Kravet kommer fra kundens rådgiver eller konsulent

Nogle gange er det ikke kunden selv, der beder om en pentestrapport, men en konsulent, kunden har hyret til at vurdere leverandørerne eller til at hjælpe med et projekt. Hvordan I håndterer det, hviler på ét spørgsmål: hvem hos kunden ejer kravet, og hvad har rådgiveren mandat til at beslutte på kundens vegne?

Det korte svar er at tage imod spørgsmålene fra rådgiveren, men afklare selve kravet med kunden. Rådgiveren kan formulere det og vurdere jeres svar. Det er stadig kunden, der beslutter, hvad der er tilstrækkeligt, og som har kontrakten med jer. Står det ikke klart, risikerer I at levere til rådgiverens forventning og bagefter opdage, at kunden ønskede noget andet.

Hvem rådgiveren kan være

Kundens rådgiver kan være et konsulenthus, der står for et implementeringsprojekt, en sikkerhedsrådgiver, der hjælper med kundens egen certificering, en revisor eller et advokatfirma, der gennemgår kundens kontrakter. Hver af dem har deres egen grund til at spørge, og deres spørgsmål er formet af den opgave, de selv er hyret til.

En sikkerhedsrådgiver, der hjælper kunden med ISO 27001, kan spørge efter dokumentation, der passer ind i kundens leverandørstyring. Et implementeringshus vil måske mest vide, om integrationen til kundens øvrige systemer er afprøvet. Forstå opgaven bag spørgsmålet, så forstår I også, hvad der er vigtigt at svare på. → Kunden henviser bredt til en standard

Afklar mandatet

Spørg jeres kontaktperson hos kunden, hvilken rolle rådgiveren har. Er rådgiveren bemyndiget til at stille krav på kundens vegne, eller indsamler rådgiveren oplysninger, som kunden selv tager stilling til? Hvem skal godkende jeres svar? Bed om at få det skriftligt, gerne som en kort mail fra kunden, der bekræfter rådgiverens rolle.

Det har praktisk betydning. Hvis rådgiveren beder om den fulde rapport, skal I vide, om rapporten er til kunden, til rådgiveren eller til begge, og hvilken fortrolighedsaftale der gælder. Er rådgiveren en tredjepart uden aftale med jer, bør udleveringen afklares særskilt. → Kunden skal skrive under på fortrolighed, før rapporten udleveres

Når kravet ikke står i kontrakten

Et krav, der kommer via en rådgiver, er ikke nødvendigvis skrevet ind i jeres aftale med kunden. Det kan være en anbefaling i en rapport, rådgiveren har skrevet til kunden, eller en standardtjekliste, rådgiveren bruger på alle leverandører. Spørg derfor, hvor kravet stammer fra. Er det kundens politik, er det rådgiverens egen praksis, eller er det et krav fra en tredje part, fx en myndighed eller kundens egen kunde?

Et tænkt eksempel: Et softwarehus leverer et dokumenthåndteringssystem til en mellemstor virksomhed. Virksomhedens nye sikkerhedsrådgiver sender et skema med krav om årlig uafhængig pentest og fuld rapport. Softwarehuset spørger kundens IT-chef og får at vide, at skemaet er rådgiverens standard, og at kunden selv er tilfreds med et resumé og en status på fund. Svaret sendes derefter til både IT-chefen og rådgiveren.

Hvis kravet faktisk er kundens, men ikke står i kontrakten, er det værd at overveje, om det skal skrives ind ved næste fornyelse. Så ved begge parter, hvad der gælder, også hvis kunden skifter rådgiver. → Forhandling af sikkerhedskrav: hvad kan I sige nej til?

To sæt forventninger

Den største risiko er, at kunden og rådgiveren forventer forskellige ting. Rådgiveren vil måske have en bestemt form for rapport eller en bestemt standard nævnt. Kunden vil måske bare have et svar, der kan lukke punktet i deres egen sag. Hvis I kun taler med rådgiveren, kan I ende med at bestille en dyrere og bredere test, end kunden havde brug for.

Send derfor jeres svar til begge, og skriv i svaret, hvilket krav I forstår at besvare. Bed om en bekræftelse fra kunden, før I bestiller noget nyt på baggrund af rådgiverens spørgsmål. Hvis rådgiveren og kunden er uenige, er det kunden, der skal afgøre det. I skal ikke vælge side.

Spørgsmål fra rådgiveren efter udleveringen

Rådgivere kan læse rapporten grundigere end kunden selv og stiller opfølgende spørgsmål. Det er en mulighed for at vise, at I har styr på fundene. Svar sagligt, og hold svarene i samme kanal, så kunden kan følge med. Hvis spørgsmålene bevæger sig ud over det, kunden har bedt om, fx detaljerede tekniske bilag eller adgang til jeres testmiljø, så tjek med kunden, før I svarer. → Opfølgende spørgsmål fra kundens sikkerhedsteam · → Kunden vil se de tekniske bilag

Notér, hvad rådgiveren har fået. Hvis samme rådgiver arbejder for flere af jeres kunder, kan det blive uklart, hvilken dokumentation der er udleveret til hvem og under hvilken aftale. → Log over, hvem der har fået rapporten

Når rådgiveren også tilbyder test

Det sker, at den rådgiver, der stiller kravet, også selv udfører penetrationstest eller har en samarbejdspartner, der gør. Det er ikke i sig selv et problem, men det skaber en mulig interessekonflikt, hvis rådgiveren både formulerer kravet, anbefaler testeren og vurderer resultatet.

I står frit til at vælge jeres egen tester, så længe testeren opfylder kundens krav. Spørg kunden, om der er krav til testerens kvalifikationer eller uafhængighed, og vælg ud fra dem. Hvis rådgiveren mener, at en bestemt tester er nødvendig, så bed om begrundelsen skriftligt, og forelæg den for kunden. En rapport fra en tester, I selv har valgt efter kundens krav, kan som regel også bruges over for andre kunder, hvilket sjældent er tilfældet, hvis testen er skræddersyet til én rådgivers tjekliste. → Valg af tester til kunderapporten

Det skal I lade være med

Antage, at rådgiveren taler for kunden · Afklar mandatet skriftligt med kunden.
Sende fuld rapport til en ukendt tredjepart · Fortrolighed og modtager skal være på plads først.
Bestille en ny test alene på rådgiverens skema · Få kundens bekræftelse af kravet.
Svare rådgiveren uden kunden på kopi · Så kan der opstå to versioner af jeres svar.
Tage stilling i uenigheder mellem kunde og rådgiver · Det er kundens afgørelse.

Hvad kan og ikke kan konkluderes

Et krav fra kundens rådgiver kan være et tidligt signal om, hvad kunden vil kræve fremover. Det er ikke i sig selv et kontraktkrav, og rådgiverens accept af jeres svar er ikke det samme som kundens. Omvendt kan I ikke se bort fra kravet med henvisning til, at det ikke står i kontrakten, hvis kunden står bag det.