Sikkerhedsspørgeskemaer og leverandørvurdering

Kundens sikkerhedsspørgeskema kan være det første sted, penetrationstesten bliver et emne. Spørgsmålet ser enkelt ud, men svaret binder jer: hvornår blev der testet, hvad var med, hvem testede, og står der fund åbne? Det samme gælder spørgsmålene om udvikling, adskillelse mellem kunderne og underleverandører.

Artiklerne her handler om at svare med det, I kan dokumentere, om standardiserede skemaer som CAIQ og SIG, og om at bygge et svarbibliotek, så næste skema går hurtigere.

Begynd her

• Sikkerhedsspørgeskema fra kunden: sådan griber I det an
• Spørgsmålet om penetrationstest i skemaet: hvad svarer I?
• I har endnu ikke fået lavet en test: et ærligt svar i skemaet
• Hvor ofte tester I? Sådan svarer I præcist på spørgsmålet
• Skemaet spørger til åbne fund: hvad bør I oplyse?
• Svar, I ikke kan dokumentere: risikoen ved at love for meget

Flere artikler i temaet

• Standardiserede spørgeskemaer: CAIQ, SIG og kundens egne
• Et svarbibliotek: genbrug svar uden at love for meget
• Hvem i softwarehuset skal svare på sikkerhedsspørgsmål?
• Kunden spørger, hvem der testede: uafhængighed og kvalifikationer
• Ja, nej eller delvist: når svaret ikke passer i skemaet
• Kompenserende foranstaltninger: når et krav ikke er opfyldt
• Scanning og pentest i samme spørgsmål: hold dem adskilt i svaret
• Opfølgende spørgsmål fra kundens sikkerhedsteam
• Sikkerhedsmødet med kunden: forbered gennemgangen
• Skemaet ligger i kundens vurderingsportal
• Kunden henviser til en ekstern sikkerhedsrating af jeres domæner
• Spørgsmål om sikker udvikling og kodegennemgang
• Spørgsmål om adskillelse af kundernes data
• Spørgsmål om hosting og underleverandører i skemaet
• Spørgsmål om hændelser og håndtering af sårbarheder
• Samme skema hvert år: hvad ændrer I i svarene?
• Når kunden bruger SikkerDigitals leverandørværktøj

Del af: Artikler om pentestrapporten

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest af SaaS hos Nielco IT