De vorm van een antwoord dat wordt geaccepteerd
Elk antwoord hieronder doet vier dingen in een paar zinnen: het benoemt de maatregel, het benoemt wie er eigenaar van is, het zegt hoe vaak die plaatsvindt en het zegt waar het bewijs staat. De zwakke versies doen het tegenovergestelde: ze stellen gerust. Beoordelaars worden betaald om zich niet door geruststelling te laten overtuigen.
Toegangsbeheer
Vraag: Hoe worden toegangsrechten van gebruikers toegekend, gecontroleerd en ingetrokken?
Zwak: Wij hanteren het principe van minimale rechten en toegang wordt strikt beheerd.
Beter: Toegang wordt via een ticket aangevraagd en door de systeemeigenaar goedgekeurd; accounts worden aangemaakt met uitsluitend de standaardrechten van de rol. De IT-lead controleert alle toegangsrechten elk kwartaal tegen de HR-lijst, en de controle wordt vastgelegd in het ticketsysteem. Toegang wordt op de laatste werkdag ingetrokken als onderdeel van de HR-checklist voor vertrekkende medewerkers. Het toegangsbeleid is bijgevoegd.
Versleuteling
Vraag: Zijn klantgegevens versleuteld in rust en tijdens transport?
Zwak: Ja, wij gebruiken versleuteling volgens de industriestandaard.
Beter: Tijdens transport gebruiken alle verbindingen TLS 1.2 of hoger; oudere protocollen zijn op de loadbalancer uitgeschakeld. In rust zijn databases en back-ups versleuteld met AES-256, met sleutels die worden beheerd door de sleuteldienst van de hostingprovider; sleutels worden jaarlijks geroteerd. Laptops zijn volledig schijfversleuteld en worden centraal beheerd.
Back-ups
Vraag: Hoe vaak worden back-ups gemaakt en getest?
Zwak: Back-ups worden regelmatig gemaakt en kunnen zo nodig worden teruggezet.
Beter: Databases worden elk uur geback-upt met point-in-time recovery en 35 dagen bewaard; bestandsopslag wordt over twee regio's gerepliceerd. Een volledig herstel naar een aparte omgeving wordt elk kwartaal getest door het platformteam; de laatste test was in juni en het logboek is bijgevoegd. De recovery point objective is één uur, de recovery time objective vier uur.
Incidentrespons
Vraag: Hebt u een incidentresponsplan, en wanneer is dat voor het laatst geoefend?
Zwak: Wij hebben een uitgebreid incidentresponsproces.
Beter: Het incidentresponsplan is in beheer bij het hoofd engineering en definieert ernstniveaus, het bereikbaarheidsrooster, communicatie met klanten binnen 24 uur bij incidenten die hun gegevens raken, en een evaluatie achteraf binnen vijf werkdagen. Het is in maart voor het laatst geoefend in een tabletopoefening met een gesimuleerd lek van inloggegevens; de bevindingen zijn in april afgesloten. Het plan is bijgevoegd.
Kwetsbaarheidsbeheer
Vraag: Hoe spoort u kwetsbaarheden op en hoe verhelpt u ze?
Zwak: Wij patchen snel en monitoren op kwetsbaarheden.
Beter: Afhankelijkheden worden bij elke build gescand en de besturingssysteemimages wekelijks; bevindingen worden op ernst getrieerd, met hersteltermijnen van 7 dagen voor kritiek en 30 dagen voor hoog. Jaarlijks wordt een externe penetratietest uitgevoerd; de samenvatting van maart is bijgevoegd, met alle bevindingen afgesloten. Beveiligingsfixes worden zo nodig buiten de normale releasecyclus uitgebracht.
Subverwerkers
Vraag: Welke derden verwerken klantgegevens?
Zwak: Wij werken alleen met vertrouwde, compliant aanbieders.
Beter: Klantgegevens worden verwerkt door onze hostingprovider (EU-regio), onze e-mailbezorgdienst en onze AI-aanbieder, elk onder een verwerkersovereenkomst. De actuele lijst met locaties en doeleinden staat op onze website en klanten worden 30 dagen van tevoren over wijzigingen geïnformeerd. Onze eigen medewerkers benaderen productiegegevens uitsluitend via persoonlijke accounts met logging.
Bedrijfscontinuïteit
Vraag: Hoe zet u de dienstverlening voort bij een grote storing?
Zwak: Wij hebben redundantie ingericht om hoge beschikbaarheid te garanderen.
Beter: De dienst draait in twee beschikbaarheidszones met automatische failover; een volledige regionale storing wordt opgevangen door de back-ups en infrastructure-as-code, met een geteste herbouwtijd van vier uur. Het continuïteitsplan benoemt de beslisser en de communicatielijn naar klanten. Voor het laatst geoefend in de kwartaallijkse hersteltest; het resultaat is bijgevoegd.
Medewerkers en training
Vraag: Krijgen medewerkers beveiligingstraining?
Zwak: Alle medewerkers zijn getraind in beveiligingsbewustzijn.
Beter: Elke medewerker volgt in de eerste week en daarna jaarlijks een training beveiligingsbewustzijn, bijgehouden door HR; het huidige voltooiingspercentage is 100 procent. Engineers volgen daarnaast jaarlijks een training veilig ontwikkelen. Phishingsimulaties draaien elk kwartaal, en de resultaten voeden de volgende training.
Waarom deze werken
Elk beter antwoord kan door een beoordelaar in vijf minuten worden nagetrokken, en een beoordelaar die één antwoord kan natrekken, vertrouwt het volgende meer. De zwakke antwoorden zijn helemaal niet na te trekken, dus leveren ze een vervolgvraag op en, over tweehonderd rijen, een reputatie. Responsemate stelt concepten op in de betere vorm, uit uw eigen beleidsstukken en eerdere antwoorden, met de bron erbij, zodat de controle feiten natrekt in plaats van proza te schrijven. Hoe het opstellen van concepten werkt.
Veelgestelde vragen
Kunnen wij deze voorbeelden hergebruiken?
Alleen de vorm. Elk feit erin is verzonnen. Een antwoord dat van een website is gekopieerd, is een bewering die u niet kunt onderbouwen, en beoordelaars stellen vervolgvragen.
Hoe lang moet een antwoord zijn?
Twee tot vier zinnen voor de meeste vragen. Lang genoeg om de maatregel, de eigenaar, de frequentie en het bewijs te noemen. Alles wat langer is, betekent meestal dat het antwoord geruststelt in plaats van informeert.