Sikkerhed som salgsargument uden at love for meget

Et softwarehus, der tester sit produkt, retter fundene og kan vise det, har noget at fortælle kunderne. Risikoen opstår, når fortællingen bliver til et løfte om, at produktet er sikkert. Et salgsargument om sikkerhed holder, når det hviler på dokumentation, kunden selv kan efterprøve: hvad I gør, hvor ofte, hvem der gør det, og hvad det viste. Det, I ikke kan dokumentere, hører ikke hjemme i argumentet.

Løftet og dokumentationen er to forskellige ting

Et løfte siger noget om fremtiden og om resultatet: kundens data er beskyttet, produktet lever op til de højeste krav. En dokumenteret oplysning siger noget om det, der er sket: produktet blev testet af en uafhængig tester i en bestemt måned, de høje fund er rettet og efterprøvet.

Kundens sikkerhedsfolk kan kun bruge det sidste. Den britiske NCSC skriver, at en penetrationstest kun kan vise, at systemerne ikke var sårbare over for kendte problemer på det tidspunkt, testen blev udført. Et argument, der går længere end det, kan testen ikke bære. Forskellen har også betydning for kunden. En indkøber, der skal begrunde sit valg af leverandør over for sin egen ledelse eller revisor, kan henvise til en dateret rapport og en beskrevet praksis. Et løfte i en salgstekst kan indkøberen ikke henvise til, fordi ingen kan efterprøve det. Det kan også binde jer, hvis formuleringen ender i et tilbud eller en kontrakt. Ledelsens ansvar for den slags udsagn er beskrevet på sikkerhedstesten.dk.

Hvad I faktisk kan vise

Gør en liste over det, I har dokumentation for. Den kan være længere, end salget er klar over:

Testpraksis · at produktet testes af en uafhængig part, i hvilken rytme og med hvilket omfang.
Seneste test · dato, version og hvilke dele af produktet der var med.
Opfølgning · at fund bliver rettet efter alvorlighed, og at rettelserne efterprøves.
Kontaktvej · en fast adresse for sikkerhedsspørgsmål og for meldinger om sårbarheder.
Dokumenter til kunder · resumé, erklæringsbrev eller kundeversion, der kan udleveres under fortrolighed.
Certificering eller erklæring · fx ISO 27001 eller en revisorerklæring, hvis I har en, med det omfang den dækker.

Hver linje kan efterprøves af en kunde, der beder om at se dokumentet. Det er den egenskab, der gør oplysningen til et argument og ikke til et løfte. → Sikkerhedspakken

Lav samtidig en kort liste over det, I ikke kan dokumentere endnu. Den er lige så nyttig, fordi den viser, hvor salget skal holde igen, og hvad næste test eller næste dokument bør dække. Har I fx ingen test af API’et, så skal API’et heller ikke nævnes i et sikkerhedsargument, før det er testet. Listen kan også bruges i ledelsen, når næste års budget for test skal lægges.

Sådan bliver argumentet konkret

Skriv argumentet som praksis frem for som tilstand. En sætning om, at produktet testes hvert år af en uafhængig tester, og at dokumentationen kan udleveres, siger noget kunden kan bruge. En sætning om, at produktet er sikkert, siger intet, kunden kan kontrollere.

Brug de samme ord som i jeres dokumenter. Står der webapplikation og API i omfangsafsnittet, så skriv ikke hele platformen i salgsmaterialet. Står der en bestemt måned i rapporten, så skriv ikke løbende. Små forskelle mellem salgstekst og rapport bliver set af kundens sikkerhedsfolk, og de svækker tilliden til begge. → Testen i salgsmaterialet

Lad også det, I ikke gør, stå klart, når det er relevant. Er kontornettet ikke testet, eller er en ny integration endnu ikke med, så sig det, før kunden spørger. Et præcist forbehold viser, at I kender jeres egen dokumentation. → Formidl et godt resultat ærligt

Hvor argumentet hører hjemme i salget

Sikkerhed som argument virker bedst, hvor kunden har brug for det: i tilbuddet til en kunde med en leverandørpolitik, i et møde med kundens IT-ansvarlige og på jeres tillidsside. I en bred annonce er der sjældent plads til omfang og dato, og uden dem bliver budskabet et løfte. → Tillidsside

Giv sælgerne et kort, godkendt grundlag, de kan bruge ordret, og en klar grænse for, hvornår de skal sende spørgsmålet videre. Så bliver argumentet det samme fra alle i huset. Grundlaget skal skrives af dem, der kender testen, og godkendes af den, der ejer kundekravene, så ingen sælger kommer til at formulere det på egen hånd under et pressende møde. → Salgsteamet og sikkerhedsspørgsmål

Når konkurrenten lover mere

En konkurrent kan skrive, at deres løsning er fuldt sikret eller certificeret til det højeste niveau. Det er fristende at matche formuleringen. Gør det ikke. Svar i stedet med det, I kan vise, og tilbyd kunden at sammenligne dokumentationen. En kunde med sikkerhedsfolk kan spørge begge leverandører om dato, omfang og status for fund, og så tæller det, der kan dokumenteres. Bliver kunden alligevel overbevist af det største løfte, er det et salg, I ikke kunne have vundet med dokumentation, og et løfte, I ikke kunne have holdt. Notér gerne, hvilke spørgsmål kunden stillede, så næste test eller næste dokument kan svare på dem. → Når konkurrenten har en rapport

Et tænkt eksempel

Et softwarehus med et system til ejendomsadministration vil bruge sikkerhed i salget til boligselskaber. Det første udkast til salgsteksten lover, at beboernes data er fuldt beskyttet. Den sikkerhedsansvarlige skriver det om: produktet testes årligt af en uafhængig tester, seneste test dækkede webapplikationen, beboerportalen og API’et, høje fund er rettet og efterprøvet, og et resumé kan udleveres under fortrolighed. Teksten får en dato og en ejer, så den bliver opdateret efter næste test.

Det skal I lade være med

Love et resultat · beskriv praksis og dokumentation.
Bruge superlativer · de kan ikke efterprøves og vækker mistro hos fagfolk.
Skrive bredere end rapporten · omfanget i salgsteksten skal passe til omfanget i testen.
Nævne en certificering uden dens omfang · kunden skal kunne se, hvad den dækker.
Lade salgsteksten leve videre efter en ny test · giv den en dato og en ejer.
Matche en konkurrents løfter · svar med det, I kan vise.

Hvad kan og ikke kan konkluderes

Et dokumenteret salgsargument viser, at I har en praksis for test og opfølgning, og at kunden kan efterprøve den. Det siger ikke, at produktet er uden svagheder, og det fritager ikke for de svar, kunden kræver i sin egen leverandørvurdering. Teksten er ikke juridisk rådgivning om markedsføring eller kontrakter.