Lees het geheel voordat u iets beantwoordt
Een beveiligingsvragenlijst ziet eruit als een lijst, maar het is een verhaal over één ding: of de klant u zijn gegevens kan toevertrouwen. Bekijk elk werkblad en elke kolom voordat u een woord schrijft. U vindt dezelfde vraag drie keer anders gesteld (toegangsbeheer onder “Identity”, “Operations” en “Cloud”), de vragen die alleen gelden als u zelf gegevens host, en de vragen die stilletjes om een document vragen in plaats van een antwoord. Dat vooraf weten bespaart u de twee duurste fouten: uzelf tegenspreken tussen werkbladen, en iets beantwoorden dat niet op u van toepassing was.
Markeer tijdens het lezen drie dingen: wat niet van toepassing is en waarom, waarvoor een document nodig is dat u al hebt, en waarvoor iemand anders dan u nodig is.
Antwoord op basis van wat u werkelijk doet, zwart op wit
De beste bron voor een antwoord is niet de vorige vragenlijst, maar uw eigen beleid, procedure of configuratie. Open het toegangsbeleid en beantwoord de vragen over toegangsbeheer daaruit. Waar beleid en werkelijkheid verschillen, heeft de vragenlijst zojuist een hiaat gevonden; antwoord met de werkelijkheid en pas het beleid aan, nooit andersom. Beoordelaars lezen er honderden, en een antwoord dat een echt document met een echte eigenaar aanhaalt, leest anders dan een antwoord dat is geschreven om goed te klinken.
Hebt u geen beleid voor het gebied, zeg dat dan en beschrijf de praktijk. Dat is een eerlijk antwoord en het wordt veel vaker geaccepteerd dan teams verwachten.
Houd één toon en één set feiten aan
Tweehonderd antwoorden van zes mensen in zes stijlen lezen als zes bedrijven. Bepaal de toon één keer: eerste persoon meervoud, tegenwoordige tijd, concreet. “Wij controleren toegangsrechten elk kwartaal; de IT-verantwoordelijke is eigenaar van die controle en de resultaten staan in het ticketsysteem” is de vorm om naar te streven. Houd daarna de feiten overal gelijk: als op werkblad één staat dat back-ups maandelijks worden getest, worden ze op werkblad vier ook maandelijks getest.
Hier verdient een gedeelde antwoordbibliotheek zich terug. Een antwoord dat u vorig kwartaal goedkeurde, is het uitgangspunt voor dit antwoord, en als het feit verandert, past u het op één plek aan.
Voeg bewijs bij waar erom wordt gevraagd, niet overal
Bij sommige vragen hoort een document: het beleid, de samenvatting van de laatste penetratietest, het certificaat. Voeg die bij en geef ze een naam waaruit de beoordelaar opmaakt wat hij opent. Voeg niet de hele beleidsmap bij elk werkblad; een beoordelaar die twaalf bestanden moet openen om één controle te verifiëren, gaat ervan uit dat de rest opvulling is. Onze gids over welk bewijs u bijvoegt loopt de gebruikelijke verzoeken langs.
Markeer waar u niet zeker van bent
Elke vragenlijst heeft tien vragen waarop het eerlijke antwoord luidt: “ik denk het wel, maar ik zou het moeten nakijken”. Markeer die voor degene die het weet, in plaats van te gokken. Een onterecht “ja” kost u een gesprek over een beveiligingsincident achttien maanden later, met uw vragenlijst als bewijsstuk A. Een markering kost u een dag.
Stuur het terug in het bestand dat zij stuurden
Klanten verwerken vragenlijsten in de opmaak die zij hebben gekozen, vaak met een tool aan hun kant. Behoud hun kolommen, hun werkbladen en hun nummering, en vul de antwoordkolom in die zij u hebben gegeven. Een vragenlijst die als pdf met een andere structuur terugkomt, wordt door iemand van hun team met de hand overgenomen, en uw antwoorden verliezen onderweg hun opmaak en soms hun betekenis.
Bewaar alles voor de volgende keer
De tweede vragenlijst van een klant is alleen makkelijker dan de eerste als u de eerste hebt bewaard. Bewaar de goedgekeurde antwoorden, het bijgevoegde bewijs, wie wat beantwoordde en de datum. Volgend kwartaal beantwoordt u dezelfde tweehonderd vragen van een andere klant, en tachtig procent van het werk is al gedaan, mits de antwoorden nog kloppen. Geef de antwoorden die verouderen (certificaten, testrapporten, personeelsaantallen) een vervaldatum, zodat u ze opnieuw controleert in plaats van ze opnieuw te versturen.
Zo ziet het eruit met een tool die ervoor is gebouwd
Responsemate doet de mechanische helft van het bovenstaande: het leest het bestand van de klant, vindt op elk werkblad de vraag- en antwoordkolommen, maakt voor elk antwoord een concept op basis van uw beleid, documenten en eerdere antwoorden, toont welke bronnen het gebruikte en hoe betrouwbaar het is, laat uw team controleren en goedkeuren, en exporteert naar het bestand dat de klant stuurde. Het oordeel blijft bij u. Zo werkt de vragenlijstflow.
Veelgestelde vragen
Wie moet een beveiligingsvragenlijst beantwoorden?
Eén eigenaar die coördineert, en de mensen die elk gebied daadwerkelijk beheren: infrastructuur, HR, juridische zaken, het productteam. De eigenaar bewaakt één toon; de specialisten leveren de feiten. Een antwoord waar niemand in het bedrijf achter zou staan, is erger dan “niet van toepassing” met een reden.
Wat als we geen beleid hebben voor iets waarnaar ze vragen?
Zeg dat, en zeg wat u in plaats daarvan doet. “We hebben geen geschreven beleid voor X; in de praktijk doen we Y” is een eerlijk antwoord dat beoordelaars waarderen, en het is het begin van het beleid dat u volgend kwartaal schrijft.
Hoeveel detail heeft een antwoord in een beveiligingsvragenlijst nodig?
Genoeg om het de beoordelaar te laten verifiëren: de controle, wie de eigenaar is, hoe vaak die wordt uitgevoerd en waar het bewijs staat. Twee of drie zinnen volstaan meestal. Een geruststellende alinea zonder feiten levert een vervolgvraag op.