Hel rapport, resumé eller erklæring: hvad giver I kunden?

Den samme penetrationstest kan vises til kunder i tre former: et kort erklæringsbrev (testerklæring) fra testeren, et resumé af rapporten eller hele rapporten. Valget afgør, hvor meget kunden kan vurdere, og hvor meget viden om jeres svagheder der forlader huset. Det rigtige valg hviler på kundens formål, på hvor langt I er i salget, og på hvad rapporten indeholder af åbne fund.

For et softwarehus med mange kunder er det ikke en beslutning, der skal træffes forfra hver gang. Det fungerer bedre med en fast trappe: en standardleverance, som alle kan få, og klare betingelser for at gå et trin op.

De tre leverancer kort

Erklæringsbrevet · en side fra testeren, der bekræfter, at testen er udført, hvad den omfattede, hvornår, og den overordnede status. Den røber ingen detaljer om fund. → Erklæringsbrevet fra testeren
Resuméet · rapportens ledelsesresumé og omfangsafsnit, eventuelt med en oversigt over fund efter alvor og status. Det giver kunden mulighed for at vurdere testens bredde og resultatet uden tekniske detaljer.
Hele rapporten · alle fund med beskrivelser, dokumentation og anbefalinger. Den giver kunden det fulde billede og jer det største ansvar for, hvor oplysningerne ender.

Trappen virker kun, hvis dokumenterne findes. Et erklæringsbrev og et resumé, der kan stå alene, er ekstra leverancer, som skal aftales, når testen bestilles. Det samme gælder en kundeversion. Beder I først om dem, når kunden står og venter, tager det tid, og indholdet bliver ikke tænkt ind fra starten. Aftal også, at de tre dokumenter bruger samme testperiode, samme omfangsbeskrivelse og samme tal for fund, så en kunde, der senere får et trin mere, ikke møder et billede, der ser anderledes ud end det første.

Mellem resumé og hel rapport ligger kundeversionen, hvor de mest følsomme detaljer er udeladt. → Kundeversionen af rapporten

Hvad kunden skal bruge dokumentet til

Formålet er det vigtigste kriterium. En indkøber, der skal afslutte en leverandørgodkendelse, har måske brug for at se, at der er testet, af en uafhængig part og for nylig. Det dækker et erklæringsbrev. En sikkerhedsansvarlig, der skal vurdere, om produktet kan bære kundens data, vil oftere se omfanget og fordelingen af fund. Det dækker et resumé. En kunde, der skal integrere dybt med produktet eller har en revisor, der kræver det, kan have brug for flere detaljer.

Spørg derfor, hvad dokumentet skal bruges til, før I vælger. Svaret gør det også lettere at forklare kunden, hvorfor I tilbyder netop den form. → Hvad skal kunden bruge rapporten til?

Hvor I er i salget

Tidspunktet betyder noget. En kunde, der endnu ikke har skrevet under, er en part, I ikke har en aftale med om fortrolighed. At sende hele rapporten til en mulig kunde, der måske vælger en konkurrent, er en anden risiko end at sende den til en kunde med en underskrevet kontrakt.

En brugbar tommelfingerregel er derfor at give erklæringsbrevet tidligt i salget, resuméet, når kunden er alvorligt interesseret og har sagt ja til fortrolighed, og først hele rapporten eller kundeversionen, når der er en underskrevet aftale om fortrolighed. Reglen er jeres egen og kan tilpasses, men den skal være kendt af sælgerne, så den ikke forhandles om fra kunde til kunde. → Kunden skal skrive under på fortrolighed

Overvej også, hvem hos kunden der modtager dokumentet. Kommer anmodningen fra en ekstern rådgiver, som vurderer leverandører for kunden, er rådgiveren endnu en part, der skal være omfattet af fortroligheden. Spørg, om rådgiveren kan nøjes med det samme trin som kunden, eller om rådgiveren har brug for mere, og hvorfor.

Åbne fund trækker i retning af mindre detaljer

Jo flere alvorlige fund der stadig er åbne, jo mere følsom er rapporten. En detaljeret beskrivelse af en svaghed, der ikke er rettet, er præcis den oplysning, der ikke bør ligge i en mailboks hos en kunde. Når der er åbne fund af betydning, er resuméet med status og en plan ofte det rigtige niveau, indtil fundene er rettet og efterprøvet.

Det betyder ikke, at åbne fund skal skjules. Resuméet skal nævne dem med alvor og plan. Det er detaljerne om, hvordan svagheden kan udnyttes, der holdes tilbage. → Åbne fund i rapporten til kunden

Når kunden ikke vil nøjes

Nogle kunder accepterer kun hele rapporten. Det er ikke altid urimeligt, fx hvis kundens revisor eller egne regler kræver det. Før I siger ja, kan I tilbyde mellemformer:

Gennemsyn uden kopi · kunden ser rapporten på et møde eller i en læseadgang uden mulighed for at hente den.
Kundeversionen · hele rapporten med de mest følsomme detaljer udeladt.
Hele rapporten under fortrolighed · med en underskrevet aftale, navngivne modtagere og en dato for sletning.

Mellemformerne giver kunden mulighed for at vurdere selv uden at få en kopi, der kan cirkulere. → Læseadgang eller vedhæftet fil

Notér også, hvilke mellemformer I har tilbudt, og hvad kunden valgte. Når kunden vender tilbage ved fornyelsen, kan I tage udgangspunkt i det, der virkede sidst.

Et tænkt eksempel

Et softwarehus med en platform til elektroniske underskrifter har fastlagt sin trappe. Alle mulige kunder kan få erklæringsbrevet fra testeren. Kunder i en konkret forhandling kan få resuméet med omfang og fund efter alvor, når de har accepteret en kort fortrolighedserklæring. Kunder med en underskrevet aftale kan få kundeversionen efter skriftlig anmodning. Hele rapporten vises kun på et møde. Sælgerne kender trappen, og kun den sikkerhedsansvarlige kan gøre undtagelser. Udleveringerne noteres i en log. → Log over, hvem der har fået rapporten

Det skal I lade være med

Sende hele rapporten, fordi det er hurtigst · Det er den form, der giver mest viden væk.
Lade hver sælger beslutte selv · En fast trappe giver ens svar og færre fejl.
Skjule åbne fund i resuméet · Detaljerne kan holdes tilbage, ikke fundene.
Udlevere detaljer før en aftale om fortrolighed · Mulige kunder er ikke bundet af noget.
Lave jeres egen erklæring, der ligner testerens · Afsenderen skal være tydelig.
Bestille testen uden at aftale leverancerne · Så findes erklæringen ikke, når kunden spørger.

Hvad kan og ikke kan konkluderes

En fast fordeling mellem erklæring, resumé og hel rapport giver kunderne et forudsigeligt svar og begrænser, hvor mange detaljer om jeres svagheder der er i omløb. Den kan ikke garantere, at alle kunder accepterer den form, I tilbyder, og den ændrer ikke på, at hvert dokument kun beskriver testen, som den var. Hvilken form der er tilstrækkelig, afgør kunden.