Begin met opschrijven wat u al doet
Een bedrijf van tien mensen heeft meer beveiligingspraktijk dan beveiligingsdocumenten. Laptops zijn versleuteld omdat het besturingssysteem dat doet; toegang wordt verleend door één persoon die iedereen kent; back-ups draaien omdat de hostingprovider ze draait; code wordt gecontroleerd omdat twee mensen naar elke wijziging kijken. Niets hiervan staat op papier, en een vragenlijst vraagt precies daarnaar. Besteed de eerste ochtend aan één pagina per gebied: wie toegang heeft tot wat en hoe dat verandert, hoe code in productie komt, waar gegevens staan en hoe ze worden geback-upt, wat er gebeurt als iemand een laptop verliest, wat er gebeurt als de dienst uitvalt. Gewone zinnen, de huidige waarheid. Die pagina is uw beleid voor de vragenlijst, en de kiem van het echte beleid.
Leun op uw providers
Het grootste deel van uw infrastructuurbeveiliging is die van uw hostingprovider, en die heeft deze vragen al openbaar beantwoord. Hun compliancepagina's, hun gepubliceerde vragenlijsten en hun certificeringen beantwoorden voor u de vragen over fysieke beveiliging, datacenter, versleuteling in rust en beschikbaarheid. Noem ze bij naam en voeg de ene zin toe over wat u er zelf bovenop configureert: welke regio, welke versleutelingsinstelling, wie de sleutels beheert. Hetzelfde geldt voor uw e-mail-, betaal- en identiteitsproviders.
Zeg wat u niet hebt, en wanneer u het wel hebt
U zult hiaten hebben: nog geen penetratietest, geen formeel incidentplan, geen programma voor beveiligingstraining. Het antwoord dat de deal in leven houdt is specifiek: “Er is nog geen externe penetratietest uitgevoerd; er staat er een gepland voor het vierde kwartaal bij een met naam genoemde leverancier. Afhankelijkheden worden bij elke build gescand.” Beoordelaars bij grote klanten hebben een proces om leveranciers met hiaten en een plan te accepteren. Ze hebben er geen voor leveranciers die beweerden geen hiaten te hebben en door de mand vielen.
Bewaar de eerste vragenlijst; dat is uw bibliotheek
De 180 antwoorden die u deze week schrijft zijn het grootste deel van de antwoorden op de volgende vragenlijst, en die daarna. Bewaar ze ergens beter dan in de verzonden e-mail: op één plek, met de datum, en een notitie van wie elk antwoord heeft bevestigd. Als er iets verandert (u neemt iemand aan, u verhuist van regio, u laat de test uitvoeren) werkt u het ene antwoord bij dat het raakt. De tweede vragenlijst kost een dag in plaats van een week, en de derde een middag.
Zorg voor de drie documenten die de meeste deals vlottrekken
Als u dit jaar maar drie documenten schrijft, schrijf dan het informatiebeveiligingsbeleid (de one-pagers hierboven, opgeschoond tot één document met een eigenaar en een controledatum), het incidentresponsplan (wie beslist, wie klanten informeert, binnen welke tijd) en de subverwerkerslijst met een sjabloon voor een verwerkersovereenkomst. Die drie beantwoorden de vragen die inkoop het vaakst blokkeren.
Wanneer het tijd is voor een tool
Wanneer vragenlijsten sneller binnenkomen dan één persoon ze uit het hoofd kan beantwoorden, maakt een tool die daarvoor gebouwd is concepten van de bibliotheek en bewaakt de datums. Responsemate wordt door kleine teams precies hiervoor gebruikt: importeer het bestand van de klant, laat elk antwoord opstellen uit de one-pagers en de vorige vragenlijst, controleer de antwoorden die als onzeker gemarkeerd zijn, exporteer in het formaat van de klant en bewaar alles voor de volgende. Hoe een kleine leverancier het gebruikt.
Veelgestelde vragen
Hebben we ISO 27001 nodig om aan grote klanten te verkopen?
Meestal niet, maar u moet hun vragenlijst goed beantwoorden. Veel klanten accepteren een kleine leverancier zonder certificering als de antwoorden specifiek en eerlijk zijn en onderbouwd met de paar documenten die ertoe doen. Het certificaat wordt zijn kosten waard zodra de vragenlijsten elke week binnenkomen.
Wat als we op veel vragen “nee” antwoorden?
Antwoord “nee” en zeg wat u in plaats daarvan doet, of wanneer u het van plan bent. Een beoordelaar ziet liever vijftien eerlijke hiaten met datums dan vijftien vage ja's. Vage ja's zijn wat later audits laat mislukken.