Hvem i softwarehuset ejer kundekravet om test?

Når en kunde kræver en pentestrapport, rører kravet ved salget, udviklingen, driften og ledelsen på én gang, og derfor ender det let hos ingen. Kravet har brug for én ejer, der har ansvaret for hele kæden: at forstå, hvad kunderne kræver, at testen bliver bestilt og gennemført, at fundene bliver fulgt op, og at kunderne får den dokumentation, de er lovet. Ejeren behøver ikke gøre alt selv, men skal have mandat til at prioritere og vide, hvem der gør resten. Uden den person bliver hvert nyt krav en ny opgave fra bunden.

Kravet går på tværs af huset

Følg et enkelt krav fra start til slut, og antallet af hænder bliver tydeligt. Sælgeren modtager kundens krav. Den tekniske direktør vælger tester. Udviklerne forbereder testmiljøet og retter fund. Produktejeren afgør, hvad der kommer først i backloggen. Den kundeansvarlige udleverer resuméet. Ledelsen godkender budgettet og løfterne i kontrakten.

Hver af dem gør sin del godt, men ingen af dem ser hele forløbet. Det er der, kravet går tabt: rapporten kommer, men ingen opdaterer svarene i skemaerne; fundene bliver rettet, men ingen bestiller retesten; kontrakten lover en årlig test, men ingen sætter næste års test i kalenderen. → Kontrakten kræver årlig test

Hvad ejerskabet omfatter

Ejeren af kundekravet har ansvaret for, at disse ting sker, og for at kunne svare på dem, når ledelsen eller en kunde spørger:

Overblik over kravene · hvilke kunder kræver hvad, og hvilke løfter står i kontrakterne.
Testplanen · hvornår næste test ligger, og hvad den skal dække for at opfylde kravene.
Opfølgning · at fund bliver prioriteret, rettet og efterprøvet inden for det, der er lovet.
Dokumentation til kunder · at resumé, erklæring eller kundeversion er aktuel og udleveres efter faste regler.
Svar til kunder · at skemaer og spørgsmål besvares ud fra det, der faktisk er dokumenteret.
Afvigelser · at ledelsen kender de krav, I ikke opfylder, og har taget stilling til dem.

Listen kan virke lang, men hovedparten af punkterne er koordinering. Selve arbejdet ligger hos andre. → Et årshjul for sikkerhedstest

Hvem der kan eje det

Der er ikke én rigtig placering. Det afgørende er, at personen har overblik over både kunderne og produktet og mandat til at flytte tid fra nye funktioner til rettelser. Den britiske NCSC anbefaler, at de relevante risikoejere er med, når en penetrationstest afgrænses, og skriver, at beslutningen om rettelser er organisationens egen og ikke bør overlades helt til testteamet. Ejeren af kundekravet er den, der sørger for, at de beslutninger bliver truffet af de rigtige personer og i tide.

Den sikkerhedsansvarlige · det naturlige valg, hvis rollen findes og har adgang til ledelsen.
Den tekniske direktør · i mindre softwarehuse, hvor sikkerhed og udvikling ligger hos samme person.
Produktejeren · hvis kundekravene især handler om ét produkt, og rollen allerede ejer prioriteringen. → Produktejerens rolle
En fra ledelsen · hvis kravet er tæt knyttet til store kunder og kontrakter.

Sælgeren er sjældent det rette valg. Salget har en interesse i at sige ja, og ejeren af kravet skal kunne sige, at noget ikke kan dokumenteres endnu. Hvordan ledelsen generelt placerer ansvaret for sikkerhedstest, er beskrevet på sikkerhedstesten.dk.

Ejeren og de andre roller

Ejerskabet erstatter ikke de roller, der allerede findes. Den, der svarer på skemaer, gør det stadig. Kontaktpunktet for kundernes spørgsmål er stadig kontaktpunktet. Forskellen er, at alle ved, hvem der samler trådene, og hvem der skal have besked, når noget ændrer sig. → Hvem svarer på skemaet? · → Kontaktpunkt for sikkerhed

Skriv ejerskabet ned i en kort beskrivelse: hvem, hvad det omfatter, hvem der er stedfortræder, og hvornår ejeren rapporterer til ledelsen. Det tager en halv side og sparer mange diskussioner om, hvem der skulle have gjort hvad. Del beskrivelsen med salget og udviklingen, så alle ved, hvor de skal gå hen med et nyt krav eller et spørgsmål fra en kunde.

Et tænkt eksempel: Et softwarehus med tolv medarbejdere og et system til kursusadministration har haft tre kundekrav på et år. Hver gang lå opgaven hos den, der fik mailen. Den tekniske direktør bliver nu udpeget som ejer. Første skridt er en liste over kunder med krav og løfter, andet skridt er næste års test i kalenderen, og tredje skridt er en fast status til ledelsen efter hver test.

Tegn på, at kravet mangler en ejer

Nogle tegn går igen, når ingen ejer kravet:

Svarene i skemaerne er forskellige · fordi forskellige personer har svaret ud fra forskellige rapporter.
Ingen kan sige, hvornår næste test ligger · eller hvem der skal bestille den.
Rapporten ligger i en indbakke · og ingen ved, hvem der har fået den.
Fund står åbne uden plan · fordi ingen har bedt om en.

Ser I et eller flere af tegnene, er det et signal om at udpege en ejer, før næste kunde spørger. → Salget er gået i stå

Når ejeren skifter

Ejerskabet er sårbart, når personen skifter job eller rolle. Sørg for, at overblikket ligger et fælles sted og ikke kun i ejerens hoved eller indbakke: listen over krav og løfter, testplanen, rapporterne, udleveringsloggen og status for fund. Udpeg en stedfortræder, der kender materialet, og lad overdragelsen være et punkt på ledelsens dagsorden. Fortæl også de kunder, der har en fast kontakt om sikkerhed, hvem den nye kontakt er, så deres spørgsmål ikke ender hos en person, der ikke længere har opgaven.

Det skal I lade være med

Lade kravet eje sig selv · uden en ejer falder det mellem rollerne.
Placere det hos salget alene · ejeren skal kunne sige nej.
Give ejerskab uden mandat · ejeren skal kunne prioritere tid til rettelser.
Lade overblikket ligge i én indbakke · det forsvinder med personen.
Glemme ledelsen · afvigelser fra kundekrav er en ledelsesbeslutning.

Hvad kan og ikke kan konkluderes

En udpeget ejer gør det sandsynligt, at kravene bliver fulgt, og at svarene til kunderne hænger sammen. Den sikrer ikke, at der er tid og budget nok. Det er stadig ledelsens beslutning, og ejerens opgave er at gøre beslutningen synlig. Ejerskabet siger heller ikke noget om, hvor godt produktet er testet. Det afgør testens omfang og kvalitet, ikke organiseringen. Men uden en ejer er der ingen, der opdager, at omfanget ikke længere passer til det, kunderne køber, eller at en ny kunde har stillet et krav, som næste test skal tage højde for.