Template Kuesioner Penilaian Risiko Vendor Gratis (2023)

Kuesioner manajemen risiko vendor (juga dikenal sebagai kuesioner penilaian risiko pihak ketiga atau kuesioner penilaian risiko vendor) dirancang untuk membantu organisasi Anda mengidentifikasi potensi kelemahan di antara vendor dan mitra pihak ketiga Anda yang dapat mengakibatkan pelanggaran data, kebocoran data, atau jenis serangan siber lainnya.

Pelajari bagaimana UpGuard menyederhanakan proses kuesioner keamanan >

Template Penilaian Risiko Vendor Gratis untuk 2023

Berikut adalah beberapa pertanyaan yang dapat Anda gunakan sebagai contoh templat kuesioner penilaian risiko vendor yang dibagi menjadi empat bagian:

  1. Keamanan dan privasi informasi
  2. Keamanan fisik dan pusat data
  3. Keamanan aplikasi web
  4. Keamanan infrastruktur

Anda dapat mengunduh templat penilaian risiko vendor yang dapat diedit dan lebih komprehensif di sini.

Untuk merampingkan proses penilaian risiko vendor, alat manajemen penilaian risiko harus digunakan. UpGuard menawarkan perpustakaan templat penilaian risiko vendor terkemuka di industri yang memetakan peraturan populer dan kerangka kerja siber. UpGuard juga menawarkan serangkaian integrasi dan dasbor untuk merampingkan siklus hidup VRM di berbagai industri dan kasus penggunaan.

Ikuti tur fitur penilaian risiko UpGuard >

Cuplikan dari beberapa kuesioner keamanan vendor UpGuard yang dapat diedit.

Pelajari lebih lanjut tentang fitur penilaian risiko vendor UpGuard >

Pertanyaan Keamanan Informasi dan Privasi

  • Apakah organisasi Anda memproses informasi pengenal pribadi (PII) atau informasi kesehatan yang dilindungi (PHI)?
  • Apakah organisasi Anda memiliki program keamanan? Jika demikian, standar dan pedoman apa yang diikuti?
  • Apakah program keamanan informasi dan privasi Anda mencakup semua operasi, layanan, dan sistem yang memproses data sensitif?
  • Siapa yang bertanggung jawab untuk mengelola program keamanan informasi dan privasi Anda?
  • Kontrol apa yang Anda terapkan sebagai bagian dari program keamanan informasi dan privasi Anda?
  • Harap berikan tautan ke keamanan informasi publik dan/atau kebijakan privasi Anda
  • Apakah ada detail tambahan yang ingin Anda berikan tentang program keamanan informasi dan privasi Anda?
  • Bagaimana proses Anda untuk klasifikasi data? Langkah-langkah keamanan apa yang diterapkan untuk melindungi setiap tingkat klasifikasi?
  • Bagaimana Anda memastikan data sensitif yang diakses dari jarak jauh (seperti data yang diakses dari perangkat seluler) diamankan?
  • Apakah Anda menggunakan teknik anonimisasi, seperti penyamaran data? Jika demikian, jelaskan sistem yang diimplementasikan oleh teknik ini.
  • Apakah ada vendor pihak ketiga yang memiliki akses ke data sensitif Anda? Jika demikian, kategori data sensitif apa yang dapat mereka akses?
  • Bagaimana Anda memastikan vendor pihak ketiga yang memproses data sensitif Anda memiliki langkah-langkah keamanan siber yang tepat?
  • Teknik otentikasi pengguna apa yang Anda terapkan untuk mencegah akses yang tidak sah?
  • Apakah Anda menerapkan strategi Pencegahan Kehilangan Data (DLP) untuk melindungi dari eksfiltrasi?
  • Bagaimana Anda memastikan hanya tingkat minimal informasi pribadi yang diperlukan yang dikumpulkan dan diproses? Bagaimana Anda mendefinisikan "tingkat minimal"?

Pelajari cara memilih perangkat lunak otomatisasi kuesioner keamanan >

Pertanyaan Keamanan Fisik dan Pusat Data

  • Apakah Anda berada di kantor bersama?
  • Apakah Anda meninjau risiko fisik dan lingkungan?
  • Apakah Anda memiliki prosedur untuk kelangsungan bisnis jika kantor Anda tidak dapat diakses?
  • Apakah Anda memiliki kebijakan tertulis untuk persyaratan keamanan fisik untuk kantor Anda?
  • Apakah peralatan jaringan Anda aman secara fisik?
  • Penyedia pusat data apa yang Anda gunakan jika ada?
  • Berapa banyak pusat data yang menyimpan data sensitif?
  • Di negara mana pusat data berada?
  • Apakah pusat data Anda disertifikasi oleh standar industri apa pun (misalnya, ISO 27001, SSAE 16)?
  • Apakah ada detail tambahan yang ingin Anda berikan tentang program keamanan fisik dan pusat data Anda?
  • Di mana informasi sensitif disimpan secara fisik?
  • Apakah informasi sensitif yang disimpan secara fisik tersegmentasi dari wilayah jaringan akses umum?
  • Bagaimana Anda memastikan keamanan data pribadi yang ditransfer antar perangkat fisik?
  • Apakah Anda memiliki kamera pengintai? Di mana mereka diposisikan dan berapa lama rekaman itu disimpan?
  • Apakah ada perangkat pengawasan Anda yang IoT?
  • Seberapa sering Anda melakukan audit keamanan fisik?

Pertanyaan Keamanan Aplikasi Web

  • Apa nama aplikasi Anda? Dan apa fungsinya?
  • Apakah Anda memiliki program bug bounty atau cara lain untuk melaporkan kerentanan?
  • Apakah aplikasi Anda memiliki sertifikat SSL yang valid untuk mencegah serangan man-in-the-middle?
  • Apakah aplikasi Anda memerlukan kredensial login?
  • Bagaimana cara pengguna mendapatkan kata sandi awal mereka?
  • Apakah Anda memiliki standar keamanan kata sandi minimum?
  • Bagaimana cara menyimpan kata sandi?
  • Apakah Anda menawarkan akses menyeluruh (SSO)?
  • Bagaimana pengguna dapat memulihkan kredensial mereka?
  • Apakah aplikasi Anda menggunakan strategi pertahanan mendalam? Jika demikian, apa?
  • Bagaimana Anda secara teratur memindai CVE untuk kerentanan yang diketahui?
  • Bagaimana Anda melakukan jaminan kualitas?
  • Bagaimana Anda memastikan data ditransfer secara aman antara API dan integrasi pihak ketiga lainnya?
  • Apakah sudah menerapkan Web Application Firewall (WAF)?
  • Bagaimana Anda melacak dan mengakhiri masa pakai perangkat lunak server web dan pustaka pengembang web yang sudah ketinggalan zaman?
  • Apakah Anda menggunakan pengujian penetrasi untuk menguji integritas kontrol keamanan data sensitif?
  • Siapa yang dapat kami hubungi untuk informasi lebih lanjut terkait keamanan aplikasi web Anda?
  • Bagaimana Anda memastikan penginstalan patch keamanan aplikasi web tepat waktu?
  • Jenis aktivitas pemrosesan data apa yang Anda lakukan untuk berbagai jenis pengguna (pengunjung, pelanggan, dll.)?
  • Bagaimana Anda memastikan pemisahan tugas dalam proses pengembangan dan penerapan aplikasi Anda?
  • Bagaimana Anda mengumpulkan persetujuan pengguna untuk memproses data pribadi?
  • Langkah-langkah apa yang diterapkan untuk mencegah pembajakan sesi?
  • Apakah Anda menerapkan langkah-langkah validasi input untuk mencegah serangan berbasis input, seperti injeksi SQL, keylogging, dan Cross-Site Scripting (XSS)?

Pertanyaan Keamanan Infrastruktur

  • Apakah Anda memiliki kebijakan keamanan jaringan tertulis?
  • Pernahkah Anda mengalami pelanggaran data? Jika demikian, apa dampaknya dan bagaimana penapaannya?
  • Apakah Anda menggunakan VPN?
  • Apakah Anda menggunakan pengerasan server?
  • Bagaimana Anda menjaga sistem operasi server Anda tetap ditambal?
  • Apakah Anda mencatat peristiwa keamanan?
  • Sistem operasi apa yang digunakan di server Anda?
  • Apakah Anda mencadangkan data Anda?
  • Bagaimana Anda menyimpan cadangan?
  • Apakah Anda mengelompokkan jaringan Anda untuk mengaburkan akses ke sumber daya sensitif?
  • Apakah Anda menguji cadangan?
  • Siapa yang mengelola infrastruktur email Anda?
  • Bagaimana cara mencegah spoofing email? misalnya DMARC
  • Apakah Anda menggunakan sistem deteksi dan pencegahan intrusi (IDPS)?
  • Bagaimana Anda menangani perangkat keras yang sudah habis masa pakainya dan memastikan data dihapus dengan aman?
  • Bagaimana Anda melindungi perangkat karyawan dari ransomware dan jenis malware lainnya?
  • Sistem operasi apa yang digunakan perangkat karyawan?
  • Apakah perangkat karyawan dienkripsi?
  • Apakah login pengguna dikelola dalam solusi terpusat?
  • Bagaimana Anda memastikan konfigurasi aman untuk semua perangkat jaringan, termasuk router, sakelar, dan firewall?
  • Bagaimana Anda memantau aktivitas yang mencurigakan atau anomali infrastruktur?
  • Apakah Anda memiliki rencana Rencana Tanggap Insiden? Seberapa sering diuji?
  • Apakah Anda memiliki rencana pemulihan bencana? Seberapa sering diuji?
  • Seberapa sering Anda meninjau dan memperbarui aturan dan konfigurasi firewall?
  • Apakah Anda mempekerjakan pihak ketiga untuk menguji keamanan infrastruktur Anda?
  • Siapa yang dapat kami hubungi sehubungan dengan keamanan infrastruktur?
  • Langkah-langkah keamanan apa yang diterapkan untuk bertahan dari injeksi malware, serangan ransomware, dan ancaman berbahaya lainnya?

Untuk panduan langkah demi langkah tentang cara melakukan penilaian risiko vendor, baca posting ini.

Tonton video di bawah ini untuk ikhtisar alur kerja penilaian risiko UpGuard.

Ikuti tur Platform Manajemen Risiko Vendor UpGuard >

Mengapa Kuesioner Penilaian Risiko Vendor Penting?

Kuesioner keamanan vendor adalah bantuan yang tak ternilai selama uji tuntas, membantu Anda memahami potensi risiko dan standar privasi data pelanggan dari vendor baru sebelum berkomitmen untuk berkemitraan.

Apakah Anda beroperasi di industri dengan risiko pelanggaran data tinggi atau tidak, seperti perawatan kesehatan, perlindungan data adalah yang terpenting, dan kuesioner keamanan sangat efektif dalam mengevaluasi postur keamanan vendor sebagai bagian dari program Manajemen Risiko Pihak Ketiga (TPRM).

Hal ini terutama berlaku jika Anda beroperasi di industri dengan kontrol peraturan yang ketat seperti PCI DSS, APRA CPS 234: Standar Kehati-hatian Keamanan Informasi atau HIPAA.

Pasangkan fakta ini dengan meningkatnya ketergantungan pada teknologi informasi dan outsourcing dan jumlah vektor serangan yang dapat mengekspos data sensitif tidak pernah setinggi ini.

Bahkan jika organisasi Anda memiliki kontrol keamanan yang ketat dan kebijakan keamanan informasi terbaik di kelasnya, manajemen risiko vendor harus menjadi inti dari program keamanan informasi (InfoSec) Anda. Ini berarti mengelola risiko keamanan siber selama orientasi hingga offboarding vendor.

Pelajari tentang manajemen risiko vendor dunia maya >

Kuesioner penilaian keamanan vendor adalah salah satu bagian dari memverifikasi bahwa penyedia layanan Anda mengikuti praktik keamanan informasi yang sesuai dan dapat membantu perencanaan respons insiden dan pemulihan bencana.

Metode umum lainnya adalah peringkat keamanan, jaminan SOC 2, dan pemantauan postur keamanan pihak ketiga secara real-time.

Kuesioner vendor adalah salah satu bagian dari Manajemen Risiko Vendor - pelajari mengapa VRM penting.

Fitur peringkat keamanan UpGuard membantu Anda melacak tingkat risiko setiap vendor.

Apa Kerugian dari Kuesioner Penilaian Risiko Vendor?

Masalah dengan kuesioner keamanan adalah mereka terkenal padat karya untuk dikelola, itulah sebabnya banyak organisasi berinvestasi dalam alat untuk mengotomatiskan manajemen risiko vendor untuk mengurangi risiko vendor (risiko pihak ketiga dan risiko pihak keempat).

Sayangnya, bahkan kuesioner terbaik hanya menawarkan gambaran tentang postur keamanan siber vendor Anda.

Perubahan teknologi, proses bisnis dialihdayakan, kebijakan diperbarui, diperbarui, dan dibuang, sehingga risiko keamanan yang dihadirkan oleh rantai pasokan digital Anda terus berubah.

>

Kuesioner keamanan adalah penilaian mandiri yang berarti Anda mempercayai apa yang dikatakan vendor kepada Anda tentang kontrol keamanan mereka. Untuk membangun kerangka kerja penilaian risiko pihak ketiga yang kuat, organisasi Anda perlu melihat lebih dari sekadar kuesioner.

Kembangkan proses untuk menskalakan proses penilaian risiko keamanan siber Anda dan melacak vendor saat ini, yang ada, dan potensial.

Mendidik tim risiko vendor Anda tentang perbedaan antara keamanan siber dan keamanan informasi, apa itu risiko keamanan siber, dan manfaat manajemen risiko informasi.

Dan yang paling penting, cari cara untuk memverifikasi klaim yang dibuat vendor tentang standar keamanan mereka.

Pelajari cara merampingkan proses kuesioner vendor.

Bagaimana organisasi saya dapat membangun program manajemen risiko vendor yang kuat?

Praktik terbaik standar adalah menggunakan kuesioner standar industri sebagai titik awal dan kemudian menyesuaikannya berdasarkan kebutuhan organisasi Anda. Hal ini karena sulit untuk mendapatkan pemahaman yang jelas tentang keamanan jaringan internal, keamanan data, dan keamanan informasi tanpa meminta informasi tambahan dari vendor. Misalnya, cara terbaik untuk memahami kontrol akses mereka adalah dengan bertanya kepada vendor Anda.

Berikut adalah lima metodologi penilaian keamanan standar industri yang dapat Anda mulai:

  1. Kontrol Keamanan Kritis CIS (CIS First 5/CIS Top 20): Center for Internet Security (CIS) adalah entitas nirlaba yang ingin melindungi organisasi swasta dan publik dari ancaman dunia maya. 20 kontrol CIS adalah serangkaian tindakan yang diprioritaskan untuk melindungi sistem dan data penting dari serangan siber umum. Ini adalah kontrol prioritas tinggi dan sangat efektif yang mengurangi risiko keamanan siber dan memetakan ke sebagian besar kerangka kerja utama seperti Kerangka Kerja Keamanan Siber NIST, NIST 800-53, seri ISO 27000 dan peraturan seperti PCI DSS, HIPAA, NERC CIP dan FISMA.

    Pelajari lebih lanjut tentang Kontrol CIS >

  2. Kuesioner Inisiatif Penilaian Konsensus (CAIQ): CAIQ berasal dari Cloud Security Alliance (CSA), sebuah organisasi yang didedikasikan untuk mendefinisikan dan meningkatkan kesadaran akan praktik terbaik untuk komputasi awan yang aman. Kuesioner ini menyediakan cara yang diterima industri untuk mendokumentasikan kontrol keamanan dalam penawaran IaaS, PaaS, dan SaaS. Ada serangkaian pertanyaan yang harus Anda tanyakan kepada penyedia cloud Anda.

    Pelajari lebih lanjut tentang >
    CAIQ

  3. NIST 800-171: Institut Nasional Standar dan Teknologi (NIST) menerapkan memberikan panduan tentang keamanan siber dan privasi untuk AS melalui praktik dan standar terbaik. Tujuan NIST 800-171 adalah untuk membantu melindungi informasi yang tidak diklasifikasikan (CUI) terkontrol dalam sistem dan organisasi nonfederal. Ini berisi 14 tujuan keamanan spesifik dengan berbagai kontrol dan peta ke NIST 800-53 dan ISO 27001. Jika organisasi Anda menawarkan produk, solusi, atau layanan ke Departemen Pertahanan (DoD), Administrasi Layanan Umum (GSA) atau Administrasi Penerbangan dan Antariksa Nasional (NASA), organisasi Anda harus mematuhi NIST 800-171.

    Pelajari lebih lanjut tentang NIST 800-171 >

  4. Kuesioner Pengumpulan Informasi Standar (SIG/SIG-Lite): SIG dan SIG-Lite dibuat oleh Program Penilaian Bersama, sumber tepercaya untuk sumber daya manajemen risiko pihak ketiga termasuk alat dan praktik terbaik untuk mengelola risiko vendor. Kuesioner SIG adalah alat untuk menilai keamanan siber, TI, privasi, keamanan data, dan ketahanan bisnis. SIG-Lite adalah kompilasi pertanyaan tingkat tinggi dari SIG dan umumnya digunakan untuk vendor berisiko rendah.

    Pelajari lebih lanjut tentang kuesioner SIG >

  5. Kuesioner VSA (VSAQ): Vendor Security Alliance (VSA) adalah koalisi perusahaan yang berkomitmen untuk meningkatkan keamanan Internet. VSAQ pertama kali diterbitkan pada tahun 2016 dan dirancang khusus untuk membantu perusahaan memantau praktik keamanan pemasok mereka. Ini berisi enam bagian: perlindungan data, kebijakan keamanan, langkah-langkah keamanan preventif dan reaktif, manajemen rantai pasokan dan kepatuhan.

    Pelajari lebih lanjut tentang VSAQ >

Anda dapat mengekstrak ribuan pertanyaan potensial dari kerangka kerja ini dan menyesuaikannya agar selaras dengan kebutuhan dan prioritas organisasi Anda. Namun, kuesioner keamanan hanyalah bagian dari solusi.

Pertimbangkan untuk berinvestasi dalam alat untuk memantau vendor Anda dan peringkat keamanan vendor mereka secara real-time. Ini akan memungkinkan organisasi Anda untuk merampingkan proses penilaian vendor, memantau perubahan postur keamanan, dan meminta perbaikan masalah utama di vendor berisiko tinggi.

Alat-alat ini dapat memantau masalah yang berkaitan dengan DMARC, kerentanan dan eksploitasi yang terdaftar di CVE, serangan rekayasa sosial seperti phishing dan spear phishing, malware (ransomware dan jenis malware lainnya), spoofing email, typosquatting, pembajakan domain, SSL, DNSSEC, serangan man-in-the-middle, dan ancaman dunia maya lainnya.

Dengan biaya rata-rata pelanggaran data mencapai $4,45 juta, organisasi harus fokus untuk mencegah pelanggaran data.

Setelah data terungkap, hampir tidak mungkin untuk dibersihkan karena reproduktifitas data. Jangan mengandalkan teknik forensik digital seperti atribusi IP yang cacat.

Pelajari praktik terbaik Manajemen Risiko Vendor >

Mengapa Anda Harus Mempertimbangkan Menggunakan Rating Keamanan Bersama Kuesioner Keamanan

Peringkat keamanan memberi tim manajemen risiko dan keamanan kemampuan untuk terus memantau postur keamanan vendor mereka.

Manfaat peringkat keamanan bersama kuesioner keamanan adalah mereka dibuat secara otomatis, sering diperbarui, dan menyediakan bahasa yang umum untuk pemangku kepentingan teknis dan non-teknis.

Hal utama yang perlu dipahami adalah bahwa peringkat keamanan mengisi kesenjangan besar yang tersisa dari teknik penilaian risiko tradisional seperti kuesioner SIG atau kuesioner VSA. Mengirim kuesioner ke setiap pihak ketiga membutuhkan banyak komitmen, waktu, dan terus terang tidak selalu akurat.

Peringkat keamanan dapat melengkapi dan memberikan jaminan hasil yang dilaporkan dalam kuesioner keamanan karena dapat diverifikasi secara eksternal, selalu diperbarui, dan disediakan oleh organisasi independen.

Menurut Gartner, peringkat keamanan siber akan menjadi sama pentingnya dengan peringkat kredit saat menilai risiko hubungan bisnis yang ada dan baru... Layanan ini akan menjadi prasyarat untuk hubungan bisnis dan bagian dari standar perawatan yang tepat bagi penyedia dan pengadaan layanan.

6 kategori vektor serangan memberi makan peringkat keamanan UpGuard.

Pelajari lebih lanjut tentang peringkat keamanan UpGuard >

UpGuard adalah salah satu penyedia peringkat keamanan paling populer. Kami menghasilkan peringkat kami melalui algoritme eksklusif yang mengambil dan menganalisis umpan ancaman komersial dan sumber terbuka tepercaya, dan metode pengumpulan data non-intrusif untuk mengevaluasi risiko siber secara kuantitatif.

Kami mendasarkan peringkat kami pada analisis 70+ vektor, termasuk:

  • Kerentanan terhadap serangan man-in-the-middle
  • Sertifikat SSL/TLS yang tidak aman
  • Pengaturan SPF, DKIM, dan DMARC
  • Keamanan Transportasi Ketat HTTP (HSTS)
  • Risiko spoofing dan phishing email
  • Kerentanan
  • Kerentanan malware
  • Port administrasi, database, aplikasi, email, dan berbagi file terbuka yang tidak perlu
  • Paparan pelanggaran data dan kebocoran data yang diketahui
  • Perangkat lunak yang rentan
  • Aksesibilitas HTTP
  • Konfigurasi cookie yang aman
  • Hasil kuesioner keamanan cerdas

Jika Anda penasaran dengan layanan peringkat keamanan lainnya, lihat panduan kami tentang SecurityScorecard vs BitSight di sini.

Tonton video di bawah ini untuk ikhtisar platform UpGuard.