Sikkerhedsspørgsmål efter salget: kundeansvarliges rolle

Kontrakten er underskrevet, og sikkerhedsgennemgangen ligger bag jer. Et år senere kommer spørgsmålene igen: en ny kontaktperson hos kunden vil se den seneste rapport, kundens revisor har spørgsmål, eller en sårbarhed i nyhederne får kunden til at skrive. Den, der modtager henvendelsen, kan meget vel være den kundeansvarlige, fordi det er den person, kunden kender. Svaret på, hvilken rolle den kundeansvarlige skal have, hviler på overblik: at vide, hvad kunden har fået og er lovet, at kunne genkende et sikkerhedsspørgsmål, når det kommer, og at sende det det rigtige sted hen.

Spørgsmålene stopper ikke ved underskriften

Under salget er sikkerhedsspørgsmålene samlet i en gennemgang. Efter salget kommer de spredt og uden varsel. De kan have mange anledninger.

Kundens årlige leverandørvurdering · et nyt skema eller en opdatering af det gamle.
En ny kontaktperson · som ikke kender den dokumentation, kunden allerede har fået.
Kundens revision · revisor beder kunden om dokumentation fra leverandørerne.
En sårbarhed i nyhederne · kunden vil vide, om produktet er ramt.
Et nyt modul · kunden overvejer at udvide og spørger, om det er testet.
Fornyelsen · kontrakten skal forlænges, og kunden vil se den nyeste rapport.

Ingen af dem er usædvanlige, men de bliver besværlige, hvis ingen ved, hvad kunden fik sidste gang. Forskellen fra salget er, at der ikke er en aftale på spil i samme øjeblik. Til gengæld er kundeforholdet det, og et langsomt eller modstridende svar kan huskes ved næste fornyelse. → Kontrakten skal fornyes

Den kundeansvarliges tre opgaver

Den kundeansvarlige behøver ikke kunne svare på sikkerhedsspørgsmålene. Rollen er en anden.

Genkende spørgsmålet · forstå, at en henvendelse om fx revisionen eller et modul er et sikkerhedsspørgsmål.
Kende kundens historik · vide, hvilke dokumenter kunden har fået, og hvad der er aftalt om test og rapporter.
Sende det videre · til kontaktpunktet for sikkerhed med de oplysninger, der skal bruges for at svare.

Når spørgsmålet sendes videre, skal det have det med, som sikkerhedsfolkene skal bruge: hvem der spørger, hvad kunden allerede har fået, hvad kontrakten siger, og hvornår kunden har brug for svaret. Så skal ingen bruge tid på at finde det frem igen, og svaret kan tage højde for kundens situation.

Den tredje opgave er den vigtigste. En kundeansvarlig, der selv prøver at svare på et teknisk spørgsmål, kan give et svar, der ikke passer med det, kunden fik af sikkerhedsfolkene sidst. → Et fast kontaktpunkt for sikkerhed

Hold styr på, hvad hver kunde har fået

Gør det muligt for den kundeansvarlige at se, hvad hver kunde har fået om sikkerhed. Det kan stå i kundens sag i jeres kundesystem eller i en fælles liste.

Udleverede dokumenter · resumé, kundeversion, erklæring, med dato og version.
Underskrevne aftaler om fortrolighed · og hvem hos kunden de dækker.
Løfter · fx om at sende den næste rapport, når den foreligger.
Kontraktkrav · årlig dokumentation, underretning om sårbarheder, revisionsret.
Kontaktpersoner · hvem hos kunden der har fået hvad.

Det sidste er vigtigt, når kunden skifter medarbejdere. En ny kontaktperson har ikke nødvendigvis ret til at se en rapport, som en forgænger fik under en fortrolighedsaftale. Spørg, før I sender igen. → Log over, hvem der har fået rapporten

Forpligtelser, der skal huskes

Nogle kontrakter forpligter jer til at sende dokumentation på bestemte tidspunkter, fx en årlig rapport eller et resumé efter hver test. Den kundeansvarlige er i en god position til at holde øje med det, fordi rollen i forvejen følger kundens kalender.

Lav en oversigt over de forpligtelser, der gælder for hver kunde, og koble den til jeres planlægning af test. Når en ny test er afsluttet, kan den kundeansvarlige sende resuméet til de kunder, der skal have det, uden at vente på, at de spørger. Det viser, at I holder aftalen. → Kontrakten kræver årlig test

Det samme gælder en eventuel pligt til at underrette kunden om alvorlige sårbarheder. Hvis kontrakten indeholder sådan en pligt, skal den kundeansvarlige vide, at den findes, og hvem der beslutter, om den er udløst. Beslutningen ligger hos dem, der kan vurdere sårbarheden, men den kundeansvarlige kan sikre, at meddelelsen når de rigtige personer hos kunden. → Pligt til at underrette kunden

Når kunden spørger efter en sårbarhed i nyhederne

Den slags henvendelser kan komme fra flere kunder på samme tid. Den kundeansvarlige skal ikke svare selv, men kan gøre to ting: sende henvendelsen videre straks og fortælle kunden, hvornår der kommer svar. Hvis I har en fælles meddelelse til alle kunder, sørger den kundeansvarlige for, at netop den kunde får den. → Kunden spørger efter en kendt sårbarhed

Undgå at sige, at produktet ikke er ramt, før det er undersøgt. Et foreløbigt svar som “vi undersøger det og vender tilbage inden fredag” er bedre end et forkert svar.

Et tænkt eksempel

En kundeansvarlig i et softwarehus med et system til lagerstyring får en mail fra en ny IT-chef hos en af de største kunder. IT-chefen vil se den seneste pentestrapport og spørger, om det nye modul til returvarer er testet.

Den kundeansvarlige slår op i kundens sag og kan se, at den tidligere IT-chef fik et resumé under en fortrolighedsaftale for et år siden, og at kontrakten kræver et årligt resumé. Det nye resumé er klar, men er ikke sendt. Den kundeansvarlige sender spørgsmålet om modulet til kontaktpunktet for sikkerhed, beder den nye IT-chef bekræfte fortrolighedsaftalen og sender derefter det nye resumé. Svaret om modulet kommer fra den tekniske chef to dage senere.

Det skal I lade være med

Svare på tekniske spørgsmål selv · send dem til kontaktpunktet.
Sende rapporten til en ny kontaktperson uden at tjekke aftalen · fortroligheden kan være knyttet til personer.
Vente på, at kunden spørger · send dokumentation, I har lovet, når den foreligger.
Sige, at produktet ikke er ramt, før det er undersøgt · giv hellere et foreløbigt svar.
Holde historikken i egen indbakke · den skal kunne findes af andre.

Hvad kan og ikke kan konkluderes

En kundeansvarlig med overblik over kundens dokumentation og forpligtelser kan gøre sikkerhedsspørgsmål efter salget til en rutine i stedet for en overraskelse. Det kan styrke kundeforholdet og forebygge, at aftaler glemmes. Det erstatter ikke de sikkerhedsansvarliges vurderinger, og kvaliteten af svarene afhænger stadig af den dokumentation og de folk, der står bag.