sono in grado di ottenere un buon punteggio HECVAT superando il 90%, dove il 70% è il punteggio HECVAT minimo accettabile.

L'istituto può evidenziare le risposte del fornitore e può anche fornire loro più domande di follow-up a seconda del punteggio, della reputazione e di altri fattori. Questa è una componente cruciale dell'esecuzione della due diligence, garantendo che il punteggio HECVAT di un fornitore migliori prima di stabilire una partnership.

Se vuoi saperne di più sui questionari di sicurezza, leggi la nostra guida sui migliori questionari qui.

Velocizzare il processo di valutazione con il CBI

Molti fornitori di servizi cloud come Google hanno un questionario HECVAT precompilato che può essere utilizzato da altre istituzioni. La valutazione è disponibile tramite il Cloud Broker Index (CBI).

Il Cloud Broker Index è un elenco di fornitori che hanno completato con successo la valutazione HECVAT e hanno acconsentito a condividere pubblicamente i propri punteggi HECVAT.

Il CBI consente alle organizzazioni di risparmiare tempo e fatica consentendo ai valutatori della sicurezza di college e università di accedere facilmente a questo elenco aggiornato per valutare gli standard di sicurezza dei loro fornitori di servizi.

L'elenco del CBI viene costantemente aggiornato e, a seconda del modello, le organizzazioni possono utilizzare i questionari compilati per accelerare il processo di valutazione.

Visualizza l'indice Cloud Broker (CBI).

Perché HECVAT è importante?

Negli ultimi anni, i settori dell'istruzione superiore sono diventati un bersaglio per i criminali informatici.

Nel marzo 2021, l'FBI ha pubblicato un avviso in risposta a un cluster di attacchi ransomware PYSA che hanno preso di mira istituti scolastici in 12 stati degli Stati Uniti nell'ultimo anno.

Inside Higher Education riferisce inoltre che molte università e college stanno diventando bersagli frequenti per i malintenzionati e hanno subito danni IT attraverso un provider di cloud storage di terze parti.

Non solo, ma anche i fornitori dei college e le organizzazioni di terze parti sono stati bersagli diretti di attacchi informatici che minacciano di compromettere i dati sensibili sia dei fornitori che delle istituzioni attraverso le vulnerabilità.

Con l'avanzata evoluzione dell'IT e della sicurezza informatica che protegge i dati istituzionali degli istituti di istruzione superiore, è importante comprendere i vantaggi di HECVAT e quanto sia cruciale la sua implementazione in questi istituti.

Molte istituzioni educative come college e università non hanno ancora compreso l'importanza dei rischi per la sicurezza informatica. I loro processi di approvvigionamento sono incoerenti e sono ancora gestiti da sistemi IT obsoleti senza programmi di sicurezza coerenti, lasciando i loro data center a rischio.

Gli obiettivi principali di HECVAT

HECVAT mira a:

• garantire la protezione dei dati sensibili e delle PII (Personally Identifiable Information) dei componenti;
• garantire che le procedure di protezione e gestione dei dati implementate dai fornitori siano conformi agli standard;
• garantire che l'entità disponga di un piano di continuità operativa (BCP) ben documentato;
• assicurarsi che sia in atto un piano di ripristino di emergenza (DRP);
• ridurre i costi per i servizi cloud senza aumentare il rischio di sicurezza informatica;
• contribuire a ridurre l'onere che i fornitori di servizi cloud devono affrontare quando rispondono alle richieste di valutazione della sicurezza da parte degli istituti di istruzione superiore.

Per quanto riguarda gli istituti di istruzione superiore e i loro fornitori terzi, fornisce un punto di partenza per il processo di valutazione del rischio.

Per gli istituti di istruzione, HECVAT offre due vantaggi principali:

1. Miglioramento degli standard di sicurezza: HECVAT offre una soluzione molto robusta per la valutazione della sicurezza. Con un quadro coerente come HECVAT, gli istituti di istruzione superiore possono valutare correttamente i loro standard di sicurezza e privacy.
2. Risparmio di tempo: standardizzando la valutazione del rischio tramite HECVAT, le scuole possono stare tranquille e risparmiare tempo nella valutazione di soluzioni di terze parti. Soprattutto, è molto facile da implementare, poiché i fornitori di servizi educativi probabilmente lo conoscono già.

Perché è stato creato HECVAT?

In risposta all'aumento dei rischi per la sicurezza informatica, il settore dell'istruzione ha recentemente sviluppato la necessità di rafforzare i propri standard di sicurezza informatica, proprio come la sanità, la finanza e la pubblica amministrazione.

HECVAT, originariamente l'Higher Education Cloud Vendor Assessment Tool, è stato creato in risposta all'evoluzione del panorama delle minacce che circondano l'istruzione superiore. Da quando ha acquisito un ambito più ampio al di fuori dell'istruzione superiore, HECVAT è stato rinominato Higher Education Community Vendor Assessment Tool, riflettendo meglio il suo scopo oltre il cloud.

Tendenze che hanno cambiato lo scopo dell'HECVAT

Ecco le nuove tendenze nel cyberspazio che hanno spostato lo scopo di HECVAT:

• La crescente popolarità dei servizi cloud, dei fornitori di cloud e dei fornitori di terze parti nelle università e nei college;
• L'importanza di salvaguardare i dati sensibili negli istituti scolastici da violazioni e fughe di dati;
• L'importanza di proteggere le PII (Personally Identifiable Information) dei componenti dell'istruzione superiore;
• Mantenere leggi e standard extraterritoriali sulla protezione dei dati come GDPR, LGPD, PIPEDA, FIPA e SHIELD Act.

Chi ha creato HECVAT?

L'Higher Education Information Security Council (HEISC) (con l'aiuto di professionisti della privacy ed esperti di sicurezza informatica) ha sviluppato l'HECVAT per aiutare i college e le università ad affrontare la sfida di misurare il rischio dei fornitori.

Hanno raccolto diversi tipi di valutazioni dei fornitori e hanno determinato quali misure e regolamenti erano più efficaci per gli istituti di istruzione superiore.

Alcune delle altre parti che hanno contribuito a creare HECVAT sono:

• EDUCARE,
• Gruppo di Lavoro sulle Valutazioni Condivise,
• Internet2
• REN-ISAC (Centro di Condivisione e Analisi delle Reti di Ricerca e Istruzione)

Scopri di più sul perché la gestione del rischio dei fornitori è importante.

Cosa sono i framework HECVAT?

Vale la pena notare che HECVAT non è stato creato da zero, in quanto si tratta di un'intricata rete di framework di sicurezza informatica con funzionalità influenzate da varie normative e framework, tra cui:

• CIS (controlli di sicurezza critici),
• HIPAA,
• Certificazione ISO 27002,
• Quadro di sicurezza informatica NIST,
• NIST 800-171,
• PCI, DSS e altro ancora.

Anche la struttura dei rapporti SOC (in particolare, i componenti di auto-divulgazione) ha svolto un ruolo cruciale nel consolidare le versioni finali del programma di valutazione HECVAT.

Poiché HECVAT è collegato a varie normative e standard di gestione del rischio dei fornitori, un'organizzazione potrebbe già avere implementato controlli di sicurezza conformi a un determinato modello HECVAT.

Se vuoi scoprirlo, puoi mappare la tua conformità rispetto all'elenco dei controlli e delle linee guida raccomandati da HECVAT nella terza scheda della valutazione HECVAT Full.

Cosa contiene il toolkit HECVAT?

Il toolkit Higher Education Community Vendor Assessment dispone di una pletora di versioni del quadro di valutazione, composto da 22 categorie e 265 domande.

Le diverse versioni di HECVAT consentono alle istituzioni di scegliere una versione adatta alle proprie esigenze di dati. Tutti questi framework di valutazione del rischio di terze parti sono gratuiti e offrono un approccio semplificato e semplice.

Ecco i quattro framework HECVAT più comuni:

1. HECVAT versione completa (versione originale)

La versione completa di questo robusto questionario copre tutte le 22 categorie con 265 domande riguardanti la valutazione dei dati critici, la condivisione dei dati e le informazioni generali. Consiste anche in domande riguardanti le linee guida per HIPAA e PCI-DSS.

Visualizza HECVAT Full.

2. HECVAT Lite

Come suggerisce il nome, si tratta di una versione leggera del quadro di valutazione standard che copre 14 delle 22 categorie con un totale di 62 possibili domande. Viene utilizzato per valutazioni più rapide e semplici dei fornitori per i processi di dati meno critici, quindi non include le sezioni per le linee guida HIPAA e PCI DSS, tra le altre.

Visualizza HECVAT Lite.

3. HECVAT in locale

Si tratta di una versione unica per la valutazione di software, appliance e soluzioni cloud on-premise. Copre 11 delle 22 categorie totali e consiste di 55 domande.

Visualizza HECVAT in locale.

4. Triage HECVAT

Il questionario HECVAT Triage viene utilizzato come prerequisito per la valutazione del rischio o per le richieste di valutazione della sicurezza. Aiuta gli istituti di istruzione superiore a documentare e riassumere i piani di condivisione dei dati, i requisiti tecnici e gli elementi per i loro potenziali fornitori, software di terze parti o fornitori di servizi. È destinato solo alle istituzioni .edu e non deve essere utilizzato dai fornitori.

Visualizza HECVAT Triage.

Dovresti affidarti esclusivamente a HECVAT?

Sebbene HECVAT sia un modello solido per la gestione del rischio dei fornitori e la valutazione della sicurezza e della privacy di un'organizzazione, non è sicuramente sufficiente per mantenere una solida posizione di sicurezza per un'azienda o un'organizzazione.

HECVAT si basa sulla soggettività e non tiene conto di potenziali cambiamenti dopo aver completato un questionario di valutazione della sicurezza del fornitore. Inoltre, la formattazione del questionario è tale da eliminare alcune domande basate su risposte precedenti, quindi è relativamente rigida.

Al fine di mantenere una valutazione più basata sui dati, dinamica e obiettiva della posizione di sicurezza del fornitore designato, è fondamentale avere una valutazione di sicurezza accurata.

Di seguito sono riportate altre considerazioni importanti per valutare le posizioni di sicurezza dei fornitori.

Linee guida per la classificazione dei dati

È importante che i fornitori consultino prima le proprie linee guida per la classificazione dei dati prima di considerare quale modello HECVAT utilizzeranno in base alle proprie esigenze.

Secondo l'Information Security Office (ISO) della Carnegie Mellon University (CMU), un modello HECVAT dovrebbe essere utilizzato per creare un quadro adeguato per classificare i dati istituzionali in base al loro livello di valore, sensibilità e criticità per una determinata istituzione educativa.

Un modello HECVAT deve essere conforme alla politica di sicurezza delle informazioni dell'Università e le istituzioni devono mappare le linee guida per la classificazione dei dati al modello.

Leggi le linee guida della CMU per la classificazione dei dati.

Sistema di valutazione della sicurezza

Un sistema di valutazione della sicurezza è uno strumento importante che i team di gestione del rischio di terze parti possono utilizzare per il monitoraggio continuo e il benchmarking dei fornitori.

Le valutazioni di sicurezza si basano su calcoli molto oggettivi e dati osservabili che gli esperti IT possono sempre verificare. Quindi un sistema di valutazione della sicurezza presenta uno strumento molto efficace con informazioni aggiornate che possono aiutare notevolmente le valutazioni della sicurezza e i team di gestione del rischio.

Molti giganti della sicurezza informatica raccomandano vivamente le valutazioni della sicurezza e svolgono un ruolo importante nella consapevolezza della sicurezza, nella gestione delle prestazioni della sicurezza informatica e nella comunicazione delle metriche di sicurezza informatica al consiglio di amministrazione, alla C-suite e agli azionisti.

Gartner sottolinea l'importanza dei rating della sicurezza informatica, confrontandoli con i rating del credito standard per le organizzazioni quando valutano il rischio delle relazioni commerciali esistenti e nuove.

In poche parole, quando le aziende o le organizzazioni esaminano i concorrenti o le nuove relazioni commerciali, possono valutare la loro reputazione in base alle loro valutazioni sulla sicurezza informatica.

Scopri come implementare le valutazioni di sicurezza nel tuo programma di sicurezza informatica.