Ankieta bezpieczeństwa (ocena ryzyka dostawcy, SIG, CAIQ)
Lista pytań o bezpieczeństwo i prywatność, którą firma wysyła dostawcy przed zakupem, żeby ocenić ryzyko powierzenia mu danych i dostępu.
Duzi kupujący używają standardowych szablonów: SIG od Shared Assessments, CAIQ od Cloud Security Alliance, kwestionariusza VSA albo własnego arkusza z setkami wierszy. Pytania dotyczą szyfrowania, kontroli dostępu, SSO, kopii zapasowych, reakcji na incydenty, podwykonawców przetwarzania, testów penetracyjnych, a teraz też AI: jakie modele, dokąd idą dane, czy na nich trenują. Raport SOC 2 albo certyfikat ISO 27001 odpowiada na wiele pytań naraz; dostawcy trzymają bibliotekę gotowych odpowiedzi albo publiczne trust center.
Powiązane hasła
- SOC 2 i ISO 27001: Dwa poświadczenia bezpieczeństwa, o które duzi klienci pytają dostawców: raport SOC 2 od audytora i certyfikat ISO/IEC 27001.
- Umowa powierzenia przetwarzania danych (DPA): Umowa wymagana przez RODO, gdy dostawca przetwarza dane osobowe w Twoim imieniu: co, po co, jak są chronione i komu jeszcze trafiają.
- Test penetracyjny (pentest): Autoryzowany, ograniczony w czasie atak testerów bezpieczeństwa na Twoją aplikację, zakończony raportem, co udało się złamać i jak poważnie.
- Mutual action plan (MAP, wspólny plan zakupu): Wspólna lista kroków z datami, które kupujący i dostawca wykonują od pierwszej rozmowy do podpisanej umowy i uruchomienia, z właścicielem każdego kroku.
- Rejestracja dostawcy (vendor onboarding): Papiery, których dział zakupów potrzebuje, zanim zapłaci nowemu dostawcy: formularze, dane podatkowe i bankowe, ubezpieczenie, umowy o danych i zatwierdzenia.
