در حال حاضر، تیم‌های امنیت و GRC (حاکمیت، ریسک و انطباق) بخش بزرگی از زمان کاری خود را صرف پاسخگویی به پرسشنامه‌های امنیتی می‌کنند. در برخی سازمان‌ها، این کار به یک نقش تمام‌وقت تبدیل شده است؛ تحلیل‌گرانی که سالانه صدها فرم را تکمیل می‌کنند، تنها به این دلیل که این پرسشنامه‌ها در مسیر نهایی شدن قراردادها و جریان درآمدی شرکت قرار دارند. اگر پاسخ به این فرم‌ها با تأخیر مواجه شود، قراردادهای تجاری نیز متوقف می‌شوند.
پارادوکس اعتماد در فرآیند ارزیابی
یک استاندارد دوگانه در این فرآیند نهفته است: همان تیمی که زیر بار پرسشنامه‌هاست، آن‌ها را برای تأمین‌کنندگان (Vendors) خود نیز ارسال می‌کند تا امنیت آن‌ها را بسنجد. با این حال، بسیاری از متخصصان می‌دانند که پاسخ‌های خوداظهاری (Self-reported) چقدر می‌تواند فاقد دقت باشد، زیرا تحت فشار زمان و ضرب‌الاجل‌ها، پاسخ‌های “بله” بدون بررسی دقیق پذیرفته می‌شوند. اما وقتی نوبت به خرید نرم‌افزار یا خدمات می‌رسد، شرکت‌ها از همین پاسخ‌های ضعیف برای اعتمادسازی استفاده می‌کنند. در واقع، هر شرکت در زنجیره تأمین، همزمان هم فرستنده و هم گیرنده این اطلاعات است.
شکست مدل خوداظهاری در برابر تهدیدات واقعی
یک پاسخ “بله” در پرسشنامه، لزوماً به معنای وجود یک کنترل امنیتی (Security Control) واقعی نیست. پرسشنامه‌ها تنها یک قصد یا وضعیت لحظه‌ای را ثبت می‌کنند، در حالی که محیط تهدید مدام در حال تغییر است. آمارهای اخیر نشان‌دهنده شکست این مدل است:
- گزارش Verizon 2025: سهم نشت داده‌های مربوط به طرف‌های ثالث (Third-party) در یک سال، از ۱۵ درصد به ۳۰ درصد افزایش یافته است.
- گزارش IBM 2025: حملات از طریق زنجیره تأمین (Supply-chain) با میانگین هزینه ۴.۹ میلیون دلار، یکی از گران‌ترین بردارهای حمله محسوب می‌شوند.
مورد شرکت Target در سال ۲۰۱۳ نمونه بارزی از این موضوع است؛ این شرکت با وجود داشتن گواهینامه‌های انطباق (Compliance)، دچار نشت داده‌های ۴۰ میلیون کارت بانکی شد. این نشان می‌دهد که داشتن گواهینامه، لزوماً به معنای امنیت عملیاتی نیست.
راهکار: جایگزینی ادعا با شواهد ملموس
برای مدیریت موثر ریسک، سازمان‌ها باید از تبادل “ادعا” به سمت تبادل “اثبات” حرکت کنند. نهادهای نظارتی مانند NYDFS نیز بر این موضوع تأکید دارند. به جای تکیه صرف بر پرسشنامه‌ها، باید از موارد زیر استفاده کرد:
- گزارش‌های مستقل: استفاده از گزارش‌های SOC 2، گواهینامه‌های ISO و نتایج تست نفوذ (Penetration Test).
- رتبه‌بندی‌های امنیتی (Security Ratings): استفاده از ابزارهای مشاهده‌پذیری خارجی که برخلاف پرسشنامه‌ها، قابل دستکاری توسط فروشندگان نیستند.
- ارزیابی مبتنی بر ریسک: تمرکز بیشتر بر تأمین‌کنندگانی که دسترسی حساس به داده‌ها دارند و درخواست شواهد ملموس (مانند نتایج تست یا گواهی‌های امضا شده توسط تیم فنی) به جای متن‌های توصیفی.
در نهایت، پرسشنامه‌ها می‌توانند صرفاً نقطه شروع یک گفتگو باشند، اما اعتماد واقعی باید بر پایه شواهد و مدارک قابل استناد بنا شود، نه صرفاً بر پایه کلام تأمین‌کننده.
