Skemaet ligger i kundens vurderingsportal

Flere og flere kunder samler deres leverandørvurderinger i en webportal i stedet for at sende et regneark. For softwarehuset betyder det, at svarene og dokumenterne havner i et system, som kunden eller en tredjepart driver, og som I ikke selv styrer. Et godt forløb hviler på, at I ved, hvem der har adgang til portalen fra begge sider, hvad der bliver gjort med de dokumenter, I lægger op, og hvordan svarene bliver holdt ajour.

Kort sagt: behandl portalen som en udlevering. Det, I uploader, er delt med kunden og muligvis med andre, og det bør vælges med samme omhu, som hvis det blev sendt som fil.

Hvorfor kunderne bruger portaler

En portal gør det lettere for kunden at håndtere mange leverandører. Spørgsmålene kan sendes ud på én gang, svarene kan sammenlignes, og dokumenter som erklæringer og politikker samles ét sted. Nogle portaler giver også kunden en samlet score eller en oversigt over risici pr. leverandør.

Nogle portaler drives af kunden selv, andre af en tredjepart, som flere kunder bruger. I det sidste tilfælde kan jeres svar og dokumenter være synlige for andre kunder, hvis I giver lov. Læs derfor indstillingerne for deling, før I svarer. → Sikkerhedsspørgeskema fra kunden

Hvem fra jer har adgang

Invitationen kan gå til én mailadresse, fx sælgerens eller den kundeansvarliges. Det er ikke nødvendigvis den rette person til at svare på alle spørgsmål. Find ud af, om portalen tillader flere brugere fra jeres side, og om I kan fordele spørgsmål mellem dem.

Hold styr på, hvem der har adgang. Når en medarbejder stopper, kan adgangen til kundens portal være glemt, fordi den ikke ligger i jeres egne systemer. Notér portalerne i den samme oversigt som jeres andre kundekontakter om sikkerhed, med navnet på den, der har adgang. → Et fast kontaktpunkt for kundernes sikkerhedsspørgsmål

Svar, der passer til portalen

Portaler kan have faste svarmuligheder og kortere kommentarfelter end et regneark. Det gør det sværere at give et nuanceret svar. Hvis et spørgsmål ikke passer til mulighederne, så brug kommentarfeltet, hvis det findes, og hold forklaringen kort og præcis. → Ja, nej eller delvist

Nogle portaler beregner en score ud fra svarene. Lad ikke scoren styre svarene. Et ja, der ikke kan dokumenteres, giver måske en bedre score i dag, men det bliver et problem, når kunden beder om dokumentationen.

Brug jeres svarbibliotek som udgangspunkt, og kopier svarene ind med omtanke. Portalens spørgsmål kan være formuleret lidt anderledes end dem, I har svaret på før, og et genbrugt svar skal stadig passe til det, der bliver spurgt om.

Dokumenter i portalen

Portaler kan bede om dokumentation: en pentestrapport eller erklæring, en sikkerhedspolitik, et certifikat. Her er det vigtigt at tænke over, hvad der lægges op.

Hvem kan se dokumentet · kun kunden, kundens rådgiver eller også portalens andre brugere?
Hvor længe ligger det · bliver det slettet, når vurderingen er færdig, eller bliver det liggende?
Kan det hentes ned · eller kun læses i portalen?
Er der krav om fortrolighed · eller accepterer I portalens almindelige vilkår?

Overvej at lægge et resumé eller en erklæring fra testeren op frem for den hele rapport. Skriv i portalen, at den fulde rapport kan gennemgås på et møde eller udleveres under fortrolighed. Så er dokumentationen på plads uden at de tekniske detaljer ligger i et system, I ikke styrer. → Læseadgang eller vedhæftet fil · → Hel rapport, resumé eller erklæring

Når svarene skal fornys, og vilkårene skal læses

En portal er ikke et engangsskema. Svarene bliver liggende, og nogle portaler sender en påmindelse, når kunden vil have dem bekræftet eller opdateret. Andre gør det ikke, og så kan et svar fra sidste år stå uændret, selv om en ny pentest er udført, eller et fund er rettet.

Sæt derfor portalen på den liste over steder, hvor jeres svar ligger, og gennemgå den, når noget væsentligt ændrer sig. Det gælder især, når der kommer en ny rapport, når en underleverandør skiftes ud, eller når et åbent fund bliver lukket. Et opdateret svar i portalen kan spare en runde opfølgende spørgsmål, og det viser kunden, at oplysningerne bliver vedligeholdt. → Samme skema hvert år

Husk også at fjerne dokumenter, der er blevet forældede. En gammel rapport, der stadig ligger i portalen ved siden af en ny, kan forvirre kunden.

Til sidst er der portalens egne vilkår. Når I opretter en bruger i en portal, accepterer I måske portalens vilkår. De kan sige noget om, hvem der må bruge jeres oplysninger, og til hvad. Læs dem, før I lægger fortrolige dokumenter op, eller lad den, der normalt tager stilling til aftaler, læse dem.

Hvis vilkårene ikke passer til jeres krav om fortrolighed, så tal med kunden. Kunden kan ofte tilbyde en anden vej til de dokumenter, I ikke vil lægge i portalen. Teksten her er ikke juridisk rådgivning.

Et tænkt eksempel

En leverandør af et system til ordrehåndtering får en invitation til en portal fra en ny kunde i detailhandlen. Portalen beder om svar på et sæt spørgsmål og om upload af seneste pentestrapport.

Softwarehuset tilføjer udviklingschefen som ekstra bruger, så de tekniske spørgsmål kan besvares direkte. Før rapporten lægges op, læser den kundeansvarlige portalens indstillinger for deling og ser, at dokumenter kan gøres synlige for andre kunder af portalen. Softwarehuset vælger at lægge testerens erklæring op, slår deling med andre fra og skriver i kommentarfeltet, at den fulde rapport kan gennemgås på et møde. Kunden accepterer.

Det skal I lade være med

Lægge den fulde rapport op uden at tænke · Portalen er ikke jeres system.
Lade én medarbejder eje adgangen alene · Den forsvinder, når personen stopper.
Svare efter scoren · Svaret skal kunne dokumenteres.
Overse indstillingerne for deling · Dokumenter kan blive synlige for flere end kunden.
Glemme at opdatere svarene · Nogle portaler beder om fornyelse, og gamle svar bliver liggende.

Hvad kan og ikke kan konkluderes

En portal ændrer formen, ikke indholdet. Svarene skal være lige så præcise som i et regneark, og dokumenterne skal vælges med samme omhu. En høj score i en portal siger ikke i sig selv noget om produktets sikkerhed, kun om hvordan svarene passede til portalens model.