Sikkerhedsspørgeskema fra kunden: sådan griber I det an

Et sikkerhedsspørgeskema kan lande hos sælgeren med en frist, der passer kundens indkøbsproces og ikke jeres kalender. Et godt resultat hviler på en fast arbejdsgang i fire trin: modtag skemaet og afklar rammerne, fordel spørgsmålene til dem, der kender svaret, svar præcist og kun med det, I kan dokumentere, og gem svarene, så næste skema går hurtigere.

Skemaet er kundens måde at vurdere jer som leverandør. Hvert svar bliver en del af kundens dokumentation og kan blive læst igen, hvis der senere sker noget. Det gør skemaet til mere end en formalitet i salget, og det er grunden til, at det fortjener en arbejdsgang frem for en hurtig udfyldning i sidste øjeblik.

Modtag skemaet og afklar rammerne

Før nogen begynder at svare, skal fire ting være klare.

Fristen · hvornår skal svaret være hos kunden, og kan den flyttes, hvis skemaet er omfattende?
Formen · regneark, dokument eller kundens egen portal med login og faste svarmuligheder?
Afgrænsningen · gælder spørgsmålene produktet, hele virksomheden eller en bestemt leverance?
Kontakten · hvem hos kunden kan svare på opklarende spørgsmål undervejs?

Afgrænsningen er den vigtigste. Mange skemaer er skrevet til alle typer leverandører og spørger både til kontornettet, rengøringsfirmaets adgang og produktets kryptering. Spørg, om nogle afsnit kan springes over, og skriv det ned, hvis I vælger at svare for produktet alene. → Skemaet ligger i kundens vurderingsportal

Kend skemaets type

Nogle kunder bruger et standardiseret skema, som mange andre også bruger. Andre har skrevet deres eget eller fået en rådgiver til det. Et standardiseret skema har den fordel, at I kan genbruge meget fra gang til gang. Et hjemmelavet skema kræver mere omhu, fordi formuleringerne kan være uklare, og fordi samme begreb kan betyde noget forskelligt fra kunde til kunde. → Standardiserede spørgeskemaer: CAIQ, SIG og kundens egne

Fordel spørgsmålene

Intet skema kan besvares af én person i et softwarehus. Sælgeren kender kunden, udviklerne kender koden, driften kender hostingen, og ledelsen ejer politikkerne. Gå skemaet igennem og sæt en ejer på hvert afsnit. Den, der ejer afsnittet, skriver udkastet. Én person samler, ensretter sproget og holder øje med fristen. Sæt en intern frist et par dage før kundens, så der er tid til at læse det hele igennem og til at stille kunden opklarende spørgsmål, hvis nogle formuleringer viser sig at være uklare.

Aftal også, hvem der godkender det endelige svar. Når skemaet indeholder løfter om, hvordan I arbejder, bør nogen med ansvar for sikkerheden læse det hele igennem, før det sendes. Den læsning fanger de svar, der er rigtige hver for sig, men som tilsammen tegner et billede, I ikke kan stå inde for. → Hvem i softwarehuset skal svare på sikkerhedsspørgsmål?

Svar præcist og kun med det, I kan vise

Et godt svar er kort, konkret og kan dokumenteres. Det svarer på det, der står, og ikke på et bredere spørgsmål, man kunne have stillet. Når spørgsmålet lyder, om I har en adgangspolitik, er svaret ja eller nej, eventuelt med navnet på dokumentet og datoen for seneste opdatering. Lange forklaringer om, hvor vigtig sikkerhed er for jer, gør ikke svaret stærkere. Kundens sikkerhedsfolk leder efter fakta, og ekstra tekst gør dem sværere at finde.

Tre principper holder svarene på sporet:

Svar for det, der findes i dag · planer beskrives som planer med en dato, ikke som noget, der allerede er på plads.
Henvis til dokumentation · navngiv politik, rapport eller procedure, så kunden kan bede om den.
Brug kommentarfeltet · når et ja eller nej ikke dækker virkeligheden, så forklar kort.

Spørgsmålet om penetrationstest kan være det, kunden lægger mest vægt på. Svaret skal sige, hvad der blev testet, hvornår og af hvem, og hvordan fundene er håndteret. → Spørgsmålet om penetrationstest i skemaet

Undgå at love for meget for at komme hurtigt videre i salget. Et svar, der ikke holder, er sværere at rette senere end et ærligt delvist svar nu. → Svar, I ikke kan dokumentere

Dokumentér og gem

Når skemaet er sendt, så gem det samlede svar sammen med dato, kundens navn, version og den, der godkendte. Hvis kunden senere spørger, hvad I svarede, eller hvis en anden kunde stiller samme spørgsmål, har I et grundlag. Gem også de bilag, I sendte med, så I ved præcis, hvilken rapport eller politik kunden har fået. Det er især vigtigt for pentestrapporten, fordi den skal kunne følges: hvem har fået hvilken version, hvornår, og på hvilke vilkår om fortrolighed.

De bedste svar bør flyttes ind i et fælles bibliotek, som næste skema kan bygge på. Hvert svar i biblioteket skal have en ejer og en dato, så ingen genbruger et svar, der ikke længere passer. → Et svarbibliotek

Når kunden vender tilbage med spørgsmål

Det er almindeligt, at kundens sikkerhedsfolk læser svarene og beder om uddybning, dokumentation eller et møde. Det er et tegn på, at skemaet bliver brugt, ikke på at svarene var dårlige. Svar inden for samme arbejdsgang: samme ejer, samme godkendelse og samme registrering. Hvis et opfølgende spørgsmål afslører, at et tidligere svar var for bredt, så ret det over for kunden med det samme i stedet for at håbe, at det ikke bliver opdaget. → Opfølgende spørgsmål fra kundens sikkerhedsteam

Det skal I lade være med

Lade sælgeren udfylde skemaet alene · tekniske svar kræver dem, der kender produktet.
Svare ja til alt for at holde salget i gang · kunden kan bede om dokumentation for hvert ja.
Besvare afsnit, der ikke vedrører jer · afklar afgrænsningen i stedet for at gætte.
Kopiere gamle svar uden at læse dem · et svar fra sidste år kan være forkert i dag.
Glemme at gemme det sendte svar · uden en kopi kan I ikke vise, hvad I lovede.

Hvad kan og ikke kan konkluderes

Et udfyldt skema viser, hvad I oplyser om jeres sikkerhed på en bestemt dato. Det er jeres egen erklæring, ikke en uafhængig vurdering, og kunden ved det. Derfor vejer de svar mest, der kan underbygges med dokumentation, fx en pentestrapport eller en certificering. Et præcist skema med enkelte nej er mere troværdigt end et skema med ja i alle felter.