En indkøber eller en sikkerhedsansvarlig hos en kommende kunde skriver jeres produktnavn og ISAE 3402, SOC 2 eller trust center i en søgemaskine, før nogen hos jer har hørt om sagen. Det, søgningen viser, bliver kundens første indtryk af jeres sikkerhedsarbejde. Svaret på, hvad der bør komme frem, hviler på to ting: én side, der klart siger, hvilken dokumentation der findes, og hvordan man beder om den, og en udlevering, der holder selve rapporten og erklæringen uden for søgemaskinerne.
Indholdet af siden er beskrevet for sig. → Tillidsside: hvad I viser offentligt om sikkerhedstest Her handler det om søgningen, der leder kunden derhen.
Søgningen før den første mail
Kombinationen af et produktnavn og en dokumentationstype er et tegn på, at nogen er i gang med en leverandørvurdering. Personen vil vide, om I har en revisorerklæring, en SOC 2-rapport eller en pentest, og hvem der skal kontaktes. Er svaret let at finde, kan næste skridt være en anmodning. Er det ikke, bliver det en mail med spørgsmål, et sikkerhedsspørgeskema eller i værste fald et fravalg uden forklaring. → Sikkerhedsspørgeskema fra kunden
Marketing og web ejer ikke dokumentationen, men de ejer det sted, kunden lander. Det gør dem til en del af kundens sikkerhedsgennemgang, uanset om de ved det. Derfor bør den, der ejer hjemmesiden, vide, hvilken dokumentation der findes, hvornår den skifter, og hvem der må godkende teksten om den. Et kort samarbejde med den, der ejer kundekravene, er nok til at holde siden korrekt.
Når der intet er at finde
Viser søgningen kun jeres forside, en prisside eller en gammel pressemeddelelse, må kunden gætte. Gættet kan være, at I ikke har nogen erklæring, også selv om I har. Det kan også være, at søgningen viser en andens side, fx en forhandler eller en sammenligningstjeneste, der omtaler jeres sikkerhed med upræcise eller forældede oplysninger.
Fraværet af en side er ikke neutralt. Det sender kunden videre til sælgeren eller til et skema og forsinker et salg, der ellers kunne være gået hurtigere. → Når salget går i stå
Den side, søgningen bør lande på
Søgningen bør lande på én fast side, der handler om sikkerhed og dokumentation for netop jeres produkt. Har I flere produkter, kan hver have sit afsnit eller sin egen side, så søgningen på et produktnavn lander rigtigt.
- En fast adresse · siden flytter ikke, når hjemmesiden får nyt design.
- Produktnavnet i titlen · så siden matcher kundens søgning.
- Dokumentationstyperne i teksten · skriv ISAE 3402, SOC 2 eller penetrationstest, hvis det er det, I har.
- Et link fra forsiden og fra sidefoden · så siden findes, også af dem, der ikke søger.
- Dato for seneste opdatering · så kunden kan se, om oplysningerne er aktuelle.
Skriv kun de betegnelser, der passer. En side, der nævner SOC 2 for at blive fundet, selv om I ikke har en SOC 2-rapport, gør mere skade end ingen side. → Testen i salgsmaterialet
Sig klart, hvad der findes
Kunden skal på få sekunder kunne se, hvad I har, og hvad I ikke har. Det kan stå som en kort oversigt:
- Revisorerklæring · standard og type, og hvilken periode den dækker, eller at I ikke har en.
- Penetrationstest · måned og år for seneste test, og hvilke dele af produktet den dækkede.
- Hvad kunden kan få · fx resumé, kundeversion eller erklæringsbrev efter aftale om fortrolighed.
- Sådan beder man om det · en formular eller en adresse, og hvem der svarer.
Har I ingen erklæring, så skriv det, og skriv, hvad I har i stedet. Det svarer på kundens spørgsmål og sparer en mail.
Hold oversigten i takt med dokumentationen. Når en ny erklæringsperiode er afsluttet, eller en ny test er gennemført, skal siden opdateres samme uge. En side, der viser sidste års periode, får kunden til at tro, at intet er sket siden, og det rejser netop de spørgsmål, siden skulle besvare.
Det, der ikke må kunne findes
Selve pentestrapporten, kundeversionen og revisorerklæringen hører ikke hjemme på en offentlig adresse. Erklæringer er skrevet til bestemte brugere og har egne vilkår for videregivelse, og en pentestrapport beskriver svagheder i produktet. En PDF, der ligger på jeres webserver uden adgangskontrol, kan blive fundet og vist i søgeresultater, også hvis ingen side linker til den.
Søgemaskinernes egen dokumentation er klar på ét punkt. Google Search Central skriver, at en robots.txt-fil ikke er en mekanisme til at holde en side ude af Google, og anbefaler i stedet at blokere indeksering med noindex eller at beskytte siden med adgangskode. For dokumenter med fortroligt indhold er adgangskontrol det relevante. → Læseadgang eller vedhæftet fil
Søg selv efter jeres produktnavn sammen med ord som rapport, pentest og fortrolig, og se, hvad der dukker op. Gør det igen, når hjemmesiden ændres, og når der skiftes portal eller filserver. Finder I et dokument, der ikke burde være der, så fjern det og vurder, hvem der kan have set det.
Et tænkt eksempel
Et softwarehus med et system til vagtplanlægning opdager, at en søgning på produktnavnet og ISAE 3402 viser en forhandlers side med en forældet omtale. Softwarehuset opretter en side om sikkerhed og dokumentation med produktnavnet i titlen. Siden siger, at der foreligger en ISAE 3402 type 2 for det seneste kalenderår, at produktet er penetrationstestet i foråret, og at kunder kan anmode om erklæringen og et resumé af testen via en formular. Selve dokumenterne udleveres gennem en portal med login.
Det skal I lade være med
- At nævne standarder, I ikke har, for at blive fundet · det fører kunden vildt.
- At lægge rapporten eller erklæringen frit tilgængeligt · de skal udleveres til navngivne modtagere.
- At stole på robots.txt · den holder ikke en side ude af søgeresultaterne.
- At flytte siden uden omdirigering · gamle links og søgeresultater ender blindt.
- At glemme datoen · en side uden dato ligner en forældet side.
Tjekliste til siden
- ☐ Søgningen på produktnavn og dokumentationstype lander på siden.
- ☐ Siden nævner kun de standarder og test, I faktisk har.
- ☐ Periode og testdato er angivet og aktuelle.
- ☐ Det står klart, hvordan kunden beder om dokumenterne.
- ☐ Ingen rapport eller erklæring ligger på en offentlig adresse.
- ☐ Siden har en ejer, der opdaterer den.
Hvad kan og ikke kan konkluderes
En fast side med produktnavn og dokumentationstyper gør det lettere for kunden at finde det rigtige svar og at bede om dokumenterne. Den garanterer ikke en bestemt placering i søgeresultaterne, og den erstatter ikke dokumentationen. At en rapport ikke kan findes ved en søgning, viser heller ikke, at den er beskyttet. Kun adgangskontrol kan det.
Kilder
- Google Search Central: Introduktion til robots.txt: robots.txt er ikke en mekanisme til at holde en side ude af Google; brug noindex eller adgangskode.
- Google Search Central: Bloker indeksering med noindex: en side med noindex fjernes fra søgeresultaterne; en side, der er blokeret i robots.txt, kan stadig blive vist.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om pentestrapporten
Læs også: Hel rapport, resumé eller erklæring · ISAE 3402 og ISAE 3000
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest af SaaS hos Nielco IT
