Um einen Sicherheitsfragebogen Ihres Kunden zu beantworten, beantworten Sie die drei Fragen hinter jeder Zeile einmal, aus einer Bibliothek, die nach Ihren Controls geordnet ist. Wissen Sie, was Sie haben? Können Sie zeigen, dass ein Control läuft? Was passiert, wenn etwas schiefgeht? Mit einer Bibliothek dauert ein CAIQ mit rund 260 Fragen 2 bis 4 Tage statt 2 bis 3 Wochen.
Dieser Leitfaden behandelt die Formate, die drei Fragen, was Sie zurückfragen sollten, Konsistenz, die Antwortbibliothek, was ISO 27001 vorab beantwortet und was der Fragebogen nicht prüft.
| Format | Kommt beim Verkauf an | Fragen | Beim ersten Mal | Mit Antwortbibliothek |
|---|---|---|---|---|
| VSA, Vendor Security Alliance | Technologieunternehmen | 100 bis 140 | 1 bis 2 Wochen | 1 bis 2 Tage |
| CAIQ, Cloud Security Alliance | Cloud-orientierte Käufer | rund 260 | 2 bis 3 Wochen | 2 bis 4 Tage |
| SIG Core, Shared Assessments | Finanzdienstleister | über 800 | 4 bis 8 Wochen | 1 bis 3 Wochen |
Welchen Sicherheitsfragebogen werden Sie erhalten?
Die meisten Fragebögen folgen einem dieser drei Standardformate oder sind eine bearbeitete Kopie davon.
Die Spanne innerhalb einer Zeile ist größer als die Spanne zwischen den Zeilen. Ein SIG mit Bibliothek im Rücken geht schneller als ein CAIQ ohne. Welches Format Sie erhalten, zählt weit weniger als die Frage, ob Sie schon einmal etwas beantwortet haben.
Der SIG ist der lange, weil er weit über Sicherheit hinausreicht: bis zu Finanzlage, Unternehmensrisiko und Umweltfaktoren.
Was fragt ein Sicherheitsfragebogen wirklich?
Die Tabelle prüft nicht wirklich Ihre Sicherheit. Sie prüft, ob Sie bereits aufgeschrieben haben, was Sie tun. Nimmt man die Formate weg, bleiben drei Fragen, und jede Zeile ist eine Umformulierung einer davon.
1. Wissen Sie, was Sie haben?
Assets, Daten, Lieferanten, wer worauf Zugriff hat. Vielleicht ein Drittel jedes Fragebogens ist diese Frage in anderem Gewand.
2. Können Sie zeigen, dass ein Control läuft und nicht nur auf dem Papier steht?
Nicht „Haben Sie eine Passwortrichtlinie?“, sondern „Wann haben Sie zuletzt die Zugriffsrechte überprüft, und können Sie mir das zeigen?“. An dieser Hälfte scheitern Unternehmen, die Dokumente haben, aber keine Aufzeichnungen. Die Unterscheidung steht in Nachweise, die sich selbst zusammenstellen.
3. Was passiert, wenn etwas schiefgeht?
Erkennung, Reaktion, Benachrichtigung genau dieses Kunden, Wiederherstellung, und wie schnell.
Ein Unternehmen, das diese drei ordentlich beantworten kann, kann jeden Fragebogen beantworten. Ein Unternehmen, das es nicht kann, beantwortet jeden von Grund auf neu, jedes Mal anders, für immer.
Was sollten Sie den Kunden fragen, bevor Sie anfangen?
Zwei Fragen, und sie sparen mehr Zeit als jedes Tool.
- „Welche Abschnitte gelten für das, was Sie bei uns kaufen?“ Die meisten Fragebögen werden unbearbeitet verschickt. Wenn Sie ein einzelnes SaaS-Modul liefern, gehört die physische Sicherheit Ihrer Fertigungsstandorte nicht zum Geltungsbereich, und der Prüfer stimmt meist zu, wenn man fragt. Das ist ein normales Gespräch, kein Widerstand.
- „Würden unser ISO-27001-Zertifikat und unsere Erklärung zur Anwendbarkeit (SoA) einen Teil davon abdecken?“ Häufig ja, besonders bei den Governance-Abschnitten. Fragen Sie, bevor Sie zwei Wochen damit verbringen, denselben Inhalt in deren Format abzutippen.
Warum kosten widersprüchliche Antworten Aufträge?
Was Aufträge kostet, ist nicht eine schlechte Antwort. Es sind drei verschiedene Antworten.
Nehmen Sie ein Unternehmen mit 40 Beschäftigten. Der Fragebogen kommt an, wird nach Abschnitten aufgeteilt und landet bei drei Personen. Der Techniker beantwortet die technischen Zeilen nach dem, was tatsächlich im Einsatz ist. Jemand aus dem Betrieb beantwortet die Prozesszeilen nach dem, was in der Richtlinie steht. Ein Gründer beantwortet die Governance-Zeilen optimistisch, weil der Auftrag wichtig ist.
Das Ergebnis widerspricht sich selbst. Zeile 40 sagt, Zugriffsüberprüfungen finden vierteljährlich statt. Zeile 210 sagt jährlich. Zeile 15 sagt, Sie haben einen dokumentierten Plan zur Reaktion auf Sicherheitsvorfälle. Zeile 300 sagt, die Reaktion auf Vorfälle übernimmt der CTO ad hoc.
Prüfer bemerken das, denn der Abgleich von Antworten ist ihre Aufgabe. Widersprüche wirken wie Unordnung oder Ausweichen. Beides ist schlechter als ein schlichtes „Das machen wir noch nicht, hier ist das kompensierende Control und das Datum, bis zu dem wir es umsetzen“.
Ehrlichkeit über eine Lücke kostet in dieser Unternehmensgröße fast nie einen Auftrag. Beim Widerspruch ertappt zu werden, manchmal schon.
Wie bauen Sie eine Antwortbibliothek für Sicherheitsfragebögen auf?
Die praktische Lösung ist unspektakulär, und sie funktioniert.
- Ordnen Sie Antworten Controls zu, nicht Fragebögen. Die Einheit ist „wie wir Zugriffsüberprüfungen durchführen“, nicht „Zeile 212 im CAIQ von jenem Kunden im März“. Kommt das nächste Format, ordnen Sie dessen Zeilen Ihren Controls zu, statt von vorn zu beginnen.
- Geben Sie jeder Antwort ein Datum und einen Verantwortlichen. Eine Bibliothek, die niemand pflegt, ist schlechter als keine, denn sie gibt eine veraltete Antwort mit voller Überzeugung wieder. Am Datum sehen Sie, welche Einträge Sie vor dem Versand prüfen müssen.
- Schreiben Sie Lücken als Lücken auf, mit einem Plan. Die Zeilen, bei denen die ehrliche Antwort Nein lautet, lohnt es sich sorgfältig vorzuformulieren, denn sie werden Ihnen wieder gestellt. „Derzeit nicht, abgemildert durch X, geplant für Q2“ ist eine wiederverwendbare Antwort. Schweigen ist es nicht.
- Halten Sie auch die Grenze des Geltungsbereichs in der Bibliothek fest. Ein großer Teil der Streitfragen bei Fragebögen sind eigentlich Streitfragen über den Geltungsbereich: Der Kunde fragt nach einem System, das nicht zu der Umgebung gehört, über die er bedient wird. Klar zu sagen, was drin ist und was nicht, ist dieselbe Disziplin wie bei Geltungsbereich und Erklärung zur Anwendbarkeit.
Das ist auch der Grund, Controls, Nachweise und Antworten am selben Ort zu halten. Nicht weil ein Tool grundsätzlich besser ist als eine Tabelle, sondern weil eine Antwort, die neben ihrem Control liegt, aktualisiert wird, wenn sich das Control ändert. Eine Antwort in der Tabelle vom letzten Jahr wird es nicht.
Welchen Anteil eines Sicherheitsfragebogens deckt ISO 27001 ab?
Einen großen Teil jedes Formats, aber nie alles. Das ist das Argument für eine ISO-27001-Zertifizierung, das niemand richtig vorbringt, weil es kommerziell ist und nicht regulatorisch.
| Format | Abgedeckt durch SOC 2 | Abgedeckt durch ISO 27001 |
|---|---|---|
| VSA | 70 bis 80 % | 75 bis 85 % |
| CAIQ | 60 bis 70 % | 75 bis 80 % |
| SIG | 40 bis 50 % | 50 bis 65 % |
ISO 27001 schneidet bei allen dreien besser ab als SOC 2. Trotzdem kommt die Norm höchstens auf etwa 85 %, und beim SIG deckt sie kaum die Hälfte ab. Es gibt kein Zertifikat, das Fragebögen verschwinden lässt.
Was das Zertifikat tatsächlich leistet, ist etwas anderes als die Abdeckungsquote. Es gibt Ihnen einen Satz von Controls mit Verantwortlichen, Status und Nachweisen, sodass die übrigen Fragen eine Grundlage haben, aus der sie beantwortet werden können. Ohne das bleibt die Abdeckungsquote theoretisch. Wie Sie dorthin kommen, steht in ISO 27001 für ein Unternehmen ohne Sicherheitsteam, das ehrliche Budget in Was ISO 27001 ein KMU wirklich kostet.
Was prüft ein Sicherheitsfragebogen nicht?
Er prüft Dokumentation. Er fragt, ob ein Control existiert und ob Sie es beschreiben können. Jede Frage in jedem dieser Formate kann ein Unternehmen wahrheitsgemäß beantworten, bei dem die Protokollierung eingerichtet ist, aber nie ausgewertet wird, bei dem der Schwachstellenscanner monatlich einen Bericht erzeugt, den niemand liest, und bei dem noch nie eine Wiederherstellung zeitlich gemessen wurde. All das sind Ja-Antworten.
Die Prüfung ändert sich im Nachgespräch. Ein aufmerksamer Sicherheitsprüfer stellt Folgefragen: Wie lange ist Ihr ältester offener kritischer Befund schon offen? Wann haben Sie zuletzt aus einem Backup wiederhergestellt, und wie lange hat es gedauert? Woran würden Sie erkennen, dass ein Konto kompromittiert wurde? Darauf sind Zahlen die Antwort, und die Zahlen sind entweder da oder nicht.
Die Antwortbibliothek bringt Sie also durch die Tabelle, und es lohnt sich, sie aufzubauen. Durch das Gespräch bringt sie Sie nicht. Dafür müssen Erkennung und Exposure-Management tatsächlich laufen und Befunde mit Verantwortlichen und Fristen liefern. Das ist dieselbe Lücke, die in was ein Zertifikat offen lässt beschrieben ist. Ein unabhängiges Sicherheitsaudit ist der schnellste Weg herauszufinden, welche Ihrer Fragebogenantworten die Nachfrage überstehen würden.
Checkliste für Sicherheitsfragebögen
- Fragen Sie, welche Abschnitte gelten und ob Ihr Zertifikat und Ihre Erklärung zur Anwendbarkeit einen Teil davon abdecken.
- Antworten Sie aus einer einzigen Bibliothek, die nach Ihren Controls geordnet ist.
- Prüfen Sie vor dem Versand Datum und Verantwortlichen jeder Antwort.
- Lesen Sie die gesamte Antwort auf Zeilen durch, die sich widersprechen.
- Wo die ehrliche Antwort Nein lautet, nennen Sie das kompensierende Control und ein Datum.
- Geben Sie an, was für den gekauften Service im Geltungsbereich liegt und was nicht.
- Halten Sie Zahlen für das Nachgespräch bereit: ältester offener kritischer Befund, letzte zeitlich gemessene Wiederherstellung.
Häufige Fragen
Wie lange dauert es, einen Sicherheitsfragebogen zu beantworten?
Das hängt mehr davon ab, ob Sie schon einmal einen beantwortet haben, als vom Format. Ein CAIQ mit rund 260 Fragen dauert beim ersten Mal 2 bis 3 Wochen und mit Antwortbibliothek 2 bis 4 Tage. Ein SIG Core mit über 800 Fragen dauert beim ersten Mal 4 bis 8 Wochen und mit Bibliothek 1 bis 3 Wochen.
Was ist der Unterschied zwischen VSA-, CAIQ- und SIG-Fragebögen?
Der VSA der Vendor Security Alliance hat 100 bis 140 Fragen und kommt, wenn Sie an Technologieunternehmen verkaufen. Der CAIQ der Cloud Security Alliance hat rund 260 und kommt, wenn der Käufer cloud-orientiert ist. Der SIG Core von Shared Assessments umfasst über 800, kommt im Finanzsektor vor und reicht über Sicherheit hinaus bis zu Finanzlage, Unternehmensrisiko und Umweltfaktoren.
Hilft ISO 27001 bei Sicherheitsfragebögen?
Ja. Eine ISO-27001-Zertifizierung beantwortet vorab etwa 75 bis 85 % eines VSA, 75 bis 80 % eines CAIQ und 50 bis 65 % eines SIG, bei allen dreien mehr als SOC 2. Kein Zertifikat lässt Fragebögen verschwinden, aber es gibt Ihnen einen Satz von Controls mit Verantwortlichen und Nachweisen, aus dem Sie den Rest beantworten können.
Was tun, wenn die ehrliche Antwort auf eine Sicherheitsfrage Nein lautet?
Sagen Sie es, mit dem kompensierenden Control und dem Datum, bis zu dem Sie die Lücke schließen. Ehrlichkeit über eine Lücke kostet ein KMU fast nie einen Auftrag. Sich von Zeile zu Zeile zu widersprechen, manchmal schon.
Kann man Abschnitte eines Sicherheitsfragebogens auslassen?
Oft, wenn Sie fragen. Die meisten Fragebögen werden unbearbeitet verschickt. Fragen Sie deshalb, welche Abschnitte für das gelten, was der Kunde kauft. Wenn Sie ein einzelnes SaaS-Modul liefern, gehört die physische Sicherheit von Fertigungsstandorten nicht zum Geltungsbereich, und der Prüfer stimmt meist zu.
