Alles lesen, bevor Sie irgendetwas beantworten
Ein Sicherheitsfragebogen sieht aus wie eine Liste, erzählt aber eine Geschichte über eine einzige Sache: ob der Kunde Ihnen seine Daten anvertrauen kann. Überfliegen Sie jedes Tabellenblatt und jede Spalte, bevor Sie ein Wort schreiben. Sie werden dieselbe Frage dreimal anders gestellt finden (Zugriffskontrolle unter „Identität“, „Betrieb“ und „Cloud“), die Fragen, die nur gelten, wenn Sie Daten selbst hosten, und die, die stillschweigend ein Dokument statt einer Antwort verlangen. Das vorab zu wissen, erspart die zwei teuersten Fehler: sich zwischen Tabellenblättern zu widersprechen und etwas zu beantworten, das für Sie gar nicht galt.
Markieren Sie beim Lesen drei Dinge: was nicht zutrifft und warum, was ein Dokument braucht, das Sie bereits haben, und was eine Person braucht, die nicht Sie sind.
Aus dem antworten, was Sie tatsächlich tun, schriftlich belegt
Die beste Quelle für eine Antwort ist nicht der letzte Fragebogen, sondern Ihre eigene Richtlinie, Ihr Verfahren oder Ihre Konfiguration. Öffnen Sie die Richtlinie zur Zugriffskontrolle und beantworten Sie die Fragen zur Zugriffskontrolle daraus. Wo Richtlinie und Realität auseinandergehen, hat der Fragebogen gerade eine Lücke gefunden; antworten Sie mit der Realität und korrigieren Sie die Richtlinie, nie umgekehrt. Prüfer lesen Hunderte davon, und eine Antwort, die ein echtes Dokument mit einem echten Verantwortlichen zitiert, liest sich anders als eine, die nur gut klingen soll.
Wenn Sie für den Bereich keine Richtlinie haben, sagen Sie es und beschreiben Sie die Praxis. Das ist eine ehrliche Antwort, und sie wird weit häufiger akzeptiert, als Teams erwarten.
Eine Stimme, ein einziger Faktenbestand
Zweihundert Antworten von sechs Personen in sechs Stilen wirken wie sechs Unternehmen. Legen Sie die Stimme einmal fest: erste Person Plural, Präsens, konkret. „Wir prüfen Zugriffsrechte vierteljährlich; die IT-Leitung verantwortet die Prüfung, die Ergebnisse liegen im Ticketsystem“ ist die Form, die Sie anstreben sollten. Halten Sie dann die Fakten überall identisch: Wenn auf Tabellenblatt eins steht, dass Backups monatlich getestet werden, werden sie auch auf Tabellenblatt vier monatlich getestet.
Hier zahlt sich eine gemeinsame Antwortbibliothek aus. Eine Antwort, die Sie im letzten Quartal freigegeben haben, ist der Ausgangspunkt für diese, und wenn sich der Fakt ändert, ändern Sie ihn an einer Stelle.
Nachweise dort anhängen, wo sie verlangt werden, nicht überall
Manche Fragen verlangen ein Dokument: die Richtlinie, die Zusammenfassung des letzten Penetrationstests, das Zertifikat. Hängen Sie diese an und benennen Sie sie so, dass der Prüfer weiß, was er öffnet. Hängen Sie nicht den ganzen Richtlinienordner an jedes Tabellenblatt; ein Prüfer, der zwölf Dateien öffnen muss, um eine Kontrolle zu verifizieren, hält die übrigen für Füllmaterial. Unser Leitfaden dazu, welche Nachweise Sie anhängen sollten, geht die üblichen Anforderungen durch.
Markieren, wo Sie unsicher sind
Jeder Fragebogen hat zehn Fragen, bei denen die ehrliche Antwort lautet: „Ich glaube schon, müsste aber nachsehen“. Kennzeichnen Sie diese für die Person, die es weiß, statt zu raten. Ein falsches „Ja“ kostet achtzehn Monate später ein Gespräch über einen Sicherheitsvorfall, mit Ihrem Fragebogen als Beweisstück A. Eine Kennzeichnung kostet einen Tag.
In der Datei zurückschicken, die sie geschickt haben
Kunden verarbeiten Fragebögen in dem Layout, das sie gewählt haben, oft mit einem Werkzeug auf ihrer Seite. Behalten Sie ihre Spalten, ihre Tabellenblätter und ihre Nummerierung bei und füllen Sie die Antwortspalte, die sie Ihnen gegeben haben. Ein Fragebogen, der als PDF mit anderer Struktur zurückkommt, wird von jemandem in ihrem Team von Hand abgeschrieben, und Ihre Antworten verlieren unterwegs ihre Formatierung und manchmal ihren Sinn.
Alles für das nächste Mal aufbewahren
Der zweite Fragebogen eines Kunden ist nur dann leichter als der erste, wenn Sie den ersten aufbewahrt haben. Bewahren Sie die freigegebenen Antworten, die angehängten Nachweise, wer was beantwortet hat und das Datum auf. Im nächsten Quartal beantworten Sie dieselben zweihundert Fragen für einen anderen Kunden, und achtzig Prozent der Arbeit sind schon erledigt, vorausgesetzt, die Antworten stimmen noch. Geben Sie denen, die altern (Zertifikate, Testberichte, Mitarbeiterzahlen), ein Ablaufdatum, damit Sie sie neu prüfen, statt sie erneut zu verschicken.
So sieht das mit einem dafür gebauten Werkzeug aus
Responsemate übernimmt die mechanische Hälfte davon: Es liest die Datei des Kunden, findet auf jedem Tabellenblatt die Frage- und Antwortspalten, entwirft jede Antwort aus Ihren Richtlinien, Dokumenten und früheren Antworten, zeigt, welche Quellen es genutzt hat und wie sicher es ist, lässt Ihr Team prüfen und freigeben und exportiert in die Datei, die der Kunde geschickt hat. Das Urteil bleibt bei Ihnen. So funktioniert der Fragebogen-Ablauf.
Häufige Fragen
Wer sollte einen Sicherheitsfragebogen beantworten?
Eine verantwortliche Person, die koordiniert, und die Leute, die die Bereiche tatsächlich betreiben: Infrastruktur, Personal, Recht, das Produktteam. Die verantwortliche Person hält die eine Stimme; die Fachleute liefern die Fakten. Eine Antwort, hinter der niemand im Unternehmen stehen würde, ist schlechter als „nicht zutreffend“ mit Begründung.
Was, wenn wir für etwas, das abgefragt wird, keine Richtlinie haben?
Sagen Sie es, und sagen Sie, was Sie stattdessen tun. „Wir haben keine schriftliche Richtlinie für X; in der Praxis Y“ ist eine ehrliche Antwort, die Prüfer respektieren, und sie ist der Anfang der Richtlinie, die Sie im nächsten Quartal schreiben.
Wie viel Detail braucht eine Antwort in einem Sicherheitsfragebogen?
So viel, dass der Prüfer es verifizieren kann: die Kontrolle, wer sie verantwortet, wie oft sie läuft und wo die Nachweise liegen. Zwei oder drei Sätze reichen meist. Ein Absatz Beruhigung ohne Fakten bringt eine Rückfrage.