استبيانات الأمن

التعريف

يستخدم المشترون قوائمهم الخاصة أو قوائم مشتركة، مثل SIG من Shared Assessments أو CAIQ من Cloud Security Alliance. وكثيراً ما تنتهي الإجابات في العقد، مما يمنحها وزناً.

لماذا يهم

بالنسبة إلى المشتري، هو وسيلة قليلة التكلفة لمقارنة المورّدين. وبالنسبة إلى مورّد لم يحضّر شيئاً، قد يعطّل صفقة لأسابيع.

وحدّه أن الإجابات تصريحات ذاتية، لذا يجب أن تسند الأدلة وبنود العقد ما يهم أكثر.

كيف يعمل

إن كنت ترسل استبياناً، فاجعله على قدر المستوى: قائمة قصيرة للخطر المنخفض، والقائمة الكاملة للمورّدين الحيويين فقط. واطلب أدلة على النقاط المهمة، واقرأ الإجابات.

وإن كنت تجيب، فاحتفظ بمكتبة إجابات معتمدة، لكل منها دليلها ومسؤولها، وحدّثها بعد كل تغيير ذي صلة.

أجب عما يُسأل بالضبط. وحين تكون الممارسة جزئية فقط، قل ذلك واشرح الضابط التعويضي.

حالة تطبيقية

تتلقى شركة SaaS من 50 موظفاً نحو أربعة استبيانات شهرياً، في كل منها نحو 200 سؤال. فتبني مكتبة من 150 إجابة معتمدة وصفحة ثقة تعرض شهادة ISO/IEC 27001 لديها.

ينخفض متوسط زمن الإجابة من تسعة أيام إلى يومين، ولا يلجأ فريق المبيعات إلى فريق الأمن إلا حين يكون السؤال جديداً.

ممارسات جيدة

• اجعل شخصاً يعرف الممارسة يعتمد كل إجابة.
• أرّخ إجاباتك وراجعها مرة في السنة.
• شارك الأدلة بموجب اتفاقية سرية.
• حوّل الأسئلة التي تتكرر باستمرار إلى وثائق علنية.

أخطاء شائعة

• الإجابة بنعم على كل شيء لإتمام البيع. فقد تعود تلك الإجابات كبنود في العقد.
• إعادة استخدام إجابة قديمة بعد تغيّر الممارسة.
• إرسال 300 سؤال إلى مورّد صغير لخدمات منخفضة الخطر.
• جمع الإجابات دون قراءتها أبداً، مما يضيّع وقت الجميع.

أسئلة

ما استبيان SIG؟

استبيان Standardized Information Gathering من Shared Assessments، وهو واسع الاستخدام في مراجعات المورّدين.

ما استبيان CAIQ؟

استبيان Consensus Assessments Initiative Questionnaire من Cloud Security Alliance، وهو مخصص لمزودي الخدمات السحابية.

هل يمكن أن تحل الشهادة محل استبيان الأمن؟

يمكنها أن تختصره، خاصة حين يناسب نطاقها. لكن كثيراً من المشترين يطلبون تفاصيل مع ذلك.

هل الإجابات عن الاستبيانات ملزمة قانوناً؟

قد تكون كذلك، خاصة إذا أحال العقد إليها، وقد تُعد الإجابة الكاذبة تضليلاً.

هل يستطيع الذكاء الاصطناعي ملء استبيانات الأمن؟

يستطيع إعداد مسودة من إجاباتك المعتمدة. لكن ينبغي أن يراجعها شخص يعرف الممارسة.