Come conformarsi all'HECVAT nel 2023

L'Higher Education Community Vendor Assessment Toolkit (HECVAT) aiuta l'istruzione superiore a mitigare l'impatto dei rischi per la sicurezza delle relazioni con i fornitori che offrono servizi basati su cloud.

Con l'aumento degli attacchi alla supply chain e i rischi dei fornitori che si collocano tra i primi tre vettori di attacco iniziali per le violazioni dei dati, la conformità HECVAT sta diventando un requisito obbligatorio per la collaborazione con gli istituti di istruzione superiore.

Che tu sia un fornitore di terze parti che spera di espandersi nel settore dell'istruzione o che ti sia stato richiesto di rispettare HECVAT, questa guida alla conformità ti aiuterà. Per ottenere il massimo valore da questo post, scarica la sua lista di controllo di accompagnamento.

Una rapida panoramica di HECVAT

HECVAT è stato istituito dall'Higher Education Information Security Council (HEISC) e dal Shared Assessments Working Group in collaborazione con Internet2 e REN-ISAC.

L'obiettivo di HECVAT è quello di consentire agli istituti di istruzione superiore di continuare a sfruttare i vantaggi operativi dei fornitori di servizi cloud, riducendo al minimo l'impatto dei loro rischi per la sicurezza.

Scopri di più sui rischi intrinseci e residui >

Il processo di valutazione HECVAT è coinvolto in due parti:

• Istituti di istruzione superiore - La conformità HECVAT conferma che un fornitore sta seguendo le migliori pratiche di protezione dei dati. Questo, a sua volta, conferma che il fornitore dispone di controlli di sicurezza informatica per mitigare l'impatto della compromissione dei dati sensibili in caso di tentativo di violazione dei dati.
• Fornitori di terze parti - I fornitori di terze parti conformi a HECVAT aumentano la loro probabilita di instaurare relazioni commerciali nel settore dell'istruzione.

HECVAT era originariamente noto come Higher Education Cloud Vendor Assessment Tool, che comprendeva un lungo elenco di domande di sicurezza. Con il cambio di nome, HECVAT si è evoluto in un intero toolkit per supportare la gestione del rischio per tutti i fornitori di servizi di terze parti, non solo per i servizi cloud.

Scopri lo stato dei > di sicurezza informatica universitaria

Il toolkit di HECVAT offre ora molteplici strumenti per soddisfare i requisiti unici di gestione dei rischi per la sicurezza informatica di diverse istituzioni educative e fornitori di servizi di terze parti.

• HECVAT Full - Questa è la valutazione della sicurezza più completa di HECVAT. Le 250 domande di HECVAT offrono il massimo livello di controllo per i controlli di sicurezza che proteggono le informazioni di identificazione personale (PII).
• HECVAT Lite - Questo strumento HECVAT è una versione più concisa di HECVAT full. Questa valutazione dei rischi è adatta per i fornitori che non elaborano dati critici.
• HECVAT On-Premise - La valutazione on-premise di HECVAT viene utilizzata per valutare le appliance on-premise che elaborano le PII.
• Valutazione HECVAT: questa valutazione è destinata solo agli istituti Edu, non ai fornitori. La valutazione del triage aiuta gli enti dell'istruzione a documentare le loro intenzioni di condivisione dei dati in modo che possano essere condivise con i potenziali fornitori.

Scopri di più su HECVAT >

Lista di controllo per la conformità HECVAT

La seguente lista di controllo può essere utilizzata come modello per un programma di sicurezza informatica conforme a HECVAT. Molti componenti devono essere affrontati quando si valuta la conformità HECVAT. Per brevità, di seguito sono descritti solo i principali componenti di conformità HECVAT. È possibile scaricare una checklist completa per la conformità HECVAT seguendo il link sottostante.

Scarica la checklist completa per la conformità HECVAT >

1. Identifica quale livello HECVAT si applica a te

Il primo passo verso la conformità HECVAT è capire quale livello all'interno del toolkit si applica alla tua organizzazione. Per aiutarti a decidere, ecco una panoramica dei diversi casi d'uso per ogni valutazione:

Chi dovrebbe completare HECVAT per intero?

HECVAT completo deve essere completato dai fornitori di servizi che elaborano i dati critici dei clienti, come le informazioni di identificazione personale (PII).

Scopri cosa costituisce una classificazione PII >

I fornitori che devono completare un HECVAT completo non rientrano necessariamente in una categoria di obiettivi. Le scale di sensibilità dei dati differiscono da un'organizzazione all'altra e potresti decidere che i fornitori tenuti a conformarsi all'HIPAA debbano anche completare una valutazione completa HECVAT.

Per fortuna, questa decisione non è interamente guidata dall'intuizione. Una risposta quantitativa può essere ottenuta mappando le politiche di classificazione dei dati all'elenco di controllo della sicurezza di HECVAT (che si trova nella terza scheda della valutazione completa di HECVAT).

È possibile accedere alla valutazione completa HECVAT tramite il sito Web di Educause.

Chi dovrebbe completare HECVAT Lite?

HECVAT lite deve essere completato da fornitori di servizi che non elaborano informazioni di identificazione personale, né all'interno di soluzioni cloud né di appliance on-premise.

Se non sei sicuro che i tuoi processi includano PII, è necessario completare una valutazione completa HECVAT solo per sicurezza.

È possibile accedere alla valutazione HECVAT Lite tramite il sito Web di Educause.

Chi dovrebbe completare HECVAT On-Premise?

I fornitori di servizi con elettrodomestici o software che elaborano informazioni critiche nei loro locali dovrebbero completare la valutazione on-premise.

È possibile accedere alla valutazione HECVAT On-Premise tramite il sito Web di Educause.

Chi deve completare il triage HECVAT?

Il triage HECVAT dovrebbe idealmente essere completato da tutte le istituzioni educative che esercitano qualsiasi forma di condivisione privata dei dati. Le valutazioni del triage sono spesso richieste nel processo di valutazione del rischio durante gli audit del livello di sicurezza degli istituti scolastici.

Scopri di più sulle valutazioni della sicurezza >

Tieni presente che tutte le valutazioni HECVAT gratuite sul sito Web di Educause sono disponibili in formato xls e la gestione di questionari su fogli di calcolo non è una best practice per un programma VRM scalabile.

Per facilitare l'uso, è necessario utilizzare una soluzione di gestione della valutazione dei fornitori che includa un modello di questionario HECVAT.

Scopri come scalare il tuo programma VRM >

2. Identifica le soglie di condivisione dei dati

Questo passaggio è applicabile solo agli istituti di istruzione. Completa una valutazione HECVAT per mappare tutti gli impegni di condivisione dei dati e i data center in cui sono archiviati i dati istituzionali, inclusi i flussi tra le soluzioni SaaS. Questo sforzo può anche richiedere di mappare l'impronta digitale del tuo ecosistema informatico.

I dati raccolti da una valutazione del triage dipingeranno un quadro delle soglie di condivisione dei dati, informazioni che informeranno la definizione della tua propensione al rischio.

3. Mappa le soglie di condivisione dei dati in base alla tua propensione al rischio

Il risultato della valutazione del triage può indurre a rivalutare la propensione al rischio. Dopo aver confrontato i due profili, potresti scoprire che la tua propensione al rischio deve essere regolata per eventuali rischi per la sicurezza associati a pratiche di condivisione dei dati trascurate.

Una propensione al rischio ben definita manterrà tutte le attività di elaborazione dei dati, comprese quelle coinvolte nei processi di approvvigionamento, entro i limiti raccomandati da HECVAT.

Scopri come calcolare la tua propensione al rischio >

4. Identifica eventuali lacune nel controllo della sicurezza tra HECVAT e il tuo programma di sicurezza informatica

È importante capire che HIgher Education Community Vendor Assessment Tool (HECVAT) non è stato progettato da zero. Le sue caratteristiche sono state influenzate da una varietà di normative e framework di sicurezza informatica, tra cui HIPAA e PCI DSS. Anche la struttura dei rapporti SOC, in particolare i componenti di auto-divulgazione, ha svolto un ruolo nella definizione del programma di valutazione finale HECVAT.

Poiché HECVAT si basa su più normative e standard di gestione del rischio dei fornitori, è possibile che siano già in atto controlli di sicurezza a supporto della conformità HECVAT. Puoi confermarlo confrontando l'elenco dei controlli consigliati da HECVAT con il tuo.

L'elenco dei controlli e delle linee guida di HECVAT è disponibile nella terza scheda della valutazione completa di HECVAT.

Una comprensione più approfondita del processo di gestione del controllo di sicurezza rivelerà la vera forza dei piani di continuità aziendale, ripristino di emergenza e risposta agli incidenti.

Scopri come ottenere un punteggio HECVAT accettabile >

HECVAT è sufficiente per gestire i rischi dei fornitori per gli istituti di istruzione superiore?

HECVAT offre agli enti educativi una tabella di marcia per migliorare la sicurezza dei fornitori, ma non riesce ad affrontare l'intero ambito della gestione del rischio dei fornitori (VRM).

HECVAT è essenzialmente un questionario sulla sicurezza, che è solo un singolo componente di un programma di gestione del rischio del fornitore all'interno della categoria di valutazione del rischio.

Il ciclo di vita del Vendor Risk Management è composto da 4 fasi:

1. Valutazioni dei rischi: utilizzate per scoprire vulnerabilità e rischi di terze parti. Sono spesso tematiche, mappate su HECVAT. e altri framework come NIST CSF.
2. Pianificazione della correzione: definizione intelligente delle priorità del rischio del fornitore con il massimo impatto negativo potenziale sulle posizioni di sicurezza.
3. Monitoraggio continuo: monitoraggio continuo della superficie di attacco interna e di terze parti tramite valutazioni di sicurezza e scansioni di rilevamento delle perdite di dati.
4. Individuazione delle minacce: individuazione di nuovi rischi residui derivanti dalle attività di monitoraggio.

UpGuard offre una soluzione completa di gestione del rischio dei fornitori end-to-end per aiutare gli enti del settore dell'istruzione ad affrontare l'intero ambito della sicurezza dei fornitori. UpGuard offre anche questionari di sicurezza specifici per HECVAT, per aiutare gli enti e i fornitori dell'istruzione a monitorare le loro prestazioni di sicurezza informatica rispetto agli standard di sicurezza di HECVAT.

Poiché HECVAT si associa a una serie di framework di sicurezza, come NIST CSF, ISO 27002, HIPAA, CIS Critical Security Controls, ecc., garantire l'allineamento con questi framework può semplificare gli sforzi di conformità HECVAT.

Con una piattaforma come UpGuard, puoi monitorare i tuoi sforzi di allineamento rispetto ai framework informatici più diffusi come NIST CSF. Guarda il video qui sotto per una panoramica delle funzionalità di reporting di conformità di UpGuard in quest'area.