Sikkerhedspakken: dokumentation klar til kundernes indkøb

Når en kundes indkøb åbner en leverandørvurdering, begynder en strøm af anmodninger: et skema, en rapport, en beskrivelse af hostingen, en kontaktperson. Et softwarehus, der samler sit faste materiale i en sikkerhedspakke, kan svare på dage frem for uger og med samme ord hver gang. Svaret på, hvad pakken skal rumme, hviler på, hvad en kunde skal bruge for at vurdere jer, og på, hvor meget der kan udleveres uden en aftale om fortrolighed. Pentesten er ét dokument i pakken, ikke hele pakken, og den skal passe ind i det, de andre dokumenter siger.

Hvad en sikkerhedspakke er

En sikkerhedspakke er et sæt dokumenter, som er godkendt til udlevering og holdes opdateret. Den kan ligge som en samling filer, i en portal eller bag en tillidsside. Det vigtige er, at indholdet er gennemgået på forhånd, så den, der sender det, ikke skal vurdere hvert dokument på ny.

Pakken erstatter ikke spørgeskemaet. Kunden vil stadig have sine egne spørgsmål besvaret, og nogle kunder vil bruge deres eget skema under alle omstændigheder. Men en del af svarene kan henvise til et dokument i pakken, og det gør svarene kortere og mere ensartede. → Sikkerhedsspørgeskema fra kunden

Indholdet, del for del

Indholdet afhænger af produktet og kunderne, men disse dele kan være et udgangspunkt.

En kort oversigt · to sider om produktet, hostingen, adskillelsen mellem kunder og jeres sikkerhedsarbejde.
Et besvaret standardskema · fx CAIQ fra Cloud Security Alliance, som kunden kan læse i stedet for at sende sit eget.
Dokumentation for test · et resumé af den seneste pentest eller et erklæringsbrev fra testeren.
Certifikater og erklæringer · det, I har, med henvisning til udstederen.
Politik for sårbarheder · kontaktvej og proces for meldinger udefra.
Underleverandører i driften · hvem der hoster produktet, og hvilke tjenester det bygger på.
Kontaktpunktet · hvem kunden skal skrive til om sikkerhed.

Cloud Security Alliance beskriver CAIQ som et skema med ja/nej-spørgsmål, som kunder kan bruge til at vurdere cloudleverandører, og som skal mindske gentagne vurderinger. Et udfyldt skema i pakken kan derfor spare både jer og kunden for arbejde. → Standardiserede spørgeskemaer

Pentesten i pakken

Det, kunden skal bruge om testen, er ikke nødvendigvis den fulde rapport i første omgang. Et resumé, der viser omfang, testperiode, version, testerens uafhængighed og status på fund, kan dække behovet i en tidlig vurdering. Den fulde rapport eller en kundeversion kan udleveres senere, til navngivne personer og efter en aftale om fortrolighed. → Hel rapport, resumé eller erklæring

Sørg for, at resuméet i pakken passer til den nyeste test, og at datoen fremgår tydeligt. En pakke med et resumé fra en test, der er ældre end det, kunden accepterer, svækker resten af materialet. Hav en plan for, hvornår resuméet skiftes ud, og hvad I gør, hvis den nye test bliver forsinket. → Rapport under et år

To niveauer: åbent og fortroligt

Del pakken i to, så den, der sender materialet, ikke skal overveje fortroligheden for hvert enkelt dokument. Den åbne del kan sendes til enhver kommende kunde og kan ligge på en tillidsside. Den fortrolige del kræver en anmodning, en navngiven modtager og en aftale om fortrolighed.

FIRST’s Traffic Light Protocol kan bruges til at mærke dokumenterne, så modtageren kan se, hvordan de må deles. TLP:CLEAR betyder ingen begrænsning ud over almindelig ophavsret. TLP:AMBER betyder, at modtageren kun må dele oplysningerne med dem, der har brug for dem, i egen organisation og hos dens kunder. Mærket erstatter ikke en aftale, men det gør jeres forventning tydelig på selve dokumentet. → Fortrolighed begge veje

Registrer, hvem der har fået den fortrolige del og hvornår. Kommer der en ny version, ved I, hvem der skal have den, og hvem der har en forældet udgave. → Log over, hvem der har fået rapporten

Ejerskab og opdatering

En sikkerhedspakke skal have en ejer. Det kan være den sikkerhedsansvarlige eller den tekniske chef, men det skal være én person, der godkender ændringer og sørger for, at alle dele hænger sammen.

Giv hvert dokument en version og en dato, og saml dem i en indholdsfortegnelse. Gennemgå pakken efter hver test, efter ændringer i hostingen og efter ændringer i certificeringer. Gennemgå den også, når et svar i et spørgeskema har afsløret et hul i materialet. Et svar, der skulle skrives fra bunden, er måske et nyt dokument, der hører hjemme i pakken.

Tag også stilling til, hvad der skal ud af pakken. Et dokument om en hostingløsning, I har forladt, eller et certifikat, der er udløbet, skal fjernes, ikke blot overhales af en nyere version. Gamle dokumenter, der bliver liggende, kan blive sendt ved en fejl, og så får kunden et billede, der ikke længere passer. Hold en kort historik over, hvad der er fjernet og hvornår, så I kan svare, hvis en kunde spørger til et dokument, de fik for et år siden.

Et tænkt eksempel

Et softwarehus med en løsning til digitale formularer brugte flere arbejdsdage på den seneste kundes leverandørvurdering. Hver gang finder nogen de samme dokumenter frem i forskellige versioner.

Softwarehuset samler en pakke: en oversigt på to sider, et udfyldt CAIQ, et resumé af den seneste pentest, en liste over driftsleverandører og politikken for sårbarheder. Oversigten og politikken mærkes TLP:CLEAR, resuméet og skemaet TLP:AMBER. Den tekniske chef bliver ejer. Ved den næste vurdering sender sælgeren den åbne del samme dag og den fortrolige del efter underskrift, og kunden vender tilbage med en kortere liste spørgsmål.

Det skal I lade være med

Lægge den fulde rapport i den åbne del · den hører til en kontrolleret udlevering.
Sende forskellige versioner til forskellige kunder · én godkendt version ad gangen.
Lade pakken stå uden ejer · så forældes den stille.
Glemme datoerne · kunden skal kunne se, hvor gammelt hvert dokument er.
Bruge pakken som svar på alt · kundens egne spørgsmål skal stadig besvares.

Hvad kan og ikke kan konkluderes

En sikkerhedspakke kan gøre leverandørvurderinger hurtigere, ensartede og lettere at følge op på. Den kan vise kunderne, at I har styr på jeres dokumentation, og at pentesten er en del af et større billede. Den gør ikke dokumenterne bedre, end de er, og den afgør ikke, om kunden godkender jer som leverandør.

Tjekliste til pakken

☐ Er der en åben og en fortrolig del?
☐ Er resuméet af pentesten fra den nyeste test?
☐ Har hvert dokument en version og en dato?
☐ Er dokumenterne mærket, så modtageren ved, hvordan de må deles?
☐ Har pakken en ejer?
☐ Registreres udleveringer af den fortrolige del?

Kilder

Cloud Security Alliance: Cloud Controls Matrix og CAIQ: CAIQ som ja/nej-spørgsmål til vurdering af cloudleverandører, der kan mindske gentagne vurderinger.
FIRST: Traffic Light Protocol (TLP): mærkerne TLP:CLEAR og TLP:AMBER og deres regler for videregivelse.

Senest gennemgået: oktober 2026.