Kunden skal skrive under på fortrolighed, før rapporten udleveres

En pentestrapport om jeres produkt beskriver svagheder, også dem der er rettet, og måske mere om opbygningen, end I ellers fortæller udadtil. Når en kunde eller en mulig kunde beder om den, er det derfor rimeligt at kræve en fortrolighedsaftale først. Spørgsmålet er, hvad aftalen skal dække, og hvordan den undgår at blive en bremse i salget.

Svaret hviler på en enkel tanke: fortroligheden skal stå i forhold til det, der udleveres. Den fulde rapport kræver en aftale med klare regler om formål, modtagere og sletning. En kortere kundeversion eller et erklæringsbrev kan ofte deles på lettere vilkår. Teksten er ikke juridisk rådgivning; aftalens ordlyd bør jeres egen rådgiver se på.

Hvorfor fortrolighed før udlevering

Når rapporten har forladt jer, har I ikke længere kontrol over, hvor den ender. Den kan blive lagt i kundens indkøbssystem, sendt til en rådgiver eller vedhæftet en intern mail med mange modtagere. En fortrolighedsaftale ændrer ikke det praktiske, men den gør det klart for modtageren, hvordan dokumentet skal behandles, og den giver jer et grundlag at henvise til, hvis noget går galt.

Det er også et signal over for kunden. En leverandør, der behandler sin egen sikkerhedsdokumentation fortroligt, behandler sandsynligvis også kundens data omhyggeligt. Sikkerhedsansvarlige hos kunden forventer derfor kravet og kan selv have en standardaftale klar.

Fortrolighedsaftalen med kunden er en anden aftale end den, I har med testeren. Den generelle gennemgang af NDA med testeren findes på penetrationtest.dk; her handler det om jer som afsender. → Fortrolighed begge veje

Hvad aftalen bør dække

En fortrolighedsaftale om en pentestrapport behøver ikke være lang. Disse punkter gør den brugbar:

Hvad der er omfattet · rapporten, kundeversionen, retestbeviser, statusoversigter og det, der siges på møder om fundene.
Formål · at kunden kan vurdere jer som leverandør, og ikke andet.
Modtagere · hvem hos kunden der må læse dokumentet, fx sikkerhed, indkøb og jura.
Videregivelse · om rådgivere og revisorer må få adgang, og på hvilke vilkår.
Opbevaring og sletning · hvor dokumentet må ligge, og hvad der sker, når vurderingen er færdig, eller samarbejdet ophører.
Varighed · hvor længe fortroligheden gælder, også efter aftalens ophør.

Rådgivere er et punkt, der kan volde problemer. Nogle kunder bruger eksterne folk til leverandørvurdering. Tag stilling til, om de må se rapporten, og om de skal være bundet af samme vilkår. → Kunden har sendt rapporten videre

Jeres aftale eller kundens?

Store kunder kan have deres egen fortrolighedsaftale og foretrækker den. Det kan spare tid, men læs den med rapporten for øje. Kundens standardaftale kan være skrevet til at beskytte kundens oplysninger, ikke jeres. Den kan mangle krav om sletning, tillade bred videregivelse i koncernen eller have en kort varighed.

Har I jeres egen korte aftale klar, kan I tilbyde den som tillæg til kundens. En side, der kun handler om sikkerhedsdokumentation, er ofte lettere for kunden at godkende end en ny, generel aftale. Er der allerede en fortrolighedsbestemmelse i en underskrevet kontrakt, kan det være nok at henvise til den og præcisere, at rapporten er omfattet.

Niveauer af udlevering, niveauer af aftale

Ikke alt kræver samme formalitet. Et erklæringsbrev fra testeren er skrevet til at blive delt og kan ofte sendes uden særskilt aftale. En kundeversion uden tekniske detaljer kan måske deles under en kort bekræftelse. Den fulde rapport med bilag bør altid kræve en underskrevet aftale. Statusoversigter og retestbeviser, der henviser til konkrete fund, hører som regel til samme niveau som det dokument, de følger med.

Når I har tænkt niveauerne igennem, kan I give sælgerne et klart svar på, hvad de må sende hvornår. Det gør det muligt at komme videre i salget uden at vente på jura, når kunden kun har brug for erklæringen. → Hel rapport, resumé eller erklæring · → Erklæringsbrevet fra testeren

Et tænkt eksempel

Et softwarehus leverer et system til tidsregistrering og får en henvendelse fra en større entreprenør, der vil se den seneste pentestrapport. Kundens indkøb sender sin standardaftale om fortrolighed. Den tillader deling i hele koncernen og nævner ikke sletning.

Softwarehuset sender først erklæringsbrevet, som kan deles uden aftale, så kundens sikkerhedsfolk kan komme i gang. Samtidig foreslår det et tillæg på en side til kundens aftale: rapporten må kun læses af kundens sikkerhedsfunktion og en navngiven rådgiver, den må ikke deles i koncernen, og den slettes, når vurderingen er afsluttet. Kunden accepterer tillægget, og den fulde rapport sendes via læseadgang. → Sådan udleverer I rapporten

Når kunden afviser at skrive under

Det sker, at en kunde ikke vil skrive under, fx fordi interne regler forbyder nye aftaler i en tidlig fase. Så er det ikke et spørgsmål om at give efter, men om at finde det niveau, der kan deles. Tilbyd erklæringsbrevet, en kundeversion eller en gennemgang på et møde, hvor rapporten vises, men ikke udleveres. Nogle kunders behov kan dækkes på den måde, indtil aftalen er på plads.

Overvej også, om afvisningen handler om aftalen eller om ordlyden. En kunde, der ikke kan underskrive en ny aftale, kan måske acceptere en kort bekræftelse i en mail om formål, modtagere og sletning, eller en henvisning til en eksisterende rammeaftale. Hvor meget en sådan bekræftelse binder, er et juridisk spørgsmål, men den gør i det mindste forventningerne tydelige for begge parter. Notér, hvad I har aftalt, og hvilket niveau af rapporten kunden har fået, så I kan svare præcist, når kunden senere beder om mere.

Det skal I lade være med

Sende den fulde rapport uden aftale · Når den først er sendt, kan den ikke kaldes tilbage.
Underskrive kundens aftale ulæst · Den beskytter måske kun kunden.
Glemme rådgiverne · De kan være dem, der faktisk læser rapporten.
Udelade sletning · Uden aftale ligger rapporten hos kunden i årevis.
Kræve samme aftale for alt · Et erklæringsbrev behøver ikke samme formalitet som den fulde rapport.
Lade salget vente unødigt · Start med det, der kan deles, mens aftalen forhandles.

Hvad kan og ikke kan konkluderes

En fortrolighedsaftale gør det klart, hvordan kunden skal behandle rapporten, og giver jer noget at henvise til. Den forhindrer ikke i sig selv, at dokumentet bliver delt for bredt, og den erstatter ikke en fornuftig udleveringsform. Hvad aftalen konkret giver jer af rettigheder, er et juridisk spørgsmål.