Et svarbibliotek: genbrug svar uden at love for meget

Efter det tredje eller fjerde sikkerhedsspørgeskema opdager nogle softwarehuse, at de skriver de samme svar igen og igen, bare med lidt forskellig ordlyd. Et svarbibliotek samler de godkendte svar ét sted, så de kan genbruges. Det hviler på tre ting: hvert svar har en ejer, hvert svar har en dato, og ingen kopierer et svar uden at kontrollere, at det stadig er rigtigt.

Uden de tre ting bliver biblioteket en samling af gamle løfter. Et svar om testfrekvens, der var sandt for to år siden, kan være forkert i dag, og når det bliver kopieret ukritisk ind i et nyt skema, har I lovet noget, I ikke holder.

Hvad et bibliotek skal indeholde

Hver post i biblioteket er mere end en tekst. Den består af:

Spørgsmålet · i en neutral formulering, gerne med henvisning til de standardiserede skemaer, hvor samme spørgsmål stilles.
Svaret · den godkendte tekst i en kort og en lidt længere udgave.
Dokumentationen · det dokument, svaret bygger på, fx en politik, en pentestrapport eller en procedure.
Ejeren · den person eller rolle, der står inde for svaret.
Datoen · hvornår svaret senest blev kontrolleret.
Gyldighed · om svaret gælder produktet, hele virksomheden eller en bestemt version.

Felterne gør det muligt at se, om et svar stadig kan bruges, uden at skulle spørge rundt hver gang. Formen er mindre vigtig end disciplinen. Et delt regneark kan fungere fint i et lille softwarehus, så længe der er styr på, hvem der må ændre i det, og at der kun findes én gældende udgave.

Byg det op fra de skemaer, I allerede har svaret på

Start ikke med et tomt dokument. Saml de skemaer, I har sendt det seneste år, og træk de svar ud, der går igen. Et standardiseret skema som CAIQ er et godt udgangspunkt, fordi det dækker mange af de emner, andre skemaer også spørger til. → Standardiserede spørgeskemaer

Gennemgå hvert udtrukket svar med den, der har ansvaret for området. Er svaret rigtigt i dag? Kan det dokumenteres? Er det skrevet, så det passer til flere kunder, eller er det tilpasset en bestemt kundes ordlyd? Først når svaret er gennemgået, kommer det ind i biblioteket. Svar, der viste sig at være for brede eller upræcise, er værd at notere særskilt. Har en tidligere kunde fået et svar, der ikke længere holder, bør I overveje at rette det over for kunden, især hvis svaret indgår i en aktiv aftale.

Ejerskab og godkendelse

Et svar uden ejer forældes i stilhed. Giv hvert svar en ejer: udviklingschefen for spørgsmål om sikker udvikling, driftsansvarlig for hosting og backup, den sikkerhedsansvarlige for test og sårbarheder, og ledelsen for politikker og organisation. Ejeren skal godkende ændringer og kontrollere svaret, når det er tid. → Hvem i softwarehuset skal svare på sikkerhedsspørgsmål?

Sælgerne skal kunne bruge biblioteket, men ikke ændre i det. Hvis et skema stiller et spørgsmål, som biblioteket ikke dækker, går spørgsmålet til ejeren, og det nye svar kommer ind i biblioteket, når det er godkendt. Det tager lidt længere tid første gang, men det betyder, at sælgeren aldrig står alene med et teknisk spørgsmål og en frist, og at ingen improviserede svar sniger sig ind i kundernes dokumentation.

Dato og revision

Et svar skal have en dato for seneste kontrol, og der skal være en fast anledning til at se det igen. Nogle svar ændrer sig sjældent, fx en beskrivelse af organisationen. Andre ændrer sig ofte, især alt, der handler om test. Hver gang en ny pentest er gennemført, skal svarene om test, fund og frekvens opdateres samme uge, ikke når næste skema dukker op.

Andre anledninger til revision er en ny version af produktet, en ny hostingudbyder, en ændret politik eller en hændelse. Knyt revisionen til de processer, I allerede har, fx frigivelse af en ny version, så den ikke bliver glemt. Sæt desuden en fast dato om året, hvor ejerne gennemgår hele deres del af biblioteket, også de svar, der tilsyneladende ikke har ændret sig. → Samme skema hvert år

Genbrug med omtanke

Det største problem ved et bibliotek er, at det gør det let at svare for hurtigt. Et spørgsmål, der ligner et i biblioteket, kan spørge om noget lidt andet. Læs altid det nye spørgsmål, før svaret indsættes, og tilpas det, hvis kunden spørger til et andet modul, en anden periode eller et strengere krav.

Vær særlig varsom med svar om penetrationstest. Det er de svar, kunderne kan kontrollere mod en rapport. Tjek, at dato, omfang og status for fund i svaret stemmer med den rapport eller det resumé, kunden får, hvis de beder om det. → Hvor ofte tester I?

Et svar fra biblioteket må heller ikke love mere, end det oprindeligt gjorde. Hvis en sælger strammer ordlyden for at gøre et svar mere attraktivt, er det ikke længere det godkendte svar. → Svar, I ikke kan dokumentere

Et tænkt eksempel

Et softwarehus med en løsning til digital tidsregistrering har besvaret seks skemaer på et år. Svarene ligger i mails og regneark hos tre forskellige sælgere. Den sikkerhedsansvarlige samler dem og finder mange spørgsmål, der kan koges ned til en håndfuld emner: test, udvikling, hosting, adgang, hændelser og organisation. Hvert emne får en ejer og et godkendt svar. Da den årlige pentest er afsluttet, opdateres afsnittet om test samme dag. Næste skema besvares hurtigere, og svarene stemmer overens med hinanden, fordi de kommer fra samme kilde.

Det skal I lade være med

Kopiere et svar uden at læse det nye spørgsmål · ordlyden kan være anderledes.
Lade svar stå uden dato · ingen kan se, om de stadig gælder.
Lade alle redigere i biblioteket · godkendte svar skal have en ejer.
Vente med at opdatere testsvarene · gør det, når rapporten foreligger.
Stramme ordlyden for at sælge bedre · så er svaret ikke længere godkendt.

Hvad kan og ikke kan konkluderes

Et svarbibliotek gør jeres svar hurtigere og mere ensartede. Det gør dem ikke mere sande. Kvaliteten afhænger af den gennemgang, hvert svar har fået, og af, at biblioteket holdes ajour. Et bibliotek, der ikke vedligeholdes, er en risiko, fordi det får gamle svar til at se aktuelle ud.

Tjekliste til svarbiblioteket

☐ Har hvert svar en ejer og en dato for seneste kontrol?
☐ Er dokumentationen bag hvert svar angivet?
☐ Er det klart, om et svar gælder produktet eller hele virksomheden?
☐ Opdateres testsvarene, så snart en ny rapport foreligger?
☐ Kan sælgerne læse, men ikke ændre, i biblioteket?
☐ Er revisionen knyttet til jeres faste processer, fx frigivelse af nye versioner?

Senest gennemgået: oktober 2026.