Kunden-Security-Questionnaires effizient beantworten

Warum fordern Kunden Security Questionnaires an?

Kein Unternehmen agiert vollständig unabhängig. Unternehmen greifen in unterschiedlicher Form auf externe Dienstleistungen zurück. Mit diesen Abhängigkeiten gehen auch gemeinsame Verantwortlichkeiten einher. Wenn ein Anbieter Unternehmensdaten verarbeitet oder kritische Infrastrukturen unterstützt, werden dessen Sicherheitspraktiken auch für die eigene Sicherheitslage relevant.

Bevor ein Anbieter Zugang zu sensiblen Daten oder kritischen Systemen erhält, benötigen Unternehmen ein klares Verständnis davon, wie ihre Informationen und Systeme geschützt werden. Für diese Beurteilung braucht es mehr als Vertrauen: Es braucht verlässliche und strukturierte Informationen.

Hier kommen Security Questionnaires zum Einsatz. Sie sind ein wichtiges Instrument im Third-Party Risk Management (TPRM) und ermöglichen es Unternehmen, die Sicherheitskontrollen eines Anbieters strukturiert zu beurteilen, die Einhaltung regulatorischer Anforderungen zu überprüfen und potenzielle Lücken vor Beginn einer Geschäftsbeziehung zu identifizieren.

Warum kann die Beantwortung herausfordernd sein?

Grundsätzlich kennen die meisten Unternehmen ihre eigenen Sicherheitspraktiken. In der Praxis kann das Ausfüllen eines Security Questionnaires jedoch deutlich mehr Zeit beanspruchen, als die einzelnen Fragen zunächst vermuten lassen. Dafür gibt es verschiedene Gründe.

Fehlendes standardisiertes Format: Frameworks wie der Standardized Information Gathering Questionnaire (SIG) oder der Consensus Assessments Initiative Questionnaire (CAIQ) sind weit verbreitet. Viele Kunden verwenden jedoch eigene Fragebögen. Dadurch erhalten Unternehmen Anfragen, die ähnliche Themen behandeln, sich aber hinsichtlich Struktur, Terminologie und Detailgrad unterscheiden. Dieselben Informationen müssen deshalb häufig mehrfach und unterschiedlich formuliert werden.

Verteilte Verantwortlichkeiten für Informationen: Die für einen Fragebogen erforderlichen Informationen liegen selten bei einer einzigen Person oder einem einzigen Team. Sicherheitsrichtlinien können beispielsweise vom Security-Team verantwortet werden, Details zu Zugriffskontrollen von der IT, Praktiken zur Datenverarbeitung vom Engineering und Compliance-Zertifizierungen von Legal oder Governance, Risk and Compliance (GRC). Die Beantwortung eines Fragebogens erfordert deshalb häufig die Koordination mehrerer Abteilungen.

Nachweise sind nicht immer unmittelbar verfügbar: Auch wenn eine Sicherheitskontrolle etabliert ist, sind die entsprechenden Dokumentationen wie Auditberichte, Richtlinien oder technische Konfigurationen möglicherweise nicht zentral verfügbar oder auf dem aktuellen Stand. Das Auffinden oder Aktualisieren dieser Nachweise kann mehr Zeit beanspruchen als die Beschreibung der eigentlichen Sicherheitskontrolle.

Umfang und wiederkehrende Anfragen: Grössere Unternehmen und Unternehmen in regulierten Branchen erhalten möglicherweise regelmässig Security Questionnaires von verschiedenen Kunden oder potenziellen Kunden. Ohne einen wiederholbaren Prozess kann jede Anfrage zu einem eigenen Projekt werden und erhebliche Ressourcen beanspruchen.

Sensibilität der angeforderten Informationen: Einige Fragen betreffen sensible Bereiche wie interne Architekturen, Schwachstellen oder Beziehungen zu Subunternehmen. Bei der Beantwortung gilt es deshalb, die erforderliche Transparenz mit einem angemessenen Schutz vertraulicher Informationen zu verbinden.

Wie lässt sich der Antwortprozess effizient organisieren?

Ausgabeformat standardisieren: Anstatt jede Antwort von Grund auf an die Vorlage des jeweiligen Kunden anzupassen, können Unternehmen ein zentrales Masterdokument mit einer Frage-Antwort-Struktur pflegen. Die relevanten Inhalte lassen sich anschliessend in unterschiedliche Formate wie Tabellen, PDF-Dokumente oder Kundenportale übertragen.

Inhalte über verschiedene Frameworks hinweg zuordnen: Fragen aus unterschiedlichen Frameworks betreffen häufig ähnliche Anforderungen. Querverweise zwischen vergleichbaren Fragen erleichtern es, bereits vorhandene Antworten zu finden und wiederzuverwenden.

Prozesskennzahlen erfassen: Die Messung von Antwortzeiten, der Wiederverwendung bestehender Antworten und der Eskalationen an Fachexpertinnen und Fachexperten kann dabei helfen, Engpässe zu identifizieren und zu beurteilen, ob weitere Investitionen in Tools oder Automatisierung einen zusätzlichen Nutzen bieten können.

Antwortbibliothek regelmässig überprüfen und aktualisieren: Antworten können mit der Zeit veralten, wenn sich Tools, Zertifizierungen oder Richtlinien ändern. Eine regelmässige Überprüfung, beispielsweise quartalsweise, kann dazu beitragen, dass Kunden aktuelle Informationen erhalten.

Antworten in unterschiedlichen Detailstufen vorbereiten: Einige Kunden benötigen kurze Antworten auf übergeordneter Ebene, während andere detaillierte technische Erläuterungen erwarten. Werden häufig verwendete Antworten sowohl in einer kurzen als auch in einer ausführlichen Variante vorbereitet, müssen dieselben Inhalte nicht wiederholt für unterschiedliche Anforderungen neu formuliert werden.

Klare Kriterien für die Eingrenzung des Umfangs definieren: Allgemeine Fragebögen können Abschnitte enthalten, die für die jeweilige Dienstleistung nicht relevant sind. Klare Kriterien dafür, wann Kunden um eine Eingrenzung des Umfangs gebeten werden sollten – beispielsweise wenn die Verarbeitung von Zahlungskartendaten nicht relevant ist –, können den Prozess für beide Seiten effizienter gestalten.

Wie unterstützt und vereinfacht ISO 27001 diesen Prozess?

Ein wesentlicher Teil des Aufwands bei der Beantwortung von Security Questionnaires entsteht dadurch, dass Unternehmen erläutern müssen, wie Informationssicherheit innerhalb der Organisation umgesetzt wird. Eine ISO-27001-Zertifizierung kann diesen Prozess vereinfachen, indem sie für viele der abgefragten Themen einen anerkannten Referenzpunkt bietet.

Sie ersetzt die zugrunde liegende Arbeit nicht, stellt jedoch einen etablierten Rahmen bereit, mit dem sich viele Anforderungen strukturiert adressieren lassen.

ISO 27001 deckt viele Bereiche ab, die in Security Questionnaires abgefragt werden. ISO 27001 verlangt ein dokumentiertes Information Security Management System (ISMS), das Bereiche wie Governance, Risikomanagement, Zugriffskontrolle, Incident Response, Business Continuity und Lieferantenbeziehungen umfasst. Diese Themen sind auch häufig Bestandteil von Security Questionnaires.

ISO 27001 bietet eine unabhängige Überprüfung. Eine Zertifizierung wird nach einer Prüfung durch eine akkreditierte externe Auditstelle erteilt, welche das ISMS des Unternehmens beurteilt. Dadurch entsteht eine unabhängige Bestätigung, dass die definierten Anforderungen berücksichtigt werden.

ISO 27001 kann den Bedarf an individuellen Erläuterungen reduzieren. Anstatt jede Sicherheitspraxis einzeln zu beschreiben, können Unternehmen auf ein etabliertes und auditiertes Managementsystem verweisen und, wo erforderlich, entsprechende Nachweise bereitstellen.

ISO 27001 ersetzt Security Questionnaires somit nicht, kann jedoch dazu beitragen, den Aufwand für deren Beantwortung zu reduzieren.