Vervangen trustcentra security questionnaires?

Een trustcentrum vervangt een beveiligingsvraag in een aanbesteding alleen als de documenten van de koper dat toestaan. Uw trustcentrum is uw pagina, door u geschreven en beheerd. De vragenlijst is van de koper, en de koper bepaalt wat als antwoord geldt. Zelfs als een verwijzing is toegestaan, keurt u goed waartoe elke link de organisatie verbindt, omdat die deel wordt van het antwoord waarvoor u verantwoordelijk bent.

Het is belangrijk om duidelijk te bepalen in welke situatie u zich bevindt, want het antwoord verschilt. Buiten een formele aanbesteding kan het securityteam van de koper ermee instemmen om uw trust centre als uitgangspunt te nemen en alleen terug te komen met vragen die daar niet worden beantwoord. Het kan gaan om een security review tijdens een verkooptraject of om de due diligence die een klant uitvoert voordat die ondertekent. Een formele aanbesteding werkt anders. De koper heeft de vragen, de beoordelingswijze en wat als bewijs geldt al bepaald. Een link die voor een securityteam volstaat in een verkoopgesprek, kan een vraag in een aanbesteding dus onbeantwoord laten. Dit artikel gaat over aanbestedingen.

Vijf voorwaarden zijn bepalend, en met een regel aan het einde kunt u per vraag een beslissing nemen.

Wanneer de koper een certificaat aanvaardt in plaats van antwoorden

Gepubliceerd bewijsmateriaal vervangt een beveiligingsvraag alleen als de koper ervoor kiest het te aanvaarden. Uit de instructies bij de aanbesteding blijkt of dat het geval is. U kunt bewijsmateriaal makkelijk toegankelijk maken. U kunt niet bepalen of het meetelt.

Het Britse National Cyber Security Centre maakt duidelijk bij wie die beslissing ligt. Het Cyber Essentials supply chain playbook raadt kopers aan om hun vragenlijsten voor de borging van de toeleveringsketen af te stemmen op de Cyber Essentials-controles en een certificering als validatie te aanvaarden. Het vermeldt ook dat leveranciers één certificering voor meerdere klanten kunnen hergebruiken, zodat één certificaat voor veel klanten kan dienen. Dat is een door de overheid ondersteund programma, maar het blijft afhankelijk van elke koper die in zijn eigen vragen expliciet vermeldt dat dit wordt aanvaard. Achter het eigen trust centre van een leverancier staat geen programma. Het heeft dus geen geldigheid in een aanbesteding, tenzij de documenten die eraan toekennen.

Lees de documenten dus om te bepalen wat toegestaan is, niet om mogelijkheden te zoeken. Zoek in de instructies, de toelichting bij de vragenlijst of de vraag zelf naar formuleringen waarin een certificaat, een vermelding in een register of een gepubliceerd beleid als aanvaardbaar bewijs wordt genoemd. Ter illustratie (dit is geen citaat uit een aanbesteding) zou er bijvoorbeeld kunnen staan: “Inschrijvers met een geldig ISO/IEC 27001-certificaat dat de diensten binnen de scope dekt, mogen dit indienen in plaats van vragen 4.1 tot en met 4.6 te beantwoorden.” Als de documenten zo'n bepaling bevatten, kan een verwijzing volstaan als antwoord op de vraag, onder voorbehoud van de onderstaande controles. Als de documenten hierover niets vermelden, ga er dan van uit dat de vraag een antwoord in de offerte vereist. Als een verwijzing bij veel vragen aanzienlijk minder werk zou betekenen, vraag dan via een verduidelijkingsvraag aan de aanbestedende instantie of die wordt aanvaard. Ga er bij uw planning van uit dat het antwoord nee is totdat u bevestiging krijgt.

Wanneer security een vraag met puntentoekenning is

Een beveiligingsvraag met een score wordt beoordeeld aan de hand van de criteria van de koper. Beschouw een link naar uw trust centre daarom als ondersteuning van het antwoord, niet als vervanging ervan. De score wordt bepaald door wat het antwoord zelf voor elk criterium aantoont.

Het NCSC-playbook merkt op dat kopers aan een request for proposal of prijsaanvraag gewogen criteria kunnen toevoegen om de cybersecuritykwalificaties van een leverancier te beoordelen. Een certificaat toont de beoordelaar dat er een beheersmaatregel bestaat. Een antwoord waarop punten worden toegekend, moet in de bewoordingen van de criteria aangeven hoe die beheersmaatregel van toepassing is op deze overeenkomst, deze gegevens en deze dienst, zodat de beoordelaar niets zelf hoeft af te leiden.

Dat verandert het doel van de link. In een beoordeeld antwoord dient de verwijzing als bronvermelding: zo kan de beoordelaar een bewering controleren die al in het antwoord staat. Formuleer het antwoord zo dat het de punten zou behalen, zelfs als de beoordelaar nooit op de link klikt. Verwijs vervolgens naar het certificaat of beleid waar dat een specifieke bewering onderbouwt. Lees voor de methode om dat antwoord af te stemmen op het beoordelingsschema van de aanbestedende instantie hoe u een offerte voor een aanbesteding schrijft.

Een korte test vóór de review: lees het antwoord zonder de links. Als het dan lager zou scoren, steunde het te veel op de link.

Wanneer het gepubliceerde bewijs op zelfbeoordeling berust

Een openbare zelfbeoordeling laat de vraag onbeantwoord. Een trustcentrum kan bewijsmateriaal met verschillende bewijskracht combineren, en geauditeerd bewijsmateriaal biedt een koper meer zekerheid dan een zelfbeoordeling.

Het STAR-programma van de Cloud Security Alliance voor cloudproviders trekt een duidelijke grens. Op Level 1 dient een provider de CAIQ op basis van de Cloud Controls Matrix in als zelfbeoordeling. CSA publiceert die en ze moet jaarlijks worden bijgewerkt. Op Level 2 behaalt de provider een certificering of attestering door een derde partij. CSA positioneert Level 1 voor organisaties in omgevingen met een laag risico die meer transparantie over hun beheersmaatregelen willen, en Level 2 voor omgevingen met een gemiddeld tot hoog risico. Een zelfbeoordeelde registratie is uw eigen verklaring, die openbaar wordt gemaakt. Een geaudite registratie is de verificatie door iemand anders. Als de overeenkomst een gemiddeld of hoog risico inhoudt, waarvoor CSA naar Level 2 verwijst, roept een zelfbeoordeling precies de vraag op die u hoopte te vermijden.

Wanneer het bewijsmateriaal niet geldt voor de dienst waarvoor u een offerte indient

Bewijs waarvan de reikwijdte de dienst in uw offerte niet omvat, laat de vraag onbeantwoord, hoe sterk dat bewijs ook is. Volgens het NCSC is het de verantwoordelijkheid van de klant om na te gaan of de reikwijdte van een certificaat het risico dat hij aangaat voldoende afdekt. Vanuit uw perspectief betekent dit dat een zorgvuldige beoordelaar de reikwijdte van uw certificaat zal vergelijken met de dienst in uw offerte. Een certificering die bijvoorbeeld uw bedrijfssystemen omvat, maar niet de omgeving waarin de voorgestelde dienst wordt gehost, zegt weinig over die dienst. Als de reikwijdte niet omvat wat u aanbiedt, beantwoord dan de vraag over de dienst zelf en laat het certificaat buiten beschouwing. Als dat wel zo is, vermeld dit dan in het antwoord: benoem de reikwijdte en toon aan hoe die de dienst omvat, zodat de beoordelaar dit niet zelf hoeft uit te zoeken.

Wanneer het bewijsmateriaal onder een NDA valt

Bewijs dat de beoordelaar niet kan openen, geldt niet als bewijs in uw antwoord. Voor u zich op een afgeschermd document in een trustcentrum baseert, moet er daarom een afgesproken manier zijn waarop de beoordelaar er toegang toe krijgt. Trustportalen kunnen hun gevoeligste materiaal afschermen. Microsoft's Service Trust Portal plaatst bijvoorbeeld sommige documenten achter een aanmelding en vraagt de lezer eerst om de geheimhoudingsovereenkomst van Microsoft voor compliancemateriaal te aanvaarden.

U kunt er niet van uitgaan dat een beoordelaar uw NDA ondertekent om één antwoord te lezen. Bovendien kunnen de regels van de aanbesteding beperken wat de beoordelaar mag aanvaarden. Afhankelijk van het aanbestedingsdossier zijn er dan twee mogelijkheden. Als de vertrouwelijkheidsvoorwaarden van de aanbesteding gelden voor materiaal dat een inschrijver als vertrouwelijk aanduidt, voegt u het document onder die voorwaarden bij de offerte, zodra de verantwoordelijke voor de vrijgave daarmee heeft ingestemd. Als het dossier niet vermeldt hoe vertrouwelijk bewijsmateriaal wordt behandeld, stelt u eerst een verduidelijkingsvraag voordat u uw aanpak daarop baseert.

In beide gevallen moet het antwoord zelf vermelden wat het afgeschermde document aantoont. Zo hangt de score er niet van af of de toegang op dat moment werkt.

Wat u met elke beveiligingsvraag in het pakket doet

Toets elke beveiligingsvraag aan dezelfde vijf criteria. Beantwoord de vraag vervolgens, beantwoord ze met bronvermelding of verwijs naar een bron, en keur elke verwijzing goed als onderdeel van het antwoord. Als u de controles overslaat, krijgt u antwoorden die steunen op bewijs dat de koper niet aanvaardt, niet kan beoordelen of niet kan openen.

Vijf controles per vraag

1. Referenties toegestaan. Worden een certificaat, een vermelding in een register of een gepubliceerde pagina volgens de instructies, richtlijnen of vraag als bewijs aanvaard?
2. Beoordeeld met een score of geslaagd/niet geslaagd. Wordt de vraag beoordeeld aan de hand van gewogen criteria of gecontroleerd op compliance?
3. Zekerheidsniveau. Is het bewijs door een derde gecertificeerd of geattesteerd, of gaat het om een zelfbeoordeling?
4. Reikwijdte. Heeft het bewijsmateriaal betrekking op de dienst waarvoor u een offerte indient?
5. Toegang. Kan de beoordelaar het openen zonder een NDA waarmee die niet heeft ingestemd?

De beslisregel

Pas deze in volgorde toe en neem de eerste die van toepassing is:

1. Verwijs wanneer aan alle vijf controles is voldaan: verwijzingen zijn toegestaan, de vraag wordt met geslaagd/niet geslaagd beoordeeld, het bewijsmateriaal is geaudit, het heeft betrekking op de dienst en de beoordelaar kan het openen. Geef de verwijzing precies zoals gevraagd in de instructies.
2. Beantwoord en vermeld de bron wanneer de controles van de reikwijdte en toegang positief zijn, maar niet aan een van de eerste drie controles is voldaan: verwijzingen zijn niet toegestaan, de vraag wordt beoordeeld of het bewijsmateriaal is gebaseerd op een zelfbeoordeling. Formuleer het volledige antwoord op de vraag of de criteria ervan en vermeld het bewijsmateriaal als bron wanneer het een specifieke bewering onderbouwt. Vermeld een zelfbeoordeling als context, nooit als bewijs dat de beheersmaatregel werkt.
3. Antwoord wanneer het bewijsmateriaal geen betrekking heeft op de dienst of wanneer de beoordelaar het niet kan openen. Baseer het antwoord op wat voor die dienst geldt. Vermeld bij afgeschermd bewijsmateriaal in het antwoord wat het document aantoont en bied het document aan via de procedure die in het gedeelte over de NDA wordt beschreven.

Vóór goedkeuring

Keur een referentie op dezelfde manier goed als een antwoord, want daarmee legt u de inhoud van de pagina als onderdeel van uw antwoord voor aan de koper. Open vóór indiening elke pagina waarnaar u verwijst en controleer of die op dat moment overeenstemt met het bijbehorende antwoord: het certificaat is actueel, de reikwijdte is die welke u in uw antwoord beschrijft en de beleidsversie is die waarop uw antwoord steunt. Als de pagina en het antwoord niet overeenstemmen, beschikt de koper over beide en moet u het verschil verantwoorden. Leg vast naar welke versie u hebt verwezen, zodat u later kunt aantonen waarnaar het antwoord verwees.

Die controle wordt eenvoudiger wanneer de inhoud van het trust centre en bidantwoorden uit dezelfde goedgekeurde bron komen. In de Knowledge Hub, onderdeel van SEQUESTO aOS, behoudt elk goedgekeurd security-antwoord de verantwoordelijke, beoordelingscyclus en vervaldatum, en worden antwoorden die op een beleid zijn gebaseerd gemarkeerd voor beoordeling wanneer dat beleid wordt bijgewerkt. Lees verdedigbare antwoorden op security questionnaires om te zien wat ervoor zorgt dat de antwoorden die u nog zelf schrijft, standhouden bij een beoordeling. Lees een auditbare bibliotheek opbouwen om goedgekeurde antwoorden aan een verantwoordelijke en datum te koppelen, zodat gepubliceerde antwoorden en bidantwoorden op elkaar afgestemd blijven.

Begin met het pakket dat voor u ligt. Voer de vijf controles uit op de beveiligingsvragen voordat iemand een antwoord opstelt. Zo weet u voor welke vragen u een antwoord moet schrijven, welke een bronvermelding nodig hebben en voor welke alleen een referentie volstaat.