Hvornår skal I selv bringe testen på bane i salget?

Mange softwarehuse har en nyere pentestrapport liggende, men nævner den først, når kundens sikkerhedsfolk spørger. Om det er klogt at tage testen op tidligere, afhænger af kundetypen og af, hvad I faktisk kan dokumentere og udlevere.

Det korte svar er at nævne testen, så snart I ved, at kunden har et indkøb med sikkerhedskrav, og at gøre det med få, præcise oplysninger: at produktet er testet af en uafhængig part, hvornår, hvad testen omfattede, og hvilken dokumentation kunden kan få. Det sparer en runde i kundens proces og viser, at I forventer spørgsmålet. Men oplysningerne skal kunne stå alene, også når kundens sikkerhedsfolk senere læser dem efter.

Når det giver mening at tage testen op

Nogle kunder køber altid med en sikkerhedsgennemgang. Det kan gælde større virksomheder, kunder i regulerede brancher og kunder, der lægger følsomme oplysninger i produktet. Hos dem kommer spørgsmålet uanset hvad. At nævne testen tidligt flytter bare tidspunktet, hvor de får svaret, og gør det til jeres initiativ.

Hos mindre kunder, der køber på funktioner og hurtig opstart, kan det virke unødvendigt at gå i detaljer. Her er det ofte nok at nævne i en enkelt sætning, at produktet testes af en uafhængig part, og at dokumentation kan udleveres efter aftale. Det tager ikke tid fra resten af salget og kan være det, der adskiller jer fra et alternativ, som ikke kan sige det samme. Spørg samtidig, om kunden selv har krav til leverandørernes sikkerhed, så I ved, om der kommer mere. → Konkurrenterne kan vise en test, I kan ikke

Hvad sælgeren skal kunne sige

Sælgeren behøver ikke kunne forklare testen i dybden, men skal have et fast, godkendt grundlag at tale ud fra. Det kan være fire punkter:

Hvem testede · En uafhængig ekstern tester, uden detaljer, kunden ikke har brug for i første omgang.
Hvornår · Måneden og året for seneste test og eventuelt seneste retest.
Hvad · Den del af produktet, testen dækkede, med de samme ord som i rapportens omfangsafsnit.
Hvad kunden kan få · Hvilken form for dokumentation der kan udleveres, og på hvilke betingelser.

Grundlaget skal være skrevet af dem, der kender testen, og godkendt af den, der ejer kundekravene. Så siger alle sælgere det samme, og ingen kommer til at love mere, end rapporten kan bære. → Salgsteamet og sikkerhedsspørgsmål

Hvor i salgsforløbet

Der er tre oplagte steder. Det første er ved det indledende møde, hvis kunden nævner, at de har en indkøbsproces med sikkerhedskrav. Her kan en enkelt sætning være nok. Det andet er, når kunden beder om tilbud. En kort sikkerhedsbeskrivelse som bilag til tilbuddet giver kundens indkøber noget at sende videre internt. Det tredje er, når kunden sender et sikkerhedsspørgeskema. Her kan I henvise til jeres færdige dokumentation i stedet for at skrive alt fra bunden.

Et tænkt eksempel: Et softwarehus med en løsning til kursusadministration har en sikkerhedsbeskrivelse på to sider og et erklæringsbrev fra testeren klar. Sælgeren nævner dokumenterne i tilbudsmailen og tilbyder at sende dem til kundens IT-ansvarlige. Kunden sender spørgeskemaet senere, men med færre spørgsmål, fordi en del allerede er besvaret. Kundens IT-ansvarlige har også fået et navn hos softwarehuset at skrive til, hvis noget er uklart, og behøver ikke gå via sælgeren. → Sikkerhedspakken: dokumentation klar til kundernes indkøb

Hvad I ikke skal sige

Den største risiko ved at tage testen op selv er at sige for meget. Udsagn som at produktet er godkendt, sikkert eller uden sårbarheder kan ikke dokumenteres af en pentest og kan blive et problem, hvis kunden senere oplever en hændelse. Hold jer til fakta om testen: hvem, hvornår, hvad, og hvad der er sket med fundene.

Undgå også at nævne testen, hvis den er gammel, eller hvis den ikke dækker det, kunden skal købe. Så vil kundens sikkerhedsfolk opdage det, og det skader troværdigheden mere end ikke at have nævnt den. I det tilfælde er det bedre at fortælle, hvornår næste test er planlagt. → Testen i salgsmaterialet: hvad må I skrive? · → Sikkerhed som salgsargument uden at love for meget

Rapporten skal ikke ud i første mail

At nævne testen er ikke det samme som at sende rapporten. Den fulde rapport indeholder oplysninger om jeres produkt, som ikke bør ligge i en sælgers sendte post eller i et tilbud, der videresendes internt hos kunden. Nævn, at dokumentation kan udleveres, og aftal formen, når kunden har brug for den. Til tidlige samtaler kan et resumé eller et erklæringsbrev være nok, og den fulde rapport kan udleveres senere under fortrolighed, hvis kunden beder om den. → Hel rapport, resumé eller erklæring

Hold oplysningerne aktuelle

Et fast grundlag for sælgerne har en holdbarhed. Når en ny test er gennemført, en retest har lukket fund, eller produktet har fået et nyt modul, skal grundlaget opdateres. Ellers kommer sælgerne til at nævne en test, der ikke længere er den nyeste, eller beskrive et omfang, der ikke passer til produktet i dag.

Giv grundlaget en dato og en ejer, og læg en opdatering ind i den samme plan som testen selv. Når der kommer en ny rapport, er det første skridt at rette de fire punkter, sælgerne taler ud fra, og at fortælle salgsteamet, hvad der er ændret. Tjek også, om ældre tilbud, præsentationer eller skabeloner stadig nævner den forrige test. De kan blive genbrugt længe efter, at de blev skrevet, og en forældet dato i et tilbud er netop den slags detalje, kundens indkøber hæfter sig ved. → Et årshjul for sikkerhedstest i et softwarehus

Det skal I lade være med

Kalde produktet sikkert eller godkendt · En pentest kan ikke bære det udsagn.
Lade sælgerne formulere sig frit · Brug et fast, godkendt grundlag.
Sende den fulde rapport tidligt · Den hører hjemme i en aftalt udlevering.
Nævne en test, der ikke dækker det, kunden køber · Kundens sikkerhedsfolk opdager det.
Vente på spørgsmålet hos kunder, der altid stiller det · I ved, det kommer.

Hvad kan og ikke kan konkluderes

At nævne testen tidligt kan gøre salget lettere og vise, at I tager sikkerhed alvorligt. Det fritager ikke for kundens egen vurdering, og det erstatter ikke svar på kundens spørgsmål. En nævnt test er kun et argument, så længe den er aktuel og dækker det, kunden køber.