HECVAT — und was Hochschulen tatsächlich prüfen
Das Higher Education Community Vendor Assessment Toolkit ist das Assessment, das Hochschulen und Universitäten an Softwareanbieter schicken. Wer in den Bildungssektor verkauft, bekommt es früher oder später.
Kurz gefasst
HECVAT ist ein gemeinschaftlich gepflegter Fragebogen, koordiniert über EDUCAUSE, konzipiert damit ein Anbieter einmal antwortet und viele Einrichtungen dieselbe Datei akzeptieren. Es gibt eine vollständige und eine gekürzte Fassung sowie eine Variante für On-Premise-Produkte. Ausgefüllte HECVATs werden häufig in einem gemeinsamen Verzeichnis veröffentlicht — eine gute Fassung kann die nächste Anfrage also ganz verhindern.
HECVAT auf einen Blick
| Gepflegt über | EDUCAUSE, gemeinsam mit der Sicherheitscommunity des Hochschulsektors |
| Varianten | Eine vollständige Fassung, eine gekürzte für risikoärmere Beschaffungen und eine Variante für On-Premise-Software |
| Typischer Umfang | Die vollständige Fassung umfasst einige hundert Fragen; die gekürzte einen Bruchteil davon |
| Format | Excel-Arbeitsmappe, mehrere Tabellenblätter |
| Wer danach fragt | Universitäten, Hochschulen und deren Beschaffungs- oder IT-Sicherheitsstellen |
| Besonderheit | Ausgefüllte HECVATs werden üblicherweise über ein gemeinsames Verzeichnis geteilt — eine sorgfältige Antwort bedient dadurch viele Einrichtungen |
Wie die Datei aufgebaut ist
HECVAT-Arbeitsmappen sind auf Wiederverwendung ausgelegt, was sich daran zeigt, wie viel der Datei Anleitung statt Frage ist.
Was Compliance Concierge mit einem HECVAT macht
Nichts davon zertifiziert irgendetwas. Das Tool entwirft Antworten aus den hochgeladenen Dokumenten, zeigt zu jeder Antwort den Beleg und exportiert nichts, was nicht von einem Menschen freigegeben wurde. Wo die Dokumente einen Kontrollpunkt nicht abdecken, steht das da — statt einer gefüllten Zelle.
Häufige Fragen
Welche HECVAT-Fassung ist auszufüllen?+
Die zugeschickte. Wer proaktiv eine Fassung zur Veröffentlichung ausfüllt, deckt mit der vollständigen Variante am meisten ab — sie wird am ehesten ohne Rückfragen akzeptiert.
Gilt HECVAT nur für Cloud-Produkte?+
Nein. Es existiert eine Variante für Software, die auf der Infrastruktur der Einrichtung installiert wird; sie lässt die Fragen zum eigenen Hosting weg und ergänzt Fragen dazu, was von der Infrastruktur der Einrichtung erwartet wird.
Muss das für jede Hochschule neu gemacht werden?+
In der Regel nicht von Grund auf. HECVAT existiert gerade deshalb, damit eine ausgefüllte Datei mehrere Einrichtungen zufriedenstellt, und viele werden über ein gemeinsames Verzeichnis geteilt. Zu erneuern ist alles mit Datum — Auditberichte, Testzeitpunkte, Subprozessoren — nicht das ganze Dokument.
Was, wenn eine Frage nicht zutrifft?+
Das hinschreiben — und im Erläuterungsfeld begründen. Einrichtungen sind an Nicht-zutreffend-Antworten gewöhnt; was eine Rückfrage-E-Mail auslöst, ist eine leere Zelle oder ein bloßes „N/A" ohne Begründung.
Weitere Assessments: CAIQ v4, SIG & SIG Lite, VSA. Zum Vorgehen selbst: Leitfaden zum Beantworten von Sicherheitsfragebögen.
HECVAT mit Belegen beantworten
Richtlinien und Arbeitsmappe hochladen. Jeder Entwurf ist aus den eigenen Dokumenten belegt, und nichts verlässt das System ohne Freigabe. Der erste Fragebogen ist kostenlos.