De dokumenter, gennemgåere oftest beder om
På tværs af de fleste spørgeskemaer går de samme anmodninger igen, omtrent i denne rækkefølge efter hyppighed:
- Informationssikkerhedspolitikken og de politikker, den henviser til: adgangskontrol, acceptabel brug, dataklassificering, hændelsesrespons, forretningskontinuitet, leverandørstyring.
- Et aktuelt certifikat eller en aktuel attestation, hvis du har en: ISO 27001, SOC 2 Type II, ISAE 3000, Cyber Essentials eller din hostingudbyders.
- Det nyeste sammendrag af penetrationstesten med dato, omfang og status på fund. Sammendraget, ikke den fulde rapport, medmindre der bliver bedt om den.
- Forretningskontinuitets- eller katastrofeberedskabsplanen og dokumentation for, at den er testet: datoen og resultatet af den seneste øvelse.
- Databehandleraftalen og listen over underdatabehandlere.
- Dokumentation for cyberforsikring: certifikatet med dækning og udløb.
- Et organisationsdiagram eller en navngiven sikkerhedskontakt.
- Til SaaS: arkitekturoverblikket, dataflowet og hvor data gemmes.
Hav disse otte klar og navngivet, så behøver de fleste spørgeskemaer ikke andet.
Hvad hver af dem dokumenterer
Gennemlæsere læser ikke dokumentation for fornøjelsens skyld. De læser den for at bekræfte et udsagn. Dokumentet skal passe til udsagnet. Et certifikat beviser, at en revisor har kontrolleret omfanget på en bestemt dato. En politik beviser, at reglen findes, og hvem der ejer den. Et testresumé beviser, at nogen har ledt efter huller, og hvad der skete med dem, de fandt. En færdig øvelsesrapport beviser, at kontinuitetsplanen er mere end et dokument. Et svar, der siger "vi tester sikkerhedskopier hvert kvartal" og vedhæfter sidste kvartals testlog, er færdigt. Det samme svar med sikkerhedskopipolitikken vedhæftet indbyder til det opfølgende spørgsmål "men tester I det?".
Sæt navn og dato på alt
Den, der gennemgår "policy_final_v3 (2).pdf", lærer intet af navnet. Navngiv filer efter, hvad de er, og hvornår: "Access control policy, reviewed 2026-05.pdf", "Penetration test summary, 2026-03, external.pdf". Angiv også datoen for den seneste gennemgang inde i dokumentet; filnavnet går tabt, når kunden kopierer det ind i sit eget system.
Vedhæft, hvor der bliver bedt om det, ikke overalt
Vedhæft et dokument til det spørgsmål, der beder om det, og henvis til det ved navn fra relaterede spørgsmål ("se adgangskontrolpolitikken vedhæftet spørgsmål 4.2"). Hvis du vedhæfter hele politiksættet til hvert ark, skjuler du det ene dokument, den gennemgående person havde brug for, og fordobler størrelsen på den fil, du sender tilbage.
Resuméer af følsomt materiale
Nogle dokumenter hjælper en angriber lige så meget som den, der gennemgår: netværksdiagrammer med adresser, den fulde penetrationstest med trin til at reproducere fund, interne driftsvejledninger med systemnavne. For den type dokumenter skal du vedhæfte et resumé, der giver vedkommende det, de har brug for (omfang, dato, kategorier af fund, status for udbedring), og tilbyde det fulde dokument på et opkald eller i et datarum. De fleste, der gennemgår, accepterer dette uden indvendinger, fordi deres eget sikkerhedsteam ville sige det samme.
Hold dokumentation aktuel pr. dato
Dokumentation bliver forældet efter en tidsplan, du kender på forhånd: Certifikatet udløber, testen skal udføres, forsikringen skal fornys, politikken skal gennemgås årligt. Sæt de datoer på dokumenterne i dit svarbibliotek, og lad noget advare dig, før en kunde gør det. At sende et udløbet certifikat er den mest almindelige fejl i spørgeskemaer, som kan undgås, og den kan helt undgås.
I Responsemate
Filer i vidensbasen har en udløbsdato og en aktualitetsstatus, en natlig kontrol markerer det, der er blevet forældet, og dokumentation kan vedhæftes et spørgeskemasvar fra biblioteket med ét klik eller findes for dig af AI-assistenten, når et spørgsmål beder om det. Sådan fungerer filer og dokumentation.
Spørgsmål, folk stiller
Bør vi sende vores fulde politikker til en kunde?
Som regel selve politikken, ja, under den fortrolighed som spørgeskemaet allerede er omfattet af. Interne procedurer med systemnavne og netværksdetaljer er bedre at opsummere. Hvis et dokument ville hjælpe en angriber mere end den, der gennemgår det, så send et resumé, og tilbyd den fulde version på et opkald.
Hvad hvis vi ikke har en penetrationstest?
Sig det, sig hvornår den næste er planlagt, og beskriv, hvad du gør i stedet, sårbarhedsscanning, kodegennemgang eller bug bounty. En person, der gennemgår svaret, vil hellere vide det end få tilsendt en scanningsrapport, der er mærket som en test.
Hvor gammel må dokumentation være?
Et certifikat er gyldigt indtil udløbsdatoen. En penetrationstest, der er mere end et år gammel, bliver som regel udfordret. Politikker bør vise en gennemgang inden for det seneste år. Hvis et dokument er ældre, så vedhæft det med en note om, hvornår det næste gang bliver gennemgået.