Opfølgende spørgsmål fra kundens sikkerhedsteam

Det udfyldte spørgeskema er ikke altid slutningen på kundens gennemgang. Når kundens sikkerhedsteam har læst svarene, kan der komme en ny runde spørgsmål, og den runde kan afgøre, om aftalen går videre. Et godt forløb hviler på, at I forstår, hvad der udløste spørgsmålet, lader den rette person svare, og holder svarene i tråd med det, I allerede har skrevet.

Opfølgende spørgsmål er altså ikke et tegn på, at noget er galt. De betyder, at kunden har læst svarene grundigt og har brug for at forstå noget bedre. Behandl dem som en chance for at præcisere, ikke som et angreb, der skal afværges.

Hvad der kan udløse en ny runde

Opfølgende spørgsmål kan spores tilbage til et bestemt svar i skemaet. Det hjælper at finde det svar, før I skriver tilbage. Udløsere kan være:

Et delvist svar · kunden vil vide, hvilken del der mangler, og hvornår den kommer.
Et svar uden dokumentation · kunden beder om rapporten, erklæringen eller politikken.
Uoverensstemmelse · to svar i skemaet siger noget forskelligt om det samme.
Uklare ord · fx “løbende test” eller “branchestandard”, som kunden ikke kan vurdere.
Kundens egne regler · kunden har et krav, der går videre end skemaet spurgte om.
Nyheder · en kendt sårbarhed eller en hændelse i branchen, som kunden vil høre jer om.

Når I kender udløseren, kan svaret rettes direkte mod den. Et opfølgende spørgsmål om testens omfang besvares bedst med omfangsafsnittet fra rapporten, ikke med en ny beskrivelse af hele sikkerhedsarbejdet. → Omfangsafsnittet

Hvem skal svare

Det første skema blev måske udfyldt af salg eller af den, der ejer kunderelationen. Opfølgende spørgsmål går tit et lag dybere, og så skal svaret komme fra den, der faktisk kender forholdet. Det kan være udviklingschefen, den driftsansvarlige eller den, der bestilte pentesten.

Hold kontakten samlet ét sted, så kunden ikke får svar fra tre personer, der ikke har talt sammen. Den, der ejer kunderelationen, kan sende svarene, men de faglige formuleringer bør skrives eller godkendes af den, der ved, hvad der er rigtigt. → Hvem i softwarehuset skal svare på sikkerhedsspørgsmål?

Svar på skrift eller på et møde

Mange opfølgende spørgsmål kan besvares skriftligt. Andre er lettere at tage på et møde, særligt når de handler om, hvordan produktet er bygget, eller når kunden vil se detaljer, der ikke bør stå i en mail.

En god tommelfingerregel er at svare skriftligt, når spørgsmålet er afgrænset og svaret kan stå alene, og at foreslå et møde, når der er flere spørgsmål, der hænger sammen, eller når svaret kræver, at kunden ser noget. Mødet bør afsluttes med et kort skriftligt referat, så begge parter har det samme billede bagefter. → Sikkerhedsmødet med kunden

Hold svarene præcise og i tråd med skemaet

Det opfølgende svar bliver læst sammen med skemaet. Hvis det nye svar siger noget andet end det første, skal I forklare hvorfor. Måske var det første svar upræcist, måske er forholdene ændret siden. Begge dele er i orden, hvis I siger det åbent.

Det værste er et nyt svar, der stille modsiger det gamle. Kundens sikkerhedsfolk sammenligner, og en modsigelse uden forklaring svækker tilliden til hele skemaet. Har I opdaget en fejl i det oprindelige svar, så ret den udtrykkeligt: “Svaret til spørgsmål 14 var upræcist. Den korrekte status er …”. → Svar, I ikke kan dokumentere

Kunden kan vente på jeres svar, før næste skridt i indkøbet kan tages. Det gør det fristende at svare samme dag, også når svaret ikke er klar. Det er bedre at kvittere hurtigt og sige, hvornår der kommer et fuldt svar. En kvittering med en dato giver kunden noget at planlægge efter og jer tid til at få de faglige svar godkendt.

Hvis et spørgsmål kræver, at nogen undersøger noget, fx om en bestemt integration var med i testen, så sig det. “Vi undersøger det og svarer senest fredag” er et bedre svar end et gæt. Og hvis svaret viser sig at være, at integrationen ikke var med, er det langt lettere at skrive, når I ikke allerede har antydet det modsatte i en hurtig mail.

Når kunden beder om rapporten

Et meget almindeligt opfølgende spørgsmål er en anmodning om selve pentestrapporten. Her skal I have besluttet på forhånd, hvad I udleverer: den hele rapport, en kundeversion, et resumé eller et erklæringsbrev fra testeren. Beslutningen bør ikke tages i hast, fordi en kunde venter på svar.

Hvis kunden vil have mere, end I normalt udleverer, så spørg, hvad oplysningerne skal bruges til. Ofte kan kundens behov dækkes af et resumé og et møde, hvor de konkrete spørgsmål bliver gennemgået. → Hel rapport, resumé eller erklæring

Et tænkt eksempel

Et softwarehus, der leverer et system til tidsregistrering, har sendt et udfyldt skema til en kunde i forsyningssektoren. To uger senere kommer fem spørgsmål. Tre handler om pentesten: hvilken version af systemet blev testet, var integrationen til lønsystemet med, og er de åbne fund rettet. To handler om adgangsstyring for supportmedarbejdere.

Softwarehuset svarer skriftligt på de tre første med oplysninger fra rapportens omfangsafsnit og en dateret status på fundene. De to om supportadgang tages på et kort møde, hvor udviklingschefen viser, hvordan adgang tildeles og logges, uden at dele skærmbilleder bagefter. Et referat sendes samme dag. Kunden har et svar på alle fem punkter, og intet er sendt videre, som ikke burde.

Det skal I lade være med

Svare hurtigt frem for præcist · Et forhastet svar skaber endnu en runde.
Lade flere personer svare uafhængigt · Kunden får modstridende oplysninger.
Ændre et svar uden at sige det · Kunden sammenligner med skemaet.
Sende detaljer, der hører til et møde · En mail bliver videresendt.
Udlevere rapporten, fordi kunden presser · Beslut det efter jeres egen politik.
Glemme at føre svarene tilbage i svarbiblioteket · Så skal samme arbejde gøres igen næste gang.

Hvad kan og ikke kan konkluderes

Opfølgende spørgsmål viser, at kunden tager vurderingen alvorligt, og at skemaet har efterladt noget uafklaret. De siger ikke, at kunden har fundet et problem. Et præcist og samlet svar kan lukke spørgsmålene, men kan ikke ændre kundens krav, hvis kravet går videre end det, I har.