Die Ausgangslage
Ein SaaS-Unternehmen mit ein paar hundert Kunden bekommt bei den meisten neuen Enterprise-Abschlüssen und bei vielen Verlängerungen einen Sicherheitsfragebogen: die eigene Tabelle des Kunden, einen SIG Lite von einer Bank, einen CAIQ von einem cloud-erfahrenen Käufer, den Datenschutzabschnitt von einer öffentlichen Stelle. Jeder zieht dieselben Leute tagelang von ihrer Arbeit ab, die Antworten driften zwischen Kunden auseinander, und das Vertriebsteam lernt, den Satz „unser Sicherheitsteam hat ein paar Fragen“ zu fürchten.
Was sich mit einer Bibliothek ändert
Zuerst gilt es, nicht mehr Fragebögen zu beantworten, sondern Fakten. Jede freigegebene Antwort, jede Richtlinie und jedes Zertifikat kommt in eine Wissensdatenbank mit Verantwortlichem und Datum. Abgeschlossene Fragebögen werden wieder eingelesen. Der erste Monat ist die Arbeit; danach haben die meisten Zeilen jedes neuen Fragebogens bereits eine Antwort.
Ein Fragebogen, von Anfang bis Ende
Die Excel-Datei des Kunden wird importiert, wie sie ist: Das Werkzeug findet auf jedem Tabellenblatt die Frage- und Antwortspalten. Innerhalb von Minuten hat jede Frage einen Antwortentwurf aus der Bibliothek, mit den genutzten Quellen und einem Konfidenzwert. Die koordinierende Person liest die Entwürfe in Konfidenzreihenfolge: Die hohen werden nach einem Blick stapelweise freigegeben, die mittleren gelesen, die niedrigen und die ohne Quelle dem Kollegen zugewiesen, der es weiß. Die Infrastrukturleitung bekommt elf Fragen, Recht bekommt vier, alle antworten am selben Ort, und die koordinierende Person sieht, wie sich der Fragebogen füllt. Nachweise werden aus der Bibliothek angehängt, wo eine Zeile danach fragt. Die fertige Datei wird mit den ausgefüllten Spalten des Kunden exportiert, und die freigegebenen Antworten gehen zurück in die Bibliothek.
Was das Vertriebsteam sieht
Ein Datum, das sie zusagen können. Aus einem Fragebogen, der früher „zwei Wochen, vielleicht“ dauerte, wird „Donnerstag“. Die Antworten, die ein Kunde bekommt, stimmen mit denen überein, die der letzte Kunde bekam, und das zählt, wenn Kunden miteinander reden und wenn derselbe Prüfer zwei Ihrer Fragebögen sieht.
Was die Sicherheitsleitung sieht
Die Fragen, die immer wieder unbeantwortet bleiben, und damit die Liste der Richtlinien, die als Nächstes zu schreiben sind. Die Kontrollen, die die Bibliothek gegenüber ISO 27001 und SOC 2 abdeckt, und die, die sie nicht abdeckt. Welche Zertifikate und Testberichte demnächst ablaufen. Die eingesparten Stunden, gezählt anhand der tatsächlich abgeschlossenen Fragebögen. Und ein Team, das Fragebögen ohne sie beantwortet.
Wo Sie anfangen
Bringen Sie den letzten Fragebogen, den Sie von Hand beantwortet haben, zu einer Demo mit und sehen Sie zu, wie er aus Ihren eigenen Dokumenten entworfen wird. Buchen Sie eine, oder lesen Sie zuerst das ausgearbeitete Beispiel.