Et fast kontaktpunkt for kundernes sikkerhedsspørgsmål

Kundernes spørgsmål om sikkerhed kommer ind ad mange døre: et spørgeskema til sælgeren, en anmodning om rapporten til den kundeansvarlige, et spørgsmål om en kendt sårbarhed til supporten. Svaret hviler på en enkel idé: ét fast kontaktpunkt, som kunderne kender, og som ved, hvem i huset der kan svare. Det giver kunderne et hurtigere og mere ensartet svar, og det giver jer overblik over, hvad I har lovet hvem.

Hvad kontaktpunktet tager sig af

Et kontaktpunkt for sikkerhed er ikke det samme som en ny afdeling. Det er en adresse og en rolle, som samler henvendelser og sender dem videre til den, der kan svare. Henvendelserne kan være af mange slags.

Spørgeskemaer og leverandørvurderinger · fra nye kunder og ved fornyelser.
Anmodninger om dokumentation · rapport, resumé, erklæring eller tillidsmateriale.
Spørgsmål om kendte sårbarheder · om produktet er ramt af noget, der står i nyhederne.
Anmeldelse af kundens egen test · efter jeres regler for kunders test.
Opfølgning på en sikkerhedsmeddelelse · når I har orienteret kunderne om noget.

Fælles for dem er, at svaret kan få betydning for kundeforholdet, og at det bør hænge sammen med det, kunden tidligere har fået at vide. Et kontaktpunkt, der ser alle henvendelser, er det sted, hvor den sammenhæng kan holdes.

Fordelingen af selve svarene på et spørgeskema er beskrevet i → Hvem i softwarehuset skal svare på sikkerhedsspørgsmål?

Hvorfor det betaler sig

Uden et kontaktpunkt afhænger svaret af, hvem kunden tilfældigvis skriver til. Sælgeren svarer måske for hurtigt, supporten ved ikke, at der findes en kundeversion af rapporten, og udvikleren svarer teknisk på et spørgsmål, der kræver en vurdering fra ledelsen.

Det giver tre problemer. Kunderne får forskellige svar på det samme spørgsmål. Ingen har overblik over, hvilke dokumenter der er udleveret, og hvad der er lovet. Og henvendelser kan blive liggende, fordi den, der modtog dem, ikke vidste, hvor de skulle hen.

Der er også en fjerde ulempe, som først viser sig senere. Når en kunde under en fornyelse spørger, hvad I svarede sidste år, er der ingen, der kan finde svaret. Så skal det hele gøres forfra, og risikoen for at svare anderledes end sidst er stor.

Et fast kontaktpunkt løser ikke det hele, men det giver ét sted, hvor svarene samles og kan genbruges. → Et svarbibliotek

Kunder og udefrakommende er to forskellige veje

Kontaktpunktet for kunder bør holdes adskilt fra den kontaktvej, som alle andre kan bruge til at rapportere sårbarheder. De to har forskellige modtagere og forskellige regler, men de kan godt ende hos de samme personer. Hvis en kunde bruger den offentlige vej, skal henvendelsen blot sendes videre internt.

RFC 9116 beskriver filen security.txt, hvor feltet Contact altid skal være til stede og angive, hvordan sårbarheder kan rapporteres. NCSC i Storbritannien anbefaler en særskilt e-mailadresse eller en sikker webformular, der er let at finde. Det er udefrakommendes vej ind, og den bør virke, uanset om den, der skriver, er kunde eller ej. Kunderne har en aftale med jer og bør have en vej, der også dækker deres øvrige spørgsmål. → Ansvarlig offentliggørelse

Sådan sætter I det op

Et kontaktpunkt kan være enkelt. Det vigtige er, at det fungerer, også når den sikkerhedsansvarlige har ferie.

En fast adresse · en fælles postkasse eller formular, ikke en persons egen adresse.
En ejer · en person, der har ansvaret for, at henvendelser bliver besvaret, og en stedfortræder.
En fordeling · en kort oversigt over, hvem der svarer på hvilke typer spørgsmål.
En registrering · en liste over henvendelser, udleverede dokumenter og givne løfter.
Et svar på modtagelse · kunden får at vide, at henvendelsen er modtaget, og hvornår der kan forventes svar.

Registreringen behøver ikke være avanceret. Et regneark med dato, kunde, emne, svar og eventuelle udleverede dokumenter er nok til at give overblik, så længe det bliver ført. Det vigtige er, at den, der svarer, kan se, hvad kunden har fået før.

Gør adressen let at finde. Den kan stå på jeres tillidsside, i kontrakten og i den sikkerhedspakke, nye kunder får. → Tillidsside

Når der er travlt

Kontaktpunktet bliver sat på prøve, når en alvorlig sårbarhed i en udbredt komponent bliver kendt, og flere kunder spørger på samme tid. Det er her, en fast adresse og en fast ejer viser deres værdi. I kan svare med én samlet meddelelse i stedet for at besvare hver henvendelse for sig. → Kunden spørger efter en kendt sårbarhed

Forbered en kort skabelon til den slags svar: hvad I ved, hvad I undersøger, og hvornår kunden kan forvente nyt. Det sparer tid og forhindrer, at nogen svarer mere bestemt, end grundlaget tillader. Når undersøgelsen er afsluttet, sendes et afsluttende svar til alle, der har spurgt, så ingen kunde står tilbage med en foreløbig besked. → Sikkerhedsmeddelelse til kunderne

Et tænkt eksempel

Et softwarehus med et system til tidsregistrering har ingen fast vej for sikkerhedsspørgsmål. Spørgsmål om rapporten går til de kundeansvarlige, og spørgsmål om sårbarheder går til supporten. To kunder får på en uge forskellige svar på, hvornår produktet sidst blev testet.

Softwarehuset opretter en fælles adresse for sikkerhed, udpeger den tekniske chef som ejer og en udvikler som stedfortræder, og skriver en side med, hvem der svarer på hvad. Adressen kommer på tillidssiden og i kontraktens sikkerhedsbilag. Henvendelser registreres i en enkel liste. Næste gang to kunder spørger om den seneste test, får de samme svar fra samme sted. Ved fornyelsen et år senere kan den tekniske chef se, hvad hver kunde har fået, og svare ud fra det.

Det skal I lade være med

Bruge en persons egen e-mailadresse · henvendelserne stopper, når personen er væk.
Blande kundernes vej sammen med den offentlige · de har forskellige regler.
Lade kontaktpunktet svare uden adgang til de rigtige folk · så bliver det blot en ekstra mellemstation.
Glemme at registrere udleverede dokumenter · overblikket er en stor del af gevinsten.
Gemme adressen · kunderne skal kunne finde den uden at spørge.

Hvad kan og ikke kan konkluderes

Et fast kontaktpunkt kan give kunderne ensartede svar og jer overblik over henvendelser, udleveringer og løfter. Det gør ikke svarene bedre i sig selv; det afhænger af de personer og den dokumentation, der står bag. Det erstatter heller ikke den offentlige kontaktvej for sårbarheder, som bør findes ved siden af.

Tjekliste til kontaktpunktet

☐ Er der en fælles adresse eller formular?
☐ Har kontaktpunktet en ejer og en stedfortræder?
☐ Er det beskrevet, hvem der svarer på hvilke spørgsmål?
☐ Bliver henvendelser og udleveringer registreret?
☐ Står adressen på tillidssiden og i kontrakten?
☐ Er der en skabelon til svar ved kendte sårbarheder?

Kilder

RFC 9116: A File Format to Aid in Security Vulnerability Disclosure: feltet Contact skal altid være til stede i security.txt og angive, hvordan sårbarheder rapporteres.
NCSC (UK): Vulnerability Disclosure Toolkit: anbefaler en særskilt e-mailadresse eller sikker webformular, der er let at finde.

Senest gennemgået: oktober 2026.