¿Qué es el cuestionario de la Alianza para la Seguridad de los Proveedores (VSAQ)?
El Cuestionario de la Alianza para la Seguridad de los Proveedores (VSAQ) fue creado por una coalición de empresas comprometidas con la mejora de la seguridad en Internet.
Es uno de los cuestionarios de seguridad más conocidos y respetados, junto con:
- Cuestionario de la Iniciativa de Evaluaciones de Consenso (CAIQ) de la Alianza de Seguridad en la Nube (CSA)
- Controles de seguridad críticos de CIS
- NIST SP 800-171
- Cuestionario Estandarizado de Recolección de Información (SIG/SIG-Lite)
- ISO 27001
El cuestionario de VSA es de uso gratuito y se puede acceder a él en el sitio web de VSA.
Descubra cómo UpGuard agiliza el proceso de los cuestionarios de seguridad >
¿Quién creó la Vendor Security Alliance (VSA)?
Airbnb, Atlassian, Docker, Dropbox y Uber formaron la Alianza para la Seguridad de los Proveedores (VSA) para agilizar el cumplimiento de la seguridad de los proveedores y la diligencia debida, lo que permitió a sus miembros aprovechar la red de auditores externos de la VSA para llevar a cabo evaluaciones de riesgos de los proveedores.
Esto permite a los proveedores evaluar a otros proveedores más rápido y a un costo menor que antes. Además de sus miembros fundadores, la VSA incluye empresas como Adobe, Coinbase, TaskUs y Replicated.
¿Por qué se creó el cuestionario VSA?
El cuestionario VSA se creó para ayudar a las empresas a abordar los crecientes riesgos de ciberseguridad en los servicios en la nube de terceros y los proveedores de SaaS. Cuando se utiliza durante la diligencia debida, el VSAQ asegura el proceso de investigación de los proveedores, lo que permite a las organizaciones identificar el impacto potencial que un cliente potencial tendrá en su postura de seguridad.
En el pasado, las empresas no tenían una forma estandarizada de evaluar los riesgos de seguridad de sus pares y proveedores externos. Ahora, gracias a los cuestionarios que se asignan a estándares como VASQ y PCI DSS, las organizaciones pueden comprender las políticas de seguridad de la información de los posibles socios y seleccionar proveedores en función de decisiones informadas de ciberseguridad.
Con características innovadoras como la tecnología de automatización de cuestionarios, los programas de gestión de riesgos de proveedores han madurado significativamente. Hoy en día, las organizaciones pueden tener una visibilidad y un control completos de su panorama de riesgos de terceros, lo que reduce las interrupciones de la continuidad del negocio causadas por los problemas de seguridad de los proveedores.
¿Cuáles son los tipos de cuestionarios VSA?
La VSA emite dos cuestionarios gratuitos que se actualizan anualmente:
- VSA-Full: Este es el cuestionario clásico de VSA que se centra profundamente en la seguridad de los proveedores y es utilizado por miles de empresas en todo el mundo.
- VSA-Core: Este cuestionario se compone de la evaluación más crítica del proveedor, además de la privacidad. La sección de privacidad cubre los requisitos de notificación de violaciones de datos de EE. UU., la Ley de Privacidad del Consumidor de California (CCPA) y el Reglamento General de Protección de Datos (GDPR).
VSA-Completo
El VSA-Full se publicó por primera vez en 2016 y fue diseñado para ayudar a las empresas a mejorar su programa de gestión de riesgos de proveedores mediante la optimización de las evaluaciones de seguridad de los proveedores.
El cuestionario VSA contiene ocho secciones diferentes, que incluyen:
- Descripción general del servicio
- Protección de datos y control de acceso
- Políticas y Estándares
- Seguridad proactiva
- Seguridad reactiva
- Cadena de suministro de software
- Seguridad de aplicaciones de cara al cliente
- Conformidad
Núcleo VSA
El cuestionario VSA-Core se centra en los principios y prácticas de seguridad y privacidad. Desde el punto de vista de la seguridad, no profundiza tanto como el cuestionario VSA-Full, pero añade la sección de Privacidad que cubre los principios básicos de las leyes de violación de datos de EE. UU., la Ley de Privacidad del Consumidor de California y el RGPD.
El cuestionario VSA-Core debe utilizarse cuando las empresas desean asegurarse de que el proveedor tiene operaciones de seguridad y privacidad bien diseñadas, mientras que el VSA-Full se centra únicamente en la seguridad.
Aprenda a elegir el software de automatización de cuestionarios de seguridad >
¿En qué se diferencia el cuestionario VSA de otros cuestionarios de evaluación de proveedores?
A diferencia de otros cuestionarios, el proceso de evaluación de VSA se creó pensando en el proveedor. Su objetivo es eliminar las preguntas irrelevantes, reduciendo el tiempo que tardan los equipos de seguridad y de seguridad en completar el cuestionario.
Los expertos en seguridad saben que cualquier proveedor que suministre un producto o servicio puede presentar riesgos, especialmente si tiene acceso a datos confidenciales sin los controles adecuados. El problema es que conseguir que los proveedores completen los cuestionarios de seguridad puede ser laborioso, lento y costoso.
Es por eso que la VSA insta a las empresas a abordar la gestión de riesgos de terceros como:
- Basado en el riesgo de los datos: No todos los proveedores deben estar sujetos al mismo estándar, el riesgo es proporcional a la sensibilidad de los datos a los que acceden (y su volumen). Esto significa que los controles de seguridad que tienen los proveedores deben ser proporcionales a su riesgo
- Seguridad integrada: Una gran seguridad no se logra comprando un producto, se logra adoptando un enfoque de defensa en profundidad que comienza con la forma en que se diseña, prueba, parchea y mantiene el producto, así como qué pasos se han tomado para minimizar la posibilidad de una violación de datos y qué sucede después de un incidente de seguridad (planificación de respuesta a incidentes y recuperación ante desastres)
- Orientación al servicio: Muchas empresas ofrecen múltiples productos y servicios. En lugar de auditar la empresa, el proceso de evaluación de VSA se centra en el producto o servicio que se entrega. Esto significa que los proveedores deben completar el cuestionario para cada producto o servicio específico que se está evaluando.
Lea nuestra guía sobre los principales cuestionarios de seguridad >
¿Qué tipo de organización debería utilizar el cuestionario VSA?
Si bien el cuestionario de VSA se creó originalmente para los miembros de VSA, es de uso gratuito para cualquier equipo de seguridad como medio para evaluar los estándares de seguridad de datos de los proveedores.
Las industrias comunes incluyen servicios financieros, tecnología, atención médica, gobierno y educación superior.
Por qué debería considerar el uso de calificaciones de seguridad con el cuestionario VSA
Las calificaciones de seguridad proporcionan a los equipos de seguridad y gestión de riesgos la capacidad de supervisar continuamente la postura de seguridad de sus proveedores.
La ventaja de las calificaciones de seguridad junto con los cuestionarios de seguridad es que se generan automáticamente, se actualizan con frecuencia y proporcionan un lenguaje común para las partes interesadas técnicas y no técnicas.
La clave que hay que entender es que las calificaciones de seguridad llenan el gran vacío que dejan las técnicas tradicionales de evaluación de riesgos, como los cuestionarios de seguridad. El envío de cuestionarios a terceros requiere mucho compromiso, tiempo y, francamente, no siempre es preciso.
Las calificaciones de seguridad pueden complementar y garantizar los resultados informados en los cuestionarios de seguridad, ya que son verificables externamente, siempre actualizados y proporcionados por una organización independiente.
Según Gartner, las calificaciones de ciberseguridad serán tan importantes como las calificaciones crediticias a la hora de evaluar el riesgo de las relaciones comerciales existentes y nuevas... Estos servicios se convertirán en una condición previa para las relaciones comerciales y formarán parte de la norma de diligencia debida para los proveedores y compradores de servicios.>
Más información sobre por qué las calificaciones de seguridad son importantes >
UpGuard es uno de los proveedores de clasificación de seguridad más populares. Generamos nuestras calificaciones a través de algoritmos patentados que toman y analizan fuentes de riesgos de seguridad comerciales y de código abierto confiables, y métodos de recopilación de datos no intrusivos para evaluar cuantitativamente las prácticas de seguridad de los proveedores de servicios.
Basamos nuestras calificaciones en el análisis de 70+ vectores, que incluyen:
- Susceptibilidad a los ataques de intermediario
- Certificados SSL/TLS inseguros
- Ajustes SPF, DKIM y DMARC
- Seguridad de transporte estricta HTTP (HSTS)
- Riesgo de suplantación de identidad y phishing por correo electrónico
- Vulnerabilidades
- Susceptibilidad al malware
- Puertos innecesarios de administración abierta, bases de datos, aplicaciones, correo electrónico y uso compartido de archivos
- Exposición a filtraciones de datos y filtraciones de datos conocidas
- Software vulnerable
- Accesibilidad HTTP
- Configuración segura de cookies
- Resultados de los cuestionarios de seguridad inteligente
Si tiene curiosidad sobre otros servicios de clasificación de seguridad, consulte nuestra guía sobre SecurityScorecard frente a BitSight aquí.
Mire el video a continuación para saber cómo UpGuard optimiza los flujos de trabajo de evaluación de riesgos.