Sådan ser et svar ud, der bliver accepteret
Hvert svar nedenfor gør fire ting på få sætninger: det nævner kontrollen, det nævner, hvem der ejer den, det siger, hvor ofte den udføres, og det siger, hvor dokumentationen findes. De svage versioner gør det modsatte: de beroliger. Gennemgåere bliver betalt for ikke at lade sig påvirke af beroligende formuleringer.
Adgangskontrol
Spørgsmål: Hvordan tildeles, gennemgås og tilbagekaldes brugeradgangsrettigheder?
Svagt: Vi følger princippet om mindst mulige rettigheder, og adgang er strengt kontrolleret.
Bedre: Adgang anmodes via en ticket og godkendes af systemejeren. Konti oprettes kun med rollens standardrettigheder. IT-lederen gennemgår alle adgangsrettigheder kvartalsvist mod HR-listen, og gennemgangen registreres i ticketsystemet. Adgang tilbagekaldes på den sidste arbejdsdag som en del af HR-tjeklisten for fratrædelser. Adgangskontrolpolitikken er vedhæftet.
Kryptering
Spørgsmål: Er kundedata krypteret i hvile og under overførsel?
Svagt: Ja, vi bruger kryptering efter branchestandard.
Bedre: Under overførsel bruger alle forbindelser TLS 1.2 eller nyere. Ældre protokoller er slået fra på belastningsfordeleren. I hvile er databaser og sikkerhedskopier krypteret med AES-256 med nøgler, der administreres af hostingudbyderens nøgletjeneste. Nøgler roteres årligt. Bærbare computere er krypteret på hele disken og administreres centralt.
Sikkerhedskopier
Spørgsmål: Hvor ofte tages og testes sikkerhedskopier?
Svagt: Der tages sikkerhedskopier regelmæssigt, og de kan gendannes efter behov.
Bedre: Databaser sikkerhedskopieres hver time med gendannelse til et bestemt tidspunkt og opbevares i 35 dage; fillagring replikeres på tværs af to regioner. En fuld gendannelse til et separat miljø testes hvert kvartal af platformsteamet; den seneste test var i June, og loggen er vedhæftet. Gendannelsespunktsmålet er én time, gendannelsestidsmålet er fire timer.
Hændelsesrespons
Spørgsmål: Har I en plan for hændelseshåndtering, og hvornår blev den senest øvet?
Svagt: Vi har en omfattende proces for hændelsesrespons.
Bedre: Incident response-planen ejes af chefen for engineering og definerer alvorlighedsniveauer, vagtplanen, kommunikation med kunder inden for 24 timer ved hændelser, der påvirker deres data, og en gennemgang efter hændelsen inden for fem arbejdsdage. Den blev senest øvet i en tabletop i marts med et simuleret læk af legitimationsoplysninger. Resultaterne blev lukket i april. Planen er vedhæftet.
Sårbarhedsstyring
Spørgsmål: Hvordan identificerer og retter du sårbarheder?
Svagt: Vi patcher hurtigt og overvåger for sårbarheder.
Bedre: Afhængigheder scannes, hver gang der bygges, og operativsystemaftryk scannes ugentligt. Fund prioriteres efter alvorlighed med udbedringsmål på 7 dage for kritiske fund og 30 dage for høj alvorlighed. En ekstern penetrationstest udføres årligt. Opsummeringen fra marts er vedhæftet, og alle fund er lukket. Sikkerhedsrettelser udgives uden for den normale udgivelsescyklus, når det er nødvendigt.
Underdatabehandlere
Spørgsmål: Hvilke tredjeparter behandler kundedata?
Svagt: Vi arbejder kun med betroede leverandører, der overholder kravene.
Bedre: Kundedata behandles af vores hostingudbyder (EU-region), vores udbyder til e-maillevering og vores AI-udbyder, hver under en databehandleraftale. Den aktuelle liste med placeringer og formål er offentliggjort på vores website, og kunder får besked om ændringer 30 dage i forvejen. Vores egne medarbejdere tilgår kun produktionsdata via navngivne konti med logning.
Forretningskontinuitet
Spørgsmål: Hvordan vil I fortsætte driften ved et større nedbrud?
Svagt: Vi har redundans på plads for at sikre høj tilgængelighed.
Bedre: Tjenesten kører i to tilgængelighedszoner med automatisk omskiftning. Et fuldt regionalt nedbrud er dækket af backup og infrastruktur som kode, med en testet genopbygningstid på fire timer. Kontinuitetsplanen angiver beslutningstageren og vejen for kundekommunikation. Senest afprøvet i den kvartalsvise gendannelsestest, resultat vedhæftet.
Medarbejdere og oplæring
Spørgsmål: Får medarbejdere sikkerhedstræning?
Svagt: Alt personale får træning i sikkerhedsbevidsthed.
Bedre: Alle medarbejdere gennemfører sikkerhedstræning i deres første uge og derefter årligt med opfølgning fra HR, den aktuelle gennemførelsesgrad er 100 procent. Udviklere gennemfører desuden træning i sikker udvikling årligt. Phishingsimuleringer kører hvert kvartal, og resultaterne indgår i den næste træning.
Hvorfor de virker
Hvert bedre svar kan tjekkes af en reviewer på fem minutter, og en reviewer, der kan tjekke ét svar, har mere tillid til det næste. De svage svar kan slet ikke tjekkes, så de fører til et opfølgende spørgsmål og, over to hundrede rækker, et ry. Responsemate laver udkast til svar i den bedre form ud fra dine egne politikker og tidligere svar, med kilden vedhæftet, så gennemgangen handler om at tjekke fakta i stedet for at skrive tekst. Sådan fungerer udkast.
Spørgsmål, folk stiller
Kan vi genbruge disse eksempler?
Kun formen. Alle fakta i dem er opfundet. Et svar kopieret fra et websted er en påstand, du ikke kan dokumentere, og dem, der gennemgår, stiller opfølgende spørgsmål.
Hvor langt bør et svar være?
To til fire sætninger til de fleste spørgsmål. Længe nok til at nævne kontrollen, ejeren, frekvensen og dokumentationen. Alt, der er længere, betyder som regel, at svaret beroliger mere, end det informerer.