Ersetzen Trust Center Security-Questionnaires?

Ein Trust Center ersetzt eine Sicherheitsfrage in einer Ausschreibung nur, wenn die Ausschreibungsunterlagen dies zulassen. Ihr Trust Center ist Ihre Seite, die Sie selbst verfassen und kontrollieren. Der Fragebogen gehört dem Auftraggeber, und dieser entscheidet, was als Antwort gilt. Auch wenn ein Verweis zulässig ist, geben Sie frei, wozu jeder Link Ihr Unternehmen verpflichtet, denn er wird Teil der Antwort, für die Sie verantwortlich sind.

Es lohnt sich, klar zu unterscheiden, in welcher Situation Sie sich befinden, denn davon hängt die Antwort ab. Außerhalb einer formellen Ausschreibung kann das Sicherheitsteam des Käufers Ihren Trust Center als Ausgangspunkt akzeptieren und nur die Fragen nachreichen, die dort nicht beantwortet werden. Dabei kann es sich um eine Sicherheitsprüfung im Rahmen eines Verkaufsprozesses oder um die Due Diligence handeln, die ein Kunde vor der Unterzeichnung durchführt. Bei einer formellen Ausschreibung ist das anders. Der Käufer hat bereits festgelegt, welche Fragen gestellt werden, wie sie bewertet werden und was als Nachweis gilt. Ein Link, der einem Sicherheitsteam in einem Verkaufsgespräch genügen würde, kann daher eine Frage in einer Ausschreibung unbeantwortet lassen. Dieser Artikel befasst sich mit Ausschreibungen.

Fünf Bedingungen sind dafür ausschlaggebend. Eine Regel am Ende hilft Ihnen, für jede Frage eine Entscheidung zu treffen.

Wenn der Käufer statt Antworten ein Zertifikat akzeptiert

Veröffentlichte Nachweise ersetzen eine Sicherheitsfrage nur, wenn der Käufer sie akzeptiert. Ob das der Fall ist, geht aus den Ausschreibungsunterlagen hervor. Sie können Nachweise leicht zugänglich machen. Ob sie anerkannt werden, liegt nicht bei Ihnen.

Das britische National Cyber Security Centre zeigt, bei wem diese Entscheidung liegt. Sein Cyber Essentials Playbook für Lieferketten empfiehlt Käufern, ihre Fragebögen zur Absicherung der Lieferkette an den Kontrollen von Cyber Essentials auszurichten und eine Zertifizierung als Nachweis anzuerkennen. Zudem weist es Anbieter darauf hin, dass sie eine Zertifizierung für mehrere Kunden wiederverwenden können, sodass ein Zertifikat vielen Kunden dienen kann. Dabei handelt es sich um ein staatlich unterstütztes Programm, doch auch hier hängt es davon ab, dass jeder Käufer die Anerkennung in seinen eigenen Fragen festschreibt. Hinter dem Trust Center eines Anbieters steht kein solches Programm. Daher hat es in einer Ausschreibung nur dann Geltung, wenn die Ausschreibungsunterlagen dies vorsehen.

Lesen Sie die Unterlagen also daraufhin, ob ein Verweis zulässig ist, nicht daraufhin, ob sich eine Gelegenheit dafür bietet. Achten Sie in den Anweisungen, den Hinweisen zum Fragebogen oder in der Frage selbst auf Formulierungen, die ein Zertifikat, einen Registereintrag oder eine veröffentlichte Richtlinie als zulässigen Nachweis nennen. Zur Veranschaulichung (kein Zitat aus einer Ausschreibung) könnte eine solche Formulierung lauten: „Bieter mit einem gültigen ISO/IEC 27001-Zertifikat, das die betreffenden Leistungen abdeckt, können dieses einreichen, anstatt die Fragen 4.1 bis 4.6 zu beantworten.“ Enthalten die Unterlagen eine solche Formulierung, kann ein Verweis die Frage vorbehaltlich der nachstehenden Prüfungen erfüllen. Enthalten die Unterlagen keine entsprechende Regelung, gehen Sie davon aus, dass die Frage im Angebot beantwortet werden muss. Würde ein Verweis bei vielen Fragen erheblichen Aufwand ersparen, fragen Sie den Auftraggeber im Rahmen einer Klärungsfrage, ob er akzeptiert wird, und planen Sie bis zum Eingang der Antwort so, als würde er nicht akzeptiert.

Wenn Sicherheit bewertet wird

Eine bewertete Sicherheitsfrage wird anhand der Kriterien des Käufers beurteilt. Betrachten Sie daher einen Link zu Ihrem Trust Center als Beleg für die Antwort, nicht als deren Ersatz. Punkte gibt es für das, was die Antwort selbst zu jedem Kriterium darlegt.

Das NCSC-Playbook weist darauf hin, dass Käufer einem Request for Proposal oder einer Preisanfrage gewichtete Kriterien zur Bewertung der Cybersicherheitsnachweise eines Anbieters hinzufügen können. Ein Zertifikat zeigt dem Bewerter, dass eine Kontrollmaßnahme vorhanden ist. Eine bewertete Antwort muss in der Terminologie der Kriterien darlegen, wie diese Kontrollmaßnahme auf diesen Vertrag, diese Daten und diese Dienstleistung anzuwenden ist, ohne dem Bewerter Raum für Schlussfolgerungen zu lassen.

Damit ändert sich der Zweck des Links. In einer bewerteten Antwort dient der Verweis als Quellenangabe: Der Bewerter kann damit eine Aussage prüfen, die bereits in der Antwort enthalten ist. Formulieren Sie die Antwort so, dass sie auch dann die vorgesehene Punktzahl erhält, wenn der Bewerter den Link nie öffnet. Verweisen Sie anschließend genau dort auf das Zertifikat oder die Richtlinie, wo diese eine konkrete Aussage belegen. Wie Sie eine solche Antwort anhand des Bewertungsschemas des Auftraggebers erstellen, erfahren Sie unter „ein Angebot für eine Ausschreibung verfassen“.

Ein kurzer Test vor der Prüfung: Lesen Sie die Antwort ohne die Links. Würde sie dann schlechter bewertet, hat sie sich zu sehr auf die Links gestützt.

Wenn die veröffentlichten Nachweise auf einer Selbsteinschätzung beruhen

Eine öffentliche Selbsteinschätzung lässt die Frage offen. Ein Trust Center kann Nachweise unterschiedlicher Aussagekraft enthalten, und geprüfte Nachweise bieten einem Käufer mehr Sicherheit als eine Selbsteinschätzung.

Das STAR-Programm der Cloud Security Alliance für Cloud-Anbieter zieht eine klare Grenze. Auf Level 1 reicht ein Anbieter den CAIQ anhand der Cloud Controls Matrix als Selbsteinschätzung ein. Die CSA veröffentlicht diese, und sie muss jährlich aktualisiert werden. Auf Level 2 erlangt der Anbieter eine Zertifizierung oder Bestätigung durch Dritte. Die CSA sieht Level 1 für Organisationen in Umgebungen mit geringem Risiko vor, die mehr Transparenz über ihre Kontrollen wünschen, und Level 2 für Umgebungen mit mittlerem bis hohem Risiko. Ein Eintrag auf Basis einer Selbsteinschätzung ist Ihre eigene, öffentlich zugängliche Erklärung. Ein auditierter Eintrag ist die Überprüfung durch Dritte. Wenn der Vertrag mit einem mittleren oder hohen Risiko verbunden ist und die CSA auf Level 2 verweist, wirft eine Selbsteinschätzung genau die Frage auf, die Sie vermeiden wollten.

Wenn die Nachweise die von Ihnen angebotene Leistung nicht abdecken

Nachweise, deren Geltungsbereich die von Ihnen angebotene Leistung nicht abdeckt, lassen die Frage offen, unabhängig davon, wie aussagekräftig diese Nachweise sind. Laut NCSC liegt es in der Verantwortung des Kunden, zu prüfen, ob der Geltungsbereich eines Zertifikats das von ihm eingegangene Risiko angemessen abdeckt. Aus Ihrer Sicht bedeutet das: Ein sorgfältiger Prüfer wird den Geltungsbereich Ihres Zertifikats mit der Leistung in Ihrem Angebot abgleichen. Eine Zertifizierung, die beispielsweise Ihre Unternehmenssysteme abdeckt, nicht aber die Umgebung, in der die angebotene Leistung bereitgestellt wird, sagt wenig über diese Leistung aus. Wenn der Geltungsbereich die von Ihnen angebotene Leistung nicht abdeckt, beantworten Sie die Frage zur Leistung selbst und lassen Sie das Zertifikat außen vor. Deckt er sie ab, machen Sie dies in der Antwort deutlich: Benennen Sie den Geltungsbereich und zeigen Sie, wie er die Leistung abdeckt, damit der Prüfer dies nicht selbst ermitteln muss.

Wenn die Nachweise einer NDA unterliegen

Nachweise, die der Prüfer nicht öffnen kann, sind in Ihrer Antwort keine Nachweise. Bevor Sie sich auf ein zugangsbeschränktes Dokument aus einem Trust Center stützen, muss daher geklärt sein, wie der Prüfer darauf zugreifen kann. Trust-Portale können besonders sensible Inhalte zurückhalten. Microsoft Service Trust Portal beispielsweise stellt einige Dokumente erst nach der Anmeldung bereit und fordert den Leser auf, zunächst die Vertraulichkeitsvereinbarung von Microsoft für Compliance-Unterlagen zu akzeptieren.

Sie können nicht davon ausgehen, dass ein Bewerter Ihre NDA unterzeichnet, um eine einzelne Antwort zu lesen. Zudem können die Regeln der Ausschreibung einschränken, was er akzeptieren darf. Je nach Ausschreibungsunterlagen bleiben damit zwei Wege. Wenn die Vertraulichkeitsbestimmungen der Ausschreibung Unterlagen abdecken, die ein Bieter als vertraulich kennzeichnet, fügen Sie das Dokument unter diesen Bestimmungen dem Angebot bei, sobald die für die Freigabe zuständige Person zugestimmt hat. Wenn die Ausschreibungsunterlagen nicht regeln, wie mit vertraulichen Nachweisen umzugehen ist, stellen Sie eine Klärungsfrage, bevor Sie diese in Ihre Planung einbeziehen.

In beiden Fällen sollte die Antwort selbst darlegen, was aus dem zugangsbeschränkten Dokument hervorgeht. Dann hängt die Bewertung nicht davon ab, ob der Zugriff an diesem Tag funktioniert.

So bearbeiten Sie jede Sicherheitsfrage im Paket

Prüfen Sie jede Sicherheitsfrage anhand derselben fünf Kriterien. Beantworten Sie sie anschließend direkt, mit Quellenangabe oder per Verweis, und geben Sie jeden Verweis als Teil der Antwort frei. Wenn Sie die Prüfungen auslassen, stützen sich Ihre Antworten möglicherweise auf Nachweise, die der Käufer nicht akzeptiert, nicht bewerten oder nicht öffnen kann.

Fünf Prüfungen pro Frage

1. Referenzen zulässig. Werden laut Anweisungen, Leitlinien oder Fragestellung ein Zertifikat, ein Registereintrag oder eine veröffentlichte Seite als Nachweis akzeptiert?
2. Bewertet oder bestanden/nicht bestanden. Wird die Frage anhand gewichteter Kriterien bewertet oder auf Compliance geprüft?
3. Prüfniveau. Sind die Nachweise von Dritten zertifiziert oder bestätigt, oder handelt es sich um eine Selbsteinschätzung?
4. Geltungsbereich. Deckt der Nachweis die von Ihnen angebotene Leistung ab?
5. Zugriff. Kann der Prüfer den Nachweis öffnen, ohne einem NDA zustimmen zu müssen?

Die Entscheidungsregel

Wenden Sie diese der Reihe nach an und wählen Sie die erste passende Regel:

1. Verweisen Sie Sie, wenn alle fünf Prüfungen bestanden sind: Verweise sind zulässig, die Frage ist mit „bestanden“ oder „nicht bestanden“ zu beantworten, der Nachweis ist geprüft, er deckt den Service ab und der Prüfer kann ihn öffnen. Geben Sie den Verweis genau so an, wie es die Anweisungen verlangen.
2. Antworten und belegen, wenn die Prüfungen von Geltungsbereich und Zugriff bestanden sind, aber eine der ersten drei Prüfungen nicht: Verweise sind nicht zulässig, die Frage wird bewertet oder der Nachweis beruht auf einer Selbsteinschätzung. Formulieren Sie die vollständige Antwort auf die Frage oder ihre Kriterien und führen Sie den Nachweis dort als Quelle an, wo er eine konkrete Aussage stützt. Führen Sie eine Selbsteinschätzung als Kontext an, niemals als Beleg dafür, dass die Kontrolle wirksam ist.
3. Antworten Sie Sie, wenn der Nachweis die Dienstleistung nicht abdeckt oder der Prüfer nicht darauf zugreifen kann. Formulieren Sie die Antwort anhand dessen, was für diese Dienstleistung tatsächlich gilt. Geben Sie bei zugangsbeschränkten Nachweisen in der Antwort an, was das Dokument belegt, und bieten Sie das Dokument über den im NDA-Abschnitt beschriebenen Weg an.

Vor der Freigabe

Geben Sie eine Referenz genauso frei wie eine Antwort, denn damit legen Sie dem Käufer den Inhalt der Seite als Teil Ihrer Antwort vor. Öffnen Sie vor der Einreichung jede von Ihnen zitierte Seite und prüfen Sie, ob sie an diesem Tag mit der zugehörigen Antwort übereinstimmt: Das Zertifikat ist aktuell, der Geltungsbereich entspricht der Beschreibung in Ihrer Antwort und die Richtlinienversion ist diejenige, auf die sich Ihre Antwort stützt. Wenn Seite und Antwort voneinander abweichen, liegen dem Käufer nun beide vor, und Sie müssen die Abweichung verantworten. Halten Sie die zitierte Version fest, damit Sie später nachweisen können, worauf die Antwort verwiesen hat.

Diese Prüfung wird einfacher, wenn die Inhalte des Trust Centers und die Antworten im Angebot aus derselben freigegebenen Quelle stammen. Im Knowledge Hub, einem Bestandteil von SEQUESTO aOS, sind für jede freigegebene Sicherheitsantwort der Verantwortliche, der Prüfzyklus und das Ablaufdatum hinterlegt. Antworten, die auf einer Richtlinie basieren, werden zur Prüfung markiert, sobald diese Richtlinie aktualisiert wird. Was Ihre weiterhin selbst verfassten Antworten einer Prüfung standhalten lässt, erfahren Sie unter „belastbare Antworten auf Security-Questionnaires“. Wie Sie freigegebene Antworten mit klarer Zuständigkeit und Datumsangabe verwalten, damit veröffentlichte Antworten und Antworten im Angebot übereinstimmen, erfahren Sie unter „eine auditierbare Bibliothek aufbauen“.

Beginnen Sie mit den Unterlagen, die Ihnen vorliegen. Prüfen Sie die Sicherheitsfragen anhand der fünf Kriterien, bevor jemand mit dem Entwurf beginnt. So wissen Sie, welche Fragen eine ausformulierte Antwort, eine Quellenangabe oder lediglich einen Verweis benötigen.