Che cos'è HECVAT? Protezione degli studenti dai rischi per la sicurezza dei fornitori

L'Higher Education Community Vendor Assessment Tool (HECVAT) è un modello di valutazione della sicurezza che tenta di generalizzare le domande e i problemi relativi alla sicurezza delle informazioni e alla protezione dei dati dell'istruzione superiore per garantire coerenza e facilità d'uso.

HECVAT dispone di tre versioni gratuite che si associano ai framework di sicurezza informatica più diffusi, tra cui ISO 27002, NIST CSF, NIST 800-171 e PCI DSS.

Versione originale: 265 domande, incluse le domande di qualificazione per l'iscrizione HIPAA e PCI-DSS
Versione leggera: un questionario leggero utilizzato per accelerare il processo
On-premise: un questionario unico utilizzato per valutare le applicazioni e il software on-premise

Come molti modelli di valutazione del rischio dei fornitori, HECVAT combina le best practice di gestione del rischio dei fornitori e i requisiti comuni di controllo della sicurezza per ridurre i rischi di terze parti.

Monitora la conformità HECVAT con questa lista di controllo gratuita >

Perché è stato creato l'HECVAT?

La creazione dell'Higher Education Cloud Vendor Assessment Tool (HECVAT), che ora è stato rinominato Higher Education Community Vendor Assessment Tool (HECVAT) per riflettere meglio l'uso previsto al di fuori del cloud, è stata guidata dalle seguenti tendenze:

Il numero crescente di fornitori di terze parti utilizzati da un'università o da un college medio
La necessità di proteggere le PII dei componenti a causa del crescente numero di leggi extraterritoriali sulla protezione dei dati come PIPEDA, GDPR, LGPD, lo SHIELD Act e FIPA
La tendenza all'aumento delle violazioni dei dati causate da processi di approvvigionamento non sicuri.
La necessità di proteggere le informazioni istituzionali e i dati sensibili
L'aumento delle dimensioni e della frequenza delle violazioni e delle fughe di dati di prime, terze e quarte parti
La crescita dei servizi cloud e dei fornitori di servizi cloud

HECVAT è stato creato dal gruppo di lavoro sulle valutazioni condivise dell'Higher Education Information Security Council (HEISC) in collaborazione con Internet2 e REN-ISAC attraverso il crowdsourcing di varie valutazioni dei fornitori e l'analisi di quali normative funzionavano meglio per le diverse situazioni di istruzione superiore.

Quali sono i vantaggi dell'utilizzo di HECVAT?

HECVAT consente ai team di sicurezza dell'istruzione superiore di operare in modo più efficiente, contribuendo a garantire che i servizi cloud siano adeguatamente valutati per le esigenze di sicurezza e privacy, comprese quelle esclusive degli istituti di istruzione superiore.

HECVAT mira a ridurre i costi attraverso i servizi cloud senza aumentare il rischio di sicurezza informatica, riducendo al contempo l'onere che i fornitori di servizi cloud devono affrontare quando rispondono alle richieste di valutazione della sicurezza da parte degli istituti di istruzione superiore.

Diversi fornitori di servizi cloud, come Google, hanno completato il questionario HECVAT e hanno fornito le loro valutazioni HECVAT sul Cloud Broker Index (CBI).

Il CBI fornisce un elenco aggiornato dei fornitori che hanno condiviso volentieri il loro HEVAT completo, consentendo ai valutatori di sicurezza di college e università di utilizzare la valutazione pubblicata, risparmiando tempo a entrambe le parti.

Scopri come rispettare l'HECVAT.

Dal punto di vista di un fornitore, dimostrare preventivamente la conformità HECVAT ai potenziali clienti potrebbe accelerare significativamente il ciclo di vendita poiché i prodotti SaaS spesso richiedono l'approvazione dell'IT e dell'approvvigionamento.

Queste valutazioni completate, e qualsiasi altra documentazione di sicurezza pertinente, possono essere caricate su un profilo condiviso sulla piattaforma UpGuard in modo che possano essere comodamente condivise con i potenziali clienti.

Profilo condiviso da UpGuard. Clicca qui per una prova gratuita.

Perché HECVAT è importante?

HECVAT è importante perché gli istituti di istruzione superiore fanno molto affidamento sull'outsourcing e sull'on-sourcing, introducendo un potenziale rischio per i fornitori.

L'istruzione superiore sta esternalizzando di più perché i buoni fornitori offrono vantaggi, tra cui:

Specializzazione: molti prodotti o servizi sono così specializzati che l'outsourcing a un'azienda dedicata fornirà prestazioni migliori e un livello di rischio inferiore rispetto allo svolgimento della funzione internamente, ad esempio contabilità, gestione delle valutazioni, audit interno, risorse umane, vendite e marketing, revisione dei prestiti, gestione patrimoniale e patrimoniale, approvvigionamento o servizio dei prestiti.
Risparmio sui costi: molti fornitori offrono beni o servizi a un costo inferiore rispetto a quello che otterrebbero se fossero lavorati internamente.

Come questionario sulla sicurezza, HECVAT costituisce una parte importante di un solido programma di gestione del rischio dei fornitori (VRM).

Scopri perché la gestione del rischio dei fornitori è importante >

Chi utilizza HECVAT?

I destinatari di HECVAT sono i college, le università e i fornitori di servizi di terze parti a cui stipulano contratti. Secondo EDUCAUSE, dozzine di organizzazioni leader hanno adottato HECVAT per misurare i potenziali rischi per la loro università, campus e corpo studentesco da terze e quarte parti, tra cui:

Università Americana
Università Statale degli Appalachi
Istituto d'Arte di Chicago
Collegio Bates
Università di Baylor
Università di Berry
Università statale delle Black Hills
Università di Boston
Università statale di Bowling Green
Università Brown
Università Battista della California
California State University, tutti i campus e il sistema
Università Carnegie Mellon
Università di Cartagine
Collegio Champlain
Università di Clarkson
Collegio comunitario statale di Columbus
Università di Cornell
Collegio Davidson
Università di Denison
Università DeSales
Università di Drake
Università di Drexel
Università Duquesne
Università della Carolina orientale
Università Statale Ferris
Distretto universitario della comunità di Foothill-De Anza
Collegio Franklin & Marshall
Università Gallaudet
Istituto di tecnologia della Georgia
Collegio comunitario di Hillsborough
Università dell'Indiana
Università Wesleyan dell'Indiana
Istituto di Studi Avanzati
Università John Carroll
Università statale del Kent
Università LeTourneau
Università di Linfield
Università di Longwood
Università di Madison
Università Metodista
Università di Miami
Università statale di Montclair
Collegio di Montgomery
Università statale di Morgan
Università dell'Arizona settentrionale
Università di Oakland
Università settentrionale dell'Ohio
Università statale dell'Oregon
Università di Pace
Università del Pacifico
Università di Pepperdine
Università di Princeton
Università di Radford
Università del Riso
Università di Rowan
Università di Rutgers
Università statale Sam Houston
Istituto di tecnologia dell'Alberta meridionale
Università di Springfield
Università di Stony Brook
Collegio comunitario della contea di Suffolk
Università di Susquehanna
Università tecnologica del Tennessee
Università statale del Texas
Università di
Università statale Truman
Università della California, Davis
Università del Delaware
Università di Denver
Università dell'Idaho
Sistema dell'Università del Maine
Università del Maryland Baltimora
Università del Massachusetts Amherst
Università dell'Oregon
Università di Portland
Università del Rhode Island
Università di Richmond
Università del Tennessee, Knoxville
L'Università del Texas ad Austin
Tecnologia della Virginia
Università A&M del Texas occidentale
Università della Virginia Occidentale
Università della Carolina Occidentale
Università del Michigan occidentale
Guglielmo e Maria
Collegio Williams
Collegio Yavapai

Cosa contiene il toolkit HECVAT?

Il toolkit di valutazione dei fornitori della comunità di istruzione superiore o gli strumenti HECVAT includono:

Indice di Cloud Broker
HECVAT versione completa
HECVAT Lite
Locale
Triaggio

UpGuard offre questionari di sicurezza sia per HECVAT Lite che per HECVAT Full.

Scopri le funzionalità di sicurezza di UpGuard >

Dovrei affidarmi esclusivamente a HECVAT?

Sebbene HECVAT sia un ottimo modello di valutazione della sicurezza, non costituisce un programma completo di gestione del rischio del fornitore.

HECVAT è una valutazione puntuale statica e soggettiva. Non tiene conto delle modifiche che possono verificarsi dopo aver ricevuto la valutazione completa della sicurezza da un fornitore.

Questo è il motivo per cui le valutazioni di sicurezza sono importanti. Le valutazioni della sicurezza sono una misura basata sui dati, oggettiva e dinamica della posizione di sicurezza di un fornitore.

I team di gestione del rischio di terze parti li utilizzano comunemente per monitorare e confrontare continuamente i fornitori.

Le valutazioni di sicurezza sono calcolate sulla base di informazioni oggettive, osservabili esternamente, continuamente disponibili e verificabili. Ciò significa che sono sempre aggiornati e integrano le tradizionali valutazioni di sicurezza.

Inoltre, i servizi avranno ampliato il loro campo di applicazione per valutare altre aree, come l'assicurazione informatica, la due diligence per fusioni e acquisizioni e persino come metrica grezza per i programmi di sicurezza interna.

Inoltre, molti responsabili della sicurezza ritengono che le valutazioni della sicurezza siano preziose per aumentare la consapevolezza della sicurezza, gestire le prestazioni della sicurezza informatica e segnalare le metriche di sicurezza informatica al consiglio di amministrazione, alla C-suite e persino agli azionisti.

Scopri come ottenere un buon punteggio HECVAT >

La soluzione di gestione del rischio dei fornitori di UpGuard include questionari di sicurezza specifici per HECVAT sia per HECVAT full che per HECVAT lite, consentendo sia agli enti educativi che ai loro fornitori di monitorare gli sforzi di conformità.

Questionari di sicurezza HECVAT sulla piattaforma UpGuard

Aiutando anche le organizzazioni a rilevare e mitigare i rischi per la sicurezza di terze parti, UpGuard aiuta gli enti educativi a ridurre il potenziale di compromissione dei dati degli studenti in violazioni dei dati di terze parti.