Standardiserede spørgeskemaer: CAIQ, SIG og kundens egne

Når to kunder sender hvert sit sikkerhedsspørgeskema, er det fristende at tro, at de spørger om helt forskellige ting. De kan dog bygge på de samme få standardiserede skemaer, og det kan I udnytte. Svaret på, hvordan I håndterer dem, hviler på at kende de mest udbredte skemaer, vide hvem der står bag, og bruge dem som grundlag for jeres egne svar uden at love mere, end skemaet spørger om.

To navne, softwarehuse kan møde, er CAIQ fra Cloud Security Alliance og SIG fra Shared Assessments. Dertil kommer de skemaer, kunderne selv har skrevet, som tit er inspireret af de to.

CAIQ fra Cloud Security Alliance

Cloud Security Alliance (CSA) udgiver Cloud Controls Matrix (CCM), som CSA beskriver som en ramme af kontroller for cybersikkerhed i cloud. CAIQ, Consensus Assessments Initiative Questionnaire, er ifølge CSA bygget ind i CCM og består af en række ja/nej-spørgsmål, der bruges til at vurdere cloududbydere. I version 4.1 er CCM og CAIQ samlet i ét materiale.

For et SaaS-firma betyder det, at CAIQ kan være det skema, kunder vælger, når de vurderer en cloudtjeneste. Spørgsmålene følger CCM’s kontrolområder, så et svar i CAIQ kan føres tilbage til en bestemt kontrol i rammen. CSA beskriver desuden, at udbydere kan bruge en selvvurdering til at indsende oplysninger til CSA’s STAR-register. Det er et selvstændigt valg, og det hører under emnet om STAR. → CSA STAR og cloudkunders krav

SIG fra Shared Assessments

SIG, Standardized Information Gathering, udgives af Shared Assessments og bruges til at vurdere risici hos serviceleverandører. Shared Assessments beskriver, at SIG måler risici inden for en række kontrolområder hos leverandøren, og at skemaet er koblet til kendte rammer som ISO 27001 og NIST Cybersecurity Framework. Skemaet findes også i en webbaseret udgave til at oprette, sende og gennemgå vurderinger.

SIG er bredt og spørger til hele virksomheden, ikke kun til produktet. Mange spørgsmål handler om ledelse, personale, fysisk sikkerhed og leverandørstyring. Kunder kan bruge det i en kortere eller længere udgave afhængigt af, hvor vigtig leverandøren er for dem. Spørg, hvilken udgave I har fået, og om alle afsnit er relevante for den tjeneste, kunden køber. Svar, der gælder hele virksomheden, skal godkendes af ledelsen, ikke kun af produktteamet.

Kundens egne skemaer

Nogle kunder bruger hverken CAIQ eller SIG direkte, men et skema, de selv har sammensat. Det kan være udarbejdet af kundens it-sikkerhedsfunktion, af en rådgiver eller hentet fra kundens brancheorganisation. Spørgsmålene kan ligne dem i de standardiserede skemaer, men ordlyden er anderledes, og nogle spørgsmål passer dårligt til et SaaS-produkt.

Danske kunder kan også tage udgangspunkt i SikkerDigitals leverandørdialogværktøj, en dansk vejledning med tjekliste og et engelsk spørgeskema til dialogen med it-leverandører. Værktøjet er skrevet til kunden, så det viser jer, hvad en dansk kunde kan finde på at spørge om.

Behandl det hjemmelavede skema med lidt ekstra omhu. Læs hvert spørgsmål, som det står, og antag ikke, at det betyder det samme som i CAIQ, fordi det ligner. Er formuleringen uklar, så spørg. Notér også, hvem der har lavet skemaet. Kommer det fra kundens rådgiver, kan det samme skema dukke op hos andre kunder, som bruger samme rådgiver, og så kan jeres svar genbruges der. → Sikkerhedsspørgeskema fra kunden

Brug skemaerne som grundlag for jeres svar

Har I først besvaret CAIQ omhyggeligt, har I en stor del af svarene til mange andre skemaer. Det samme gælder SIG. Brug derfor det første standardiserede skema som en investering. Gem svarene med henvisning til spørgsmålets nummer og til den dokumentation, svaret bygger på, og lad dem indgå i jeres fælles bibliotek. → Et svarbibliotek

Nogle softwarehuse vælger at udfylde CAIQ på eget initiativ og lægge det klar til kunderne sammen med et resumé af seneste pentest. Det kan forkorte salget, fordi kunden får svar på mange spørgsmål, før de bliver stillet. Udfyld det med samme omhu, som hvis en kunde havde bedt om det, og dater det tydeligt, så modtageren kan se, hvor gammelt det er. → Sikkerhedspakken

Pentestspørgsmålene i skemaerne

Brede leverandørskemaer kan stille spørgsmålet om test i en større sammenhæng end blot, om produktet er testet. De kan også spørge til, hvordan sårbarheder bliver vurderet, prioriteret og rettet, og om der er en fast proces for det. Svar med det samme grundlag som i alle andre skemaer: hvad blev testet, hvornår, af hvem, og hvad er sket med fundene. → Spørgsmålet om penetrationstest i skemaet

Vær opmærksom på, at ja/nej-formen i CAIQ kan tvinge et nuanceret svar ind i en for snæver ramme. Brug kommentarfeltet, når svaret reelt er delvist. → Ja, nej eller delvist

Et tænkt eksempel

Et softwarehus med et system til fakturering for håndværkere får inden for samme måned tre skemaer: et CAIQ fra en kæde af tekniske installatører, en kort udgave af SIG fra et forsikringsselskab og et hjemmelavet regneark fra en kommunal forsyning. Softwarehuset begynder med CAIQ, fordi det er det mest produktnære, og svarer omhyggeligt med henvisninger til politikker og seneste pentest. Bagefter gennemgår det SIG-udgaven og finder, at en stor del af spørgsmålene kan besvares ud fra CAIQ-svarene med små tilpasninger. Resten handler om personale, kontorer og leverandører og kræver input fra ledelsen. Det hjemmelavede regneark viser sig at have flere spørgsmål, der minder om CAIQ, men med en anden betydning, og her spørger softwarehuset kunden, før det svarer. Efter de tre skemaer har softwarehuset et bibliotek, der dækker det meste af det næste.

Det skal I lade være med

Antage, at et hjemmelavet skema betyder det samme som CAIQ · læs ordlyden, som den står.
Besvare SIG for hele virksomheden, hvis kunden kun køber produktet · afklar, hvilke afsnit der er relevante.
Svare ja i et ja/nej-felt, hvor sandheden er delvis · brug kommentaren.
Lægge et udfyldt skema ud uden dato · modtageren skal kunne se, hvor gammelt det er.
Opfatte et udfyldt skema som en certificering · det er jeres egen erklæring.

Hvad kan og ikke kan konkluderes

Et besvaret CAIQ eller SIG giver kunden et struktureret overblik over, hvad I oplyser om jeres sikkerhed. Skemaerne er værktøjer til at stille spørgsmål. De er ikke i sig selv en revision eller en certificering, og svarene er jeres egne. Hvor svarene er underbygget af en pentestrapport, en erklæring eller en certificering, får kunden noget at kontrollere dem mod.

Tjekliste til standardiserede skemaer

☐ Ved I, om skemaet er CAIQ, SIG, en udgave af dem eller kundens eget?
☐ Er det afklaret, hvilke afsnit der vedrører den tjeneste, kunden køber?
☐ Er svarene gemt med spørgsmålets nummer og den dokumentation, de bygger på?
☐ Er delvise svar forklaret i kommentarfeltet?
☐ Har et udfyldt skema, I deler på eget initiativ, en tydelig dato?
☐ Står pentestsvaret med omfang, dato, tester og status for fund?

Kilder

Cloud Security Alliance: Cloud Controls Matrix: CCM er en kontrolramme for cloud; CAIQ er bygget ind i CCM som ja/nej-spørgsmål til vurdering af cloududbydere; version 4.1 samler CCM og CAIQ; selvvurdering til STAR-registret.
Shared Assessments: SIG: SIG bruges til vurdering af serviceleverandører, måler risici inden for en række kontrolområder og er koblet til bl.a. ISO 27001 og NIST Cybersecurity Framework.
SikkerDigital: Test og værktøjer: leverandørdialogværktøjet med dansk vejledning, tjekliste og engelsk spørgeskema til dialog med it-leverandører.

Senest gennemgået: oktober 2026.