SIG 2022 : quelles sont les nouveautés et comment en profiter ?

Note de la rédaction : Voici un lien vers notre article sur la mise à jour de SIG 2023.

Le questionnaire Standard Information Gathering (SIG) est une évaluation des risques réalisée par une tierce partie, Shared Assessments. Disponible en versions Core et Lite, le SIG permet aux organisations d'exploiter une bibliothèque standard de questions validées qui mesurent le risque dans 18 domaines. En associant chaque question à de multiples contrôles et exigences réglementaires, il permet aux organisations de simplifier et de standardiser leurs initiatives de gestion des risques liés aux tiers et de conformité.

Shared Assessments effectue des révisions annuelles du questionnaire SIG afin de déterminer si des changements sont nécessaires pour combler les lacunes et améliorer les contrôles existants. Ce post passe en revue la mise à jour 2022 de SIG et explore comment vous pouvez mettre cette évaluation de pointe au service de votre organisation.

Mises à jour de SIG 2022

Les mises à jour du questionnaire SIG 2022 sont organisées en trois catégories :

1. Mise à jour, réorganisation et réduction des séries de questions SIG Core et SIG Lite.
2. Normes et cartographies réglementaires nouvelles et mises à jour, dont quatre nouvelles cartographies et 13 mises à jour
3. Plus de 30 nouvelles catégories et mises à jour de domaines

SIG Lite et SIG Core : Quelle est la différence ? Quelles sont les nouveautés ?

Tout d'abord, voyons comment les séries de questions ont changé. Shared Assessments propose deux versions de son évaluation SIG : SIG Lite et SIG Core.

Le questionnaire SIG Lite est conçu pour fournir une compréhension large et de haut niveau des contrôles internes de sécurité de l'information d'un tiers, offrant un niveau de base de diligence raisonnable d'évaluation. Avec 150 questions, le SIG Lite peut être utilisé comme une évaluation préliminaire avant d'effectuer une évaluation plus détaillée.

Les mises à jour pour le SIG Lite 2022 incluent :

• Les questions sont regroupées par thème, ce qui facilite la compréhension des contrôles par les utilisateurs.
• Réduction de 50% du nombre de questions et introduction de questions plus ciblées
• Amélioration de l'étagement en mettant des questionnaires prêts à l'emploi à la disposition des praticiens.

Le questionnaire SIG Core est plus détaillé et conçu pour évaluer les tiers ou les fournisseurs qui stockent ou gèrent des données sensibles et réglementées, fournissant un niveau de compréhension approfondi de la manière dont un tiers sécurise les informations. SIG Core comprend 825 questions ciblant 18 domaines de risque. Le SIG Core comprend une bibliothèque de questions que les équipes de sécurité peuvent choisir avec leurs fournisseurs et comprend un langage étendu sur la vie privée et les règlements de conformité.

Les mises à jour pour le SIG Core 2022 comprennent :

• Les questions sont regroupées par thème, ce qui facilite la compréhension des contrôles par les utilisateurs.
• Réduction de 25 % du nombre de questions et introduction de questions plus axées sur le contrôle.
• Amélioration de l'étagement en mettant des questionnaires prêts à l'emploi à la disposition des praticiens.

Cartographies des contrôles réglementaires nouvelles et mises à jour

Une deuxième grande catégorie de mises à jour SIG concerne les cartographies de contrôle réglementaires. Shared Assessments se tient au courant des réglementations, directives et normes d'un large éventail d'industries et a intégré 1 600 points de contrôle provenant de :

• NIST 800-53 (Rev.5) Contrôles de sécurité et de confidentialité pour les systèmes d'information et les organisations.
• Directives du DOJ de juin 2020 sur l'évaluation des programmes de conformité des entreprises pour les sociétés américaines cotées en bourse.
• Questionnaire de l'initiative d'évaluation consensuelle (CAIQ) v3.1 et matrice des contrôles du cloud (CCM) version 4
• Orientation des systèmes d'automatisation et de contrôle industriels EC-62443
• Orientations duGDPR sur les clauses contractuelles types (CCS)
• Lois de l'État sur la protection de la vie privée (Californie, Colorado, Virginie)

Spécifiques au NIST 800-53, les nouveaux questionnaires SIG comprennent des questions sur la gestion des risques de la chaîne d'approvisionnement dans des domaines tels que la gestion des actifs, le développement de systèmes (externalisation), la résilience et la continuité, ainsi que la gestion des menaces et des vulnérabilités.