Start med at skrive ned, hvad du allerede gør
En virksomhed med ti personer har mere sikkerhedspraksis, end den har sikkerhedsdokumenter. Bærbare computere er krypteret, fordi operativsystemet gør det. Adgang gives af én person, som kender alle. Sikkerhedskopier kører, fordi hostingudbyderen kører dem. Kode gennemgås, fordi to personer ser på hver ændring. Intet af det er skrevet ned, og et spørgeskema spørger netop efter det. Brug den første formiddag på at skrive én side pr. område: hvem har adgang til hvad, og hvordan ændrer det sig, hvordan kommer kode i produktion, hvor ligger data, og hvordan sikkerhedskopieres de, hvad sker der, hvis nogen mister en bærbar computer, hvad sker der, hvis tjenesten går ned. Enkle sætninger, den aktuelle virkelighed. Den side er din politik til spørgeskemaet og begyndelsen på den rigtige.
Støt dig til dine leverandører
Det meste af din infrastruktursikkerhed ligger hos din hostingudbyder, og de har besvaret disse spørgsmål offentligt. Deres compliancesider, deres offentliggjorte spørgeskemaer og deres certificeringer besvarer spørgsmålene om fysisk sikkerhed, datacenter, kryptering i hvile og tilgængelighed for dig. Citér dem ved navn, og tilføj den ene sætning om, hvad du konfigurerer ovenpå: hvilken region, hvilken krypteringsindstilling, og hvem der har nøglerne. Det samme gælder dine e-mail-, betalings- og identitetsudbydere.
Sig, hvad du ikke har, og hvornår du får det
Du vil have huller: endnu ingen penetrationstest, ingen formel hændelsesplan, intet program for sikkerhedstræning. Svaret, der holder aftalen i live, er konkret: "Der er ikke udført en ekstern penetrationstest; en er planlagt til fjerde kvartal med en navngiven leverandør. Afhængigheder scannes ved hvert build." De ansvarlige for gennemgangen hos store kunder har en proces for at acceptere leverandører med huller og en plan. De har ikke en for leverandører, der påstod, at de ikke havde nogen huller, og blev opdaget.
Gem det første spørgeskema, det er dit bibliotek
De 180 svar, du skriver i denne uge, er de fleste af svarene til det næste spørgeskema og det næste igen. Gem dem et bedre sted end i den sendte e-mail: ét sted, med dato og en note om, hvem der har bekræftet hvert svar. Når noget ændrer sig, du ansætter, du skifter region, eller testen bliver gennemført, opdaterer du det ene svar, det påvirker. Det andet spørgeskema tager en dag i stedet for en uge, og det tredje tager en eftermiddag.
Få de tre dokumenter, der åbner for de fleste aftaler
Hvis du kun skriver tre dokumenter i år, så skriv informationssikkerhedspolitikken (ensidesdokumenterne ovenfor, samlet i ét dokument med en ejer og en dato for gennemgang), beredskabsplanen for hændelser (hvem beslutter, hvem fortæller kunderne, inden for hvilken tid) og underdatabehandlerlisten med en skabelon til databehandleraftale. De tre besvarer de spørgsmål, der oftest stopper indkøb.
Når det er tid til et værktøj
Når spørgeskemaer kommer hurtigere, end én person kan besvare dem ud fra hukommelsen, gør et værktøj bygget til opgaven biblioteket til udkast og holder styr på datoerne. Responsemate bruges af små teams til præcis dette: importere kundens fil, lave udkast til hvert svar ud fra oversigterne på én side og det seneste spørgeskema, gennemgå dem, den markerer som usikre, eksportere i kundens format og gemme det hele til det næste. Sådan bruger en lille leverandør det.
Spørgsmål, folk stiller
Har vi brug for ISO 27001 for at sælge til store kunder?
Som regel ikke, men du skal besvare deres spørgeskema ordentligt. Mange kunder accepterer en lille leverandør uden certificering, hvis svarene er konkrete, ærlige og understøttet af de få dokumenter, der betyder noget. Certifikatet bliver omkostningen værd, når spørgeskemaerne begynder at komme hver uge.
Hvad hvis vi svarer "nej" på mange spørgsmål?
Svar "nej", og fortæl, hvad du gør i stedet, eller hvornår du planlægger at gøre det. En gennemgår vil hellere se femten ærlige huller med datoer end femten vage ja-svar. Det er vage ja-svar, der senere ikke holder i revisioner.