Alvorlige fund lige før en kundeaftale

Testen blev bestilt, fordi en ny kunde ville se en rapport, og nu ligger der et eller flere alvorlige fund, mens aftalen er ved at blive underskrevet. Presset kommer fra to sider: udviklerne skal rette, og salget vil gerne holde tidsplanen. Svaret er at behandle de to spor hver for sig, men med én fælles beslutning om, hvad kunden får at vide og hvornår.

Den beslutning hviler på tre ting: hvor hurtigt fundene realistisk kan rettes og efterprøves, hvad kunden konkret har bedt om, og hvad I har lovet i salget indtil nu. Det, der ikke kan gøres, er at levere en rapport, som ser anderledes ud end den, testeren skrev.

Første skridt er internt

Før kunden hører noget, skal I selv vide, hvad I står med. Den generelle håndtering af kritiske fund, fra forståelse af fundet til midlertidig beskyttelse, er beskrevet på penetrationtest.dk. For et softwarehus med en ventende aftale kommer et par spørgsmål oveni:

Rammer fundet den del af produktet, kunden skal bruge? · eller ligger det i et modul, kunden ikke køber.
Gælder fundet alle kunder? · i så fald er det ikke kun et salgsspørgsmål.
Hvor lang tid tager rettelsen? · et realistisk bud fra dem, der skal udføre den.
Kan testeren efterprøve hurtigt? · og hvornår har testeren tid.

Det britiske NCSC understreger, at vurderingen af risiko og beslutningen om rettelser er jeres ansvar og ikke bør overlades helt til testteamet. Testeren kan hjælpe med at forstå fundet, men prioriteringen er jeres. Saml de få personer, der skal træffe beslutningen: den sikkerhedsansvarlige, produktejeren, en fra ledelsen og den, der ejer kunderelationen. Én samlet beslutning forhindrer, at salg og udvikling giver kunden hver sin besked. → Fund i backloggen

De eksisterende kunder kommer først

Et alvorligt fund i et delt produkt kan angå alle kunder, ikke kun den, der er ved at skrive under. Spørgsmålet om, hvorvidt og hvordan de eksisterende kunder skal orienteres, skal besluttes for sig og må ikke styres af, hvad der passer salget. → Skal kunderne have besked?

Det kan lyde som en omvej, men den nye kunde vil vurdere jer på, hvordan I behandler de kunder, I allerede har. En leverandør, der informerer åbent og retter hurtigt, er et bedre køb end en, der holder fund tilbage, indtil aftalen er på plads.

Tre muligheder over for den nye kunde

Når I ved, hvad I står med, er der typisk tre veje:

Ret, efterprøv og lever bagefter · hvis rettelsen og retesten kan nås inden for en tidsplan, kunden kan acceptere. Kunden får rapporten med retestbeviset.
Lever nu med status og plan · kunden får kundeversionen og en dateret oversigt over, hvad der rettes hvornår. Kunden vurderer selv, om aftalen kan gå videre.
Udskyd aftalen · hvis fundet rammer kundens brug så hårdt, at en plan ikke er nok.

Den anden vej kræver mest af jer, fordi kunden skal kunne følge planen bagefter. Aftal derfor også, hvordan og hvornår kunden får besked om fremskridt, og hvem der giver den. Hvilken vej der er rigtig, afhænger af fundet og af kunden. Det vigtige er, at valget træffes bevidst og fortælles kunden direkte, frem for at rapporten bare bliver forsinket uden forklaring. → Åbne fund i rapporten til kunden

Det, kunden skal have at vide

Kunden har ikke krav på tekniske detaljer om et åbent alvorligt fund, og de bør ikke deles. Men kunden skal have et retvisende billede:

At der er alvorlige fund · og ikke en omskrivning, der får dem til at lyde mindre.
Hvilken del af produktet de angår · så kunden kan vurdere betydningen for sin brug.
Planen · rettelse, retest og en realistisk periode.
Hvad kunden kan gøre i mellemtiden · hvis der er noget, kunden selv kan begrænse.

Sig det, før kunden spørger. En kunde, der selv opdager forsinkelsen og dernæst forklaringen, mister mere tillid end en, der får beskeden fra jer. → Fornyelse af kontrakten

Lov ikke for meget i presset

Det største fejltrin i situationen er et løfte, der ikke kan holdes. Sælgeren vil gerne give kunden en dato, og udviklerne vil gerne være hurtige. Giv en periode frem for en dag, hvis rettelsen ikke er afprøvet endnu, og tag højde for, at retesten afhænger af testerens kalender.

Skriv heller ikke en sikkerhedsgaranti ind i aftalen for at redde salget. Et løfte om, at produktet er fri for alvorlige svagheder, kan ingen leverandør stå inde for, og det gælder også efter en retest. Teksten her er ikke juridisk rådgivning; lad jeres rådgiver se på formuleringer om sikkerhed i kontrakten. → Svar, I ikke kan dokumentere

Et tænkt eksempel

Et softwarehus leverer et system til tidsregistrering. En større kunde i transportbranchen har bedt om rapporten før underskrift. Testen finder et alvorligt fund i håndteringen af roller, så en almindelig bruger under visse forudsætninger kan se registreringer fra andre afdelinger hos samme kunde.

Softwarehuset vurderer, at fundet gælder alle kunder, og orienterer de eksisterende kunder kort samme uge. Rettelsen kan udrulles inden for en periode, udviklerne er trygge ved, og testeren kan efterprøve kort efter. Den nye kunde får besked om fundet på et møde, med typen af svaghed, den berørte del af produktet og planen. Kunden vælger at vente på retestbeviset, og aftalen underskrives et par uger senere end planlagt, med rapport og retest i hånden. → Retestbevis til kunden

Det skal I lade være med

Vente med fundene til efter underskriften · Kunden opdager det, og tilliden er væk.
Lade salget styre orienteringen af eksisterende kunder · Den beslutning træffes for sig.
Bede testeren omformulere fundet · Rapporten er testerens udsagn.
Give en dato, ingen har afprøvet · Brug en periode, der kan holdes.
Skrive en sikkerhedsgaranti ind i aftalen · Ingen test kan bære den.
Udlevere detaljer om det åbne fund · Kunden skal have betydning og plan, ikke fremgangsmåde.

Hvad kan og ikke kan konkluderes

Alvorlige fund før en aftale viser, at testen gjorde sit arbejde, og at produktet havde en svaghed, der nu er kendt. Håndteret åbent kan situationen vise kunden, hvordan I arbejder, når noget er galt. Den kan ikke vendes til et bevis på, at produktet er sikkert, heller ikke efter rettelse og retest; det dokumenterer kun, at de konkrete fund er lukket.