Schreiben Sie zuerst auf, was Sie bereits tun
Ein Unternehmen mit zehn Leuten hat mehr Sicherheitspraxis als Sicherheitsdokumente. Laptops sind verschlüsselt, weil das Betriebssystem es tut; Zugriff vergibt eine Person, die alle kennt; Backups laufen, weil der Hosting-Anbieter sie laufen lässt; Code wird geprüft, weil zwei Leute auf jede Änderung schauen. Nichts davon ist aufgeschrieben, und ein Fragebogen fragt genau danach. Verbringen Sie den ersten Vormittag damit, pro Bereich eine Seite zu schreiben: wer worauf Zugriff hat und wie sich das ändert, wie Code in die Produktion kommt, wo Daten liegen und wie sie gesichert werden, was passiert, wenn jemand einen Laptop verliert, was passiert, wenn der Dienst ausfällt. Schlichte Sätze, der aktuelle Stand. Diese Seite ist Ihre Richtlinie für den Fragebogen und der Keim der echten.
Stützen Sie sich auf Ihre Anbieter
Der größte Teil Ihrer Infrastruktursicherheit liegt bei Ihrem Hosting-Anbieter, und der hat diese Fragen öffentlich beantwortet. Seine Compliance-Seiten, seine veröffentlichten Fragebögen und seine Zertifizierungen beantworten die Fragen zu physischer Sicherheit, Rechenzentrum, Verschlüsselung im Ruhezustand und Verfügbarkeit für Sie. Nennen Sie ihn beim Namen und ergänzen Sie den einen Satz dazu, was Sie darüber hinaus konfigurieren: welche Region, welche Verschlüsselungseinstellung, wer die Schlüssel hält. Dasselbe gilt für Ihre E-Mail-, Zahlungs- und Identitätsanbieter.
Sagen Sie, was Sie nicht haben, und wann Sie es haben werden
Sie werden Lücken haben: noch kein Penetrationstest, kein formeller Vorfallplan, kein Schulungsprogramm zur Sicherheit. Die Antwort, die den Abschluss am Leben hält, ist konkret: „Es wurde noch kein externer Penetrationstest durchgeführt; einer ist für das vierte Quartal bei einem benannten Anbieter eingeplant. Abhängigkeiten werden bei jedem Build geprüft.“ Prüfer bei großen Kunden haben einen Prozess, um Lieferanten mit Lücken und einem Plan zu akzeptieren. Sie haben keinen für Lieferanten, die behauptet haben, keine Lücken zu haben, und dabei ertappt wurden.
Bewahren Sie den ersten Fragebogen auf; er ist Ihre Bibliothek
Die 180 Antworten, die Sie diese Woche schreiben, sind der Großteil der Antworten auf den nächsten Fragebogen und den übernächsten. Bewahren Sie sie an einem besseren Ort auf als in der gesendeten E-Mail: an einer Stelle, mit Datum und einem Vermerk, wer jede Antwort bestätigt hat. Wenn sich etwas ändert (Sie stellen ein, Sie wechseln die Region, der Test ist erledigt), aktualisieren Sie die eine Antwort, die davon betroffen ist. Der zweite Fragebogen dauert einen Tag statt einer Woche, der dritte einen Nachmittag.
Erstellen Sie die drei Dokumente, an denen die meisten Abschlüsse hängen
Wenn Sie dieses Jahr nur drei Dokumente schreiben, dann die Informationssicherheitsrichtlinie (die Einseiter von oben, zu einem Dokument mit Verantwortlichem und Prüfdatum zusammengefasst), den Vorfallreaktionsplan (wer entscheidet, wer die Kunden informiert, innerhalb welcher Zeit) und die Liste der Auftragsverarbeiter mit einer Vorlage für den Auftragsverarbeitungsvertrag. Diese drei beantworten die Fragen, die den Einkauf am häufigsten blockieren.
Wann es Zeit für ein Werkzeug ist
Wenn Fragebögen schneller eintreffen, als eine Person sie aus dem Gedächtnis beantworten kann, macht ein dafür gebautes Werkzeug aus der Bibliothek Entwürfe und hält die Datumsangaben fest. Kleine Teams nutzen Responsemate genau dafür: die Datei des Kunden importieren, jede Antwort aus den Einseitern und dem letzten Fragebogen entwerfen, die als unsicher markierten prüfen, im Format des Kunden exportieren und alles für den nächsten aufbewahren. So nutzt ein kleiner Anbieter es.
Häufige Fragen
Brauchen wir ISO 27001, um an große Kunden zu verkaufen?
In der Regel nicht, aber Sie müssen deren Fragebogen gut beantworten. Viele Kunden akzeptieren einen kleinen Lieferanten ohne Zertifizierung, wenn die Antworten konkret und ehrlich sind und durch die wenigen Dokumente gestützt werden, auf die es ankommt. Das Zertifikat wird seine Kosten wert, sobald die Fragebögen jede Woche eintreffen.
Was, wenn wir viele Fragen mit „Nein“ beantworten?
Antworten Sie mit „Nein“ und sagen Sie, was Sie stattdessen tun oder wann Sie es vorhaben. Ein Prüfer sieht lieber fünfzehn ehrliche Lücken mit Datum als fünfzehn vage Ja-Antworten. Vage Ja-Antworten sind es, die später Audits scheitern lassen.