Ja, nej eller delvist: når svaret ikke passer i skemaet

Nogle sikkerhedsspørgeskemaer giver kun tre muligheder, mens virkeligheden i et softwarehus ikke altid er så enkel. Et præcist svar hviler på, at I deler spørgsmålet op i de dele, I opfylder, og de dele, I ikke opfylder, og at I bruger kommentarfeltet til at forklare forskellen.

Svaret på titlens spørgsmål er derfor: vælg “delvist”, når en væsentlig del af kravet er på plads, men ikke det hele, og skriv altid, hvad der mangler. Vælg “ja” kun, når I kan dokumentere hele spørgsmålet. Vælg “nej”, når kravet ikke er opfyldt, og fortæl, om der er en plan.

Hvorfor et rent ja kan være for meget

Spørgsmål i et skema er skrevet til mange leverandører på én gang. De samler tit flere krav i én sætning: “Bliver alle systemer testet årligt af en uafhængig part, og bliver alle fund rettet inden for en fast frist?” Det er i virkeligheden fire spørgsmål. Et ja svarer bekræftende på dem alle.

Hvis jeres pentest kun dækker produktet og ikke kontornettet, eller hvis I retter kritiske fund hurtigt, men lave fund efter en anden plan, er et ja ikke dækkende. Det er fristende at svare ja, fordi det meste er på plads, men kunden læser svaret bogstaveligt, og svaret kan senere blive en del af aftalen. → Svar, I ikke kan dokumentere

Del spørgsmålet op

Før I vælger svar, så skriv spørgsmålets enkelte led ned og tag stilling til hvert. Det tager få minutter og gør kommentaren næsten selvskrevet.

Hvad spørges der om? · test, proces, dokument eller en teknisk egenskab.
Hvilket omfang? · hele virksomheden, produktet, eller en bestemt del af produktet.
Hvor ofte eller hvor hurtigt? · frekvens, frist eller tidspunkt.
Hvem? · intern eller ekstern part, bestemte kvalifikationer.
Hvad kan I vise? · rapport, erklæring, politik eller ingenting endnu.

Når leddene er skrevet ned, er det lettere at se, om svaret er ja, nej eller delvist, og hvad der skal stå i kommentaren.

Gem opdelingen sammen med svaret. Næste gang et lignende spørgsmål dukker op hos en anden kunde, kan I genbruge vurderingen af de enkelte led i stedet for at starte forfra, og I undgår, at to kunder får forskellige svar på det samme forhold. Opdelingen er også nyttig, når en kollega fra udviklingen skal godkende svaret, fordi den viser præcis, hvilke påstande der skal kunne dokumenteres.

Kommentarfeltet er en del af svaret

Kommentarfeltet kan blive brugt til at sælge. Det bør bruges til at præcisere. En god kommentar er kort og konkret: den siger, hvad der er opfyldt, hvad der ikke er, og hvad I gør ved det.

Sammenlign to kommentarer til spørgsmålet om årlig uafhængig test. Den første: “Vi tager sikkerhed meget alvorligt og tester løbende.” Den anden: “Produktet testes årligt af en ekstern tester, senest i marts. Kontornettet er ikke omfattet af denne test. Fund med høj alvorlighed rettes efter en fastlagt frist; øvrige fund prioriteres i den løbende udvikling.” Den anden giver kunden noget at vurdere, den første giver anledning til et opfølgende spørgsmål. → Opfølgende spørgsmål fra kundens sikkerhedsteam

Når skemaet ikke har et delvist

Nogle skemaer tillader kun ja eller nej, og nogle har intet kommentarfelt. Så skal I vælge det svar, der er mindst misvisende, og finde et andet sted til forklaringen.

Hvis en væsentlig del af kravet ikke er opfyldt, er nej som regel det sikreste valg, ledsaget af en forklaring i et følgebrev eller en samlet kommentar til sidst i skemaet. Et nej med en god forklaring kan blive læst mildere end et ja, der senere viser sig ikke at holde. Hvis skemaet ligger i en portal uden plads til kommentarer, kan I spørge kundens kontaktperson, hvordan forbehold skal afgives. → Skemaet ligger i kundens vurderingsportal

Forbehold uden at gemme sig

Et forbehold er en præcisering af, hvad svaret gælder for. Det er ikke en måde at undgå et klart svar på. Gode forbehold handler om omfang, tid og afhængigheder: “gælder produktets version 5”, “gælder fra næste kvartal”, “forudsætter, at kunden selv har slået tofaktorlogin til”.

Undgå forbehold, der tømmer svaret for indhold, som “så vidt vi ved” eller “i det omfang det er relevant”. Kunden kan ikke bruge dem til noget og vil spørge igen. Hvis I er usikre på et svar, så find ud af det, før I svarer, eller skriv, at I undersøger det og vender tilbage.

Når et krav ikke er opfyldt, men I har andre tiltag, der dækker en del af risikoen, kan det beskrives som en kompenserende foranstaltning. Det bør stå som en del af svaret, ikke som en erstatning for et nej. → Kompenserende foranstaltninger

Et tænkt eksempel

Et lille softwarehus med et system til bestilling af kantinemad får spørgsmålet: “Udføres der penetrationstest af alle systemer, der behandler kundens data, mindst én gang om året?” Produktet blev testet sidste år, men den separate betalingsmodul, som et andet team har bygget, var ikke med.

Svaret bliver “delvist” med kommentaren: “Bestillingsplatformen blev testet af en ekstern tester i oktober sidste år. Betalingsmodulet var ikke omfattet. Det er planlagt med i næste test, der er bestilt til første kvartal.” Kunden kan se, hvor hullet er, og hvornår det lukkes, og softwarehuset har ikke lovet mere, end der kan vises.

Det skal I lade være med

Svare ja, fordi det meste passer · Kunden læser svaret som dækkende for hele spørgsmålet.
Bruge delvist uden kommentar · Så ved kunden ikke, hvilken del der mangler.
Skrive salgstekst i kommentarfeltet · Den giver ingen oplysninger og flere spørgsmål.
Gemme sig bag uklare forbehold · Et forbehold skal afgrænse, ikke udvande.
Give forskellige svar på samme spørgsmål til forskellige kunder · Hold svarene ensartede, også når skemaerne er forskellige.

Hvad kan og ikke kan konkluderes

Et delvist svar med en præcis kommentar viser kunden, hvor I står, og hvad I mangler. Det siger ikke, at manglen er uden betydning, og kunden kan stadig vælge at stille krav. Et rent ja eller nej uden forklaring siger til gengæld mindre end det ser ud til, fordi kunden ikke ved, hvilke dele af spørgsmålet svaret dækker.

Tjekliste til svar, der ikke er rene

☐ Er spørgsmålet delt op i sine enkelte led?
☐ Er det klart, hvilke led der er opfyldt, og hvilke der ikke er?
☐ Siger kommentaren, hvad der mangler, og om der er en plan?
☐ Gælder forbeholdene omfang, tid eller afhængigheder?
☐ Er svaret i overensstemmelse med jeres tidligere svar til andre kunder?
☐ Er der fundet et sted til forklaringen, hvis skemaet ikke har et kommentarfelt?

Senest gennemgået: oktober 2026.