Sikkerhedsmødet med kunden: forbered gennemgangen

Når en kunde inviterer til et møde om sikkerhed, kan det være, fordi skemaet og dokumenterne har efterladt spørgsmål, der er lettere at tage ansigt til ansigt. Et godt møde hviler på en kendt dagsorden, de rette deltagere fra jeres side og en klar beslutning om, hvad der vises, og hvad der bliver i huset.

Forberedelsen er det, der afgør udbyttet. Et møde, hvor I kender kundens spørgsmål på forhånd, har rapporten ved hånden og ved, hvor grænsen for deling går, kan ende med en afklaring. Et møde uden forberedelse ender med en ny liste spørgsmål.

Få dagsordenen på forhånd

Bed kunden om de emner, mødet skal dække, og om navnene på deltagerne. Nogle kunder sender en liste af sig selv. Gør de ikke, så spørg. Det er ikke et tegn på mistillid, men på at I vil bruge mødet godt.

Med dagsordenen kan I finde de svar i skemaet, der hører til hvert punkt, og se, om noget har ændret sig siden. I kan også se, om der er emner, som kræver en bestemt person fra jeres side, fx arkitekturen bag adskillelsen af kundedata eller planen for de åbne fund fra seneste test. → Opfølgende spørgsmål fra kundens sikkerhedsteam

Hvem fra jer skal deltage

Hold jeres deltagerliste kort og faglig. Kunden vil tale med dem, der ved noget, ikke med flest muligt.

Den, der ejer kunderelationen · leder mødet, holder tiden og sørger for opfølgning.
En faglig ansvarlig · udviklingschef, CTO eller sikkerhedsansvarlig, der kan svare på de tekniske spørgsmål på begrebsniveau.
Den, der ejer pentesten · kender omfang, fund og status, hvis det ikke er samme person som ovenfor.
Ledelsen, hvis kunden stiller med ledelse · så beslutninger om forpligtelser kan tages på stedet eller udskydes bevidst.

Aftal før mødet, hvem der svarer på hvad. Intet virker mere usikkert end to kolleger, der giver forskellige svar på samme spørgsmål foran kunden.

Hvad I viser

Mødet er en god anledning til at vise det, I ikke vil sende som fil. Det kan være udvalgte dele af pentestrapporten, oversigten over fund og deres status, eller hvordan adgangen for jeres supportmedarbejdere er sat op.

Vælg på forhånd, hvilke dele af rapporten I vil vise, og hav dem klar. Omfangsafsnittet og resuméet er næsten altid relevante. Detaljerne om enkelte fund er det kun, hvis kunden har spurgt til dem, og hvis de er rettet eller kan forklares uden at give en opskrift. → Kunden vil se de tekniske bilag

Forbered også et kort overblik over produktets opbygning på begrebsniveau. En enkel tegning af, hvor kundedata ligger, hvordan kunderne er adskilt, og hvilke underleverandører der indgår, svarer på mange spørgsmål på én gang.

Hvad der ikke deles, heller ikke på skærmen

Lige så vigtigt som at vide, hvad der vises, er at vide, hvad der ikke gør. Beslut det, før mødet begynder, så ingen skal improvisere.

Ikke rettede fund i detaljer · status og plan ja, beskrivelse af svagheden nej.
Andre kunders oplysninger · heller ikke som eksempler.
Hemmeligheder og adgangsoplysninger · selv på en skærm, der kun vises kort.
Rapporten som fil · medmindre det er aftalt under fortrolighed.

Hvis kunden beder om noget, I ikke er forberedt på at dele, så sig, at I tager stilling til det efter mødet. Det er et bedre svar end at dele noget under pres. → Kunden skal skrive under på fortrolighed

Mange sikkerhedsmøder holdes på video, og det giver nogle praktiske hensyn. Luk andre vinduer og faner, før skærmen deles, og vis kun det dokument eller den skærm, der er tale om. Brug en kopi af rapporten, hvor det kun er de udvalgte sider, der er åbne.

Spørg ved mødets start, om kunden optager mødet. Det er ikke usædvanligt, men det ændrer, hvad der bør vises på skærmen. En optagelse er i praksis det samme som en kopi af det, der blev vist. Og husk, at det, der står i chatfeltet under mødet, også kan blive gemt.

Et tænkt eksempel

En leverandør af et system til elevadministration bliver inviteret til et møde med en kommunal kundes sikkerhedsfolk. Dagsordenen har tre punkter: seneste pentest, adskillelse mellem skoler i systemet og håndtering af sårbarheder.

Fra softwarehuset deltager den kundeansvarlige og udviklingschefen. De viser rapportens omfangsafsnit og resumé, en oversigt over fund med status og en tegning af, hvordan skolernes data holdes adskilt. Kunden spørger til et enkelt åbent fund, og udviklingschefen forklarer status og plan uden at beskrive selve svagheden. Kunden beder om rapporten som fil, og den kundeansvarlige svarer, at det kan ske efter en fortrolighedsaftale. Referatet sendes dagen efter.

Efter mødet

Skriv et kort referat og send det til kunden. Det skal indeholde de spørgsmål, der blev besvaret, de svar, der blev givet, og de punkter, I har lovet at vende tilbage med. Giv hvert åbent punkt en ansvarlig og en dato. Hvis kunden selv skriver et referat, så bed om at se det, og ret misforståelser med det samme. Et referat, hvor et svar er gengivet for bredt, kan senere blive læst som et løfte, I aldrig har givet.

Før referatet sendes, så tjek, at det ikke indeholder mere, end I ville skrive i en mail. Et referat bliver delt, gemt og læst af personer, der ikke var med. Og før nye svar tilbage i jeres svarbibliotek, så de er klar næste gang. → Et svarbibliotek

Det skal I lade være med

Møde op uden dagsorden · Så bliver mødet en ny runde spørgsmål.
Tage hele organisationen med · Få deltagere med faglig viden virker stærkere.
Dele skærm uden at rydde op · Andre kunders data og interne beskeder kan blive vist.
Beskrive åbne svagheder i detaljer · Status og plan er nok.
Love noget, ingen har besluttet · Notér det, og vend tilbage.
Springe referatet over · Uden det husker parterne mødet forskelligt.

Hvad kan og ikke kan konkluderes

Et forberedt møde kan afklare spørgsmål, som et skema ikke kan, og vise kunden, at jeres folk kender produktet. Det kan ikke erstatte dokumentationen; kunden vil stadig have noget på skrift. Og et godt møde ændrer ikke kundens krav, men det giver begge parter et fælles grundlag for at vurdere, om kravene er opfyldt.