Læs det hele, før du svarer på noget
Et sikkerhedsspørgeskema ligner en liste, men det er en fortælling om én ting: om kunden kan betro dig sine data. Skim hvert ark og hver kolonne, før du skriver et eneste ord. Du vil finde det samme spørgsmål stillet på tre måder, adgangsstyring under "Identitet", "Drift" og "Cloud", spørgsmålene, der kun gælder, hvis du selv gemmer data, og dem, der diskret beder om et dokument i stedet for et svar. Når du ved det på forhånd, undgår du de to dyreste fejl: at modsige dig selv på tværs af ark og at svare på noget, der ikke gjaldt for dig.
Mens du læser, så markér tre ting: hvad der ikke er relevant og hvorfor, hvad der kræver et dokument, du allerede har, og hvad der kræver en person, som ikke er dig.
Svar ud fra det, I faktisk gør, skriftligt
Den bedste kilde til et svar er ikke det seneste spørgeskema, det er din egen politik, procedure eller konfiguration. Åbn adgangskontrolpolitikken, og svar på spørgsmålene om adgangskontrol ud fra den. Når politikken og virkeligheden ikke stemmer overens, har spørgeskemaet netop fundet et hul. Svar med virkeligheden, og ret politikken, aldrig omvendt. Dem, der gennemgår, læser hundredvis af disse, og et svar, der citerer et rigtigt dokument med en rigtig ejer, læses anderledes end et, der er skrevet for at lyde rigtigt.
Hvis du ikke har en politik for området, så sig det, og beskriv praksis. Det er et ærligt svar, og det accepteres langt oftere, end teams forventer.
Hold én stemme og ét sæt fakta
To hundrede svar skrevet af seks personer i seks stilarter ligner seks virksomheder. Beslut stemmen én gang: første person flertal, nutid, konkret. "Vi gennemgår adgangsrettigheder kvartalsvist; IT-lederen ejer gennemgangen, og resultaterne opbevares i sagsstyringssystemet" er formen at sigte efter. Hold derefter fakta ens overalt: hvis du siger, at backups testes månedligt på ark ét, testes de månedligt på ark fire.
Det er her, et delt svarbibliotek viser sin værdi. Et svar, du godkendte sidste kvartal, er udgangspunktet for dette, og når fakta ændrer sig, ændrer du det ét sted.
Vedhæft dokumentation, hvor der bliver bedt om den, ikke overalt
Nogle spørgsmål kræver et dokument: politikken, det seneste sammendrag af penetrationstesten, certifikatet. Vedhæft dem, og navngiv dem, så den, der gennemgår materialet, ved, hvad vedkommende åbner. Vedhæft ikke hele politikmappen til hvert ark. Hvis man skal åbne tolv filer for at verificere én kontrol, vil man antage, at de andre er fyld. Vores guide om hvilken dokumentation du skal vedhæfte gennemgår de mest almindelige ønsker.
Markér det, du er i tvivl om
Hvert spørgeskema har ti spørgsmål, hvor det ærlige svar er "Det tror jeg, men jeg er nødt til at tjekke". Markér dem til den person, der ved det, i stedet for at gætte. Prisen for et forkert "ja" er en samtale om en sikkerhedshændelse atten måneder senere, med dit spørgeskema som bilag A. Prisen for en markering er en dag.
Send det tilbage i den fil, de sendte
Kunder behandler spørgeskemaer i det layout, de har valgt, ofte med et værktøj på deres side. Behold deres kolonner, deres ark og deres nummerering, og udfyld den svarkolonne, de har givet dig. Et spørgeskema, der kommer tilbage som en PDF med en anden struktur, bliver kopieret ud i hånden af en på deres team, og dine svar mister deres formatering og nogle gange deres betydning undervejs.
Gem alt til næste gang
Det andet spørgeskema fra en kunde er kun lettere end det første, hvis du gemte det første. Gem de godkendte svar, den dokumentation du vedhæftede, hvem der svarede på hvad, og datoen. Næste kvartal skal du svare på de samme to hundrede spørgsmål fra en anden kunde, og firs procent af arbejdet er allerede gjort, hvis svarene stadig er rigtige. Sæt en udløbsdato på dem, der bliver forældede (certifikater, testrapporter, antal medarbejdere), så du kontrollerer dem igen i stedet for at sende dem igen.
Sådan ser det ud med et værktøj bygget til formålet
Responsemate klarer den mekaniske del af ovenstående: Den læser kundens fil, finder kolonnerne med spørgsmål og svar på hvert ark, laver udkast til hvert svar ud fra dine politikker, dokumenter og tidligere svar, viser hvilke kilder den har brugt, og hvor sikker den er, lader dit team gennemgå og godkende, og eksporterer til den fil, kunden sendte. Vurderingen bliver hos dig. Sådan fungerer spørgeskemaforløbet.
Spørgsmål, folk stiller
Hvem bør besvare et sikkerhedsspørgeskema?
Én ejer, der koordinerer, og de personer, der faktisk driver hvert område: infrastruktur, HR, jura, produktteamet. Ejeren sikrer én stemme, specialisterne leverer fakta. Et svar, som ingen i virksomheden vil stå inde for, er værre end "ikke relevant" med en begrundelse.
Hvad hvis vi ikke har en politik for noget, de spørger om?
Sig det, og sig, hvad du gør i stedet. "Vi har ikke en skriftlig politik for X; i praksis gør vi Y" er et ærligt svar, som dem, der gennemgår, respekterer, og det er begyndelsen på den politik, du skriver næste kvartal.
Hvor detaljeret skal et svar på et sikkerhedsspørgeskema være?
Nok til, at den, der gennemgår, kan verificere det: kontrollen, hvem der ejer den, hvor ofte den kører, og hvor dokumentationen findes. To eller tre sætninger er som regel nok. Et afsnit med beroligelser uden fakta fører til et opfølgende spørgsmål.