Konkurrenterne kan vise en test, I kan ikke

Når en kunde sammenligner to leverandører, og kun den ene kan fremvise en pentestrapport, bliver testen pludselig et konkurrenceparameter. Hvad I kan gøre ved det, hviler på to ting: hvad kunden reelt lægger vægt på, og hvad I ærligt kan dokumentere i dag.

Svaret er ikke at haste en test igennem for at kunne sige det samme som konkurrenten. Det er at forstå, hvor meget testen betyder i netop denne beslutning, fortælle kunden præcist, hvor I står, og lægge en plan, der holder. En rapport, der er bestilt i panik og kommer med uløste fund, hjælper sjældent i salget.

Hvad konkurrentens rapport faktisk viser

En kunde, der har fået en rapport eller en erklæring fra en konkurrent, har set et dokument om et andet produkt, testet på et bestemt tidspunkt med en bestemt afgrænsning. Det siger noget om, at konkurrenten har prioriteret at teste. Det siger ikke nødvendigvis, at konkurrentens produkt er mere sikkert end jeres.

Det er dog ikke jeres opgave at tale konkurrentens rapport ned. Kunden vil opfatte det som et forsøg på at aflede opmærksomheden. Hvis kunden spørger, hvordan rapporter kan sammenlignes, kan I neutralt pege på, hvad man bør se efter i enhver rapport: hvad der var med i testen, hvornår den blev gennemført, og hvad der er sket med fundene. Det er spørgsmål, der også vil blive stillet til jer senere. → Omfangsafsnittet: det første, kundens sikkerhedsfolk læser

Find ud af, hvor meget testen vejer

Spørg kunden, hvordan sikkerhedsdokumentationen indgår i valget. Er en test et krav, der skal være opfyldt, før aftalen kan underskrives? Er det et af flere punkter i en samlet vurdering? Eller er det noget, konkurrenten har nævnt, og som kunden nu er blevet opmærksom på? Svaret afgør, om I står over for en blokering eller blot et spørgsmål, der skal besvares godt.

Et tænkt eksempel: Et softwarehus med et system til vagtplanlægning er i finalen hos en regional kunde. Konkurrenten har sendt et resumé af en nylig pentest. Kundens indkøber forklarer på opfordring, at en test er et ønske, men at kundens sikkerhedsfolk især vil vide, hvordan data mellem afdelinger holdes adskilt, og om leverandøren har en plan for test. Det er et spørgsmål, softwarehuset kan svare på nu.

Spørg også, hvem hos kunden der har læst konkurrentens dokumentation, og hvad de hæftede sig ved. Måske var det ikke selve testen, men at leverandøren kunne fremlægge noget skriftligt med det samme. I så fald er det jeres øvrige dokumentation, der skal styrkes, og ikke kun testplanen.

Det, I kan sige ærligt i mellemtiden

Har I ikke en uafhængig test, så sig det. Fortæl samtidig, hvad I har: sikker udvikling, interne gennemgange, automatiske kontroller i udviklingsprocessen, adskillelse af kundedata i designet, og hvem der har ansvaret for sikkerheden. Beskriv det konkret og uden at kalde det en test, det ikke er. → Et ærligt svar i skemaet uden test

Hvis I beslutter at teste, så giv kunden en realistisk plan: hvornår testen er bestilt, hvad den omfatter, og hvornår kunden kan forvente dokumentation. Overvej, om kunden skal have mulighed for at se planen for testens afgrænsning, så kunden kan se, at det, der bekymrer dem, er med.

Lov ikke resultatet. Sig ikke, at rapporten vil være uden alvorlige fund, eller at den vil ligne konkurrentens. I ved det ikke, og kunden ved, at I ikke ved det.

Hold også svaret ens på tværs af salgsteamet. Hvis én sælger fortæller en kunde, at testen er på vej, og en anden siger, at den er overvejet, mister begge svar troværdighed. Skriv en kort, fælles formulering om jeres status og plan, som alle bruger, og opdater den, når planen ændrer sig. Det gælder også i præsentationer og tilbud, hvor sikkerhed nævnes i forbifarten. → Salgsteamet og sikkerhedsspørgsmål

Tag ikke testen for kundens skyld alene

Det er fristende at bestille den hurtigst mulige test, der kan give en rapport, før beslutningen falder. Problemet er, at en hastetest med for snæver afgrænsning kan give en rapport, kunden ikke kan bruge, eller en rapport med alvorlige fund, der ikke er nået at blive rettet. Begge dele kan stille jer dårligere end en ærlig plan.

Brug i stedet anledningen til at lægge en test, der kan bruges over for flere kunder. Afgræns den til det produkt og de funktioner, kunderne generelt bruger, og planlæg tid til rettelser og retest. Når konkurrenten er nævnt én gang, vil det ske igen. → Bestil testen, så rapporten kan bruges over for kunder · → Hvornår skal I selv bringe testen på bane i salget?

Når I mister aftalen alligevel

Det sker, at en kunde vælger konkurrenten, og at manglende test var en del af grunden. Spørg kunden, om de vil fortælle, hvordan sikkerheden indgik i beslutningen. Svaret er værdifuldt for næste salg og for jeres egen prioritering. Brug det til at beslutte, om testen skal ind i årets plan, og om andre dele af jeres sikkerhedsdokumentation også mangler. Det kan være en tillidsside, en samlet sikkerhedspakke eller blot bedre svar i spørgeskemaerne. → Sikkerhedspakken: dokumentation klar til kundernes indkøb

Det skal I lade være med

Tale konkurrentens rapport ned · Kunden opfatter det som at aflede opmærksomheden.
Kalde interne gennemgange for en pentest · Det holder ikke, når kunden spørger, hvem der testede.
Love et rent resultat · Ingen kan forudsige, hvad en test finder.
Bestille en hastetest til én beslutning · En for snæver rapport hjælper hverken nu eller senere.
Undlade at spørge, hvad kunden vægter · Testen er måske ikke det afgørende punkt.

Hvad kan og ikke kan konkluderes

At en konkurrent kan fremvise en rapport, viser, at de har testet et produkt på et tidspunkt. Det viser ikke, at jeres produkt er mindre sikkert, og det afgør ikke kundens beslutning alene. Omvendt kan et ærligt svar og en troværdig plan ikke erstatte en test, hvis kunden har den som ufravigeligt krav. Så er spørgsmålet, om planen kan nå at holde inden for kundens tidsramme.