De documenten waar beoordelaars het vaakst om vragen
In de meeste vragenlijsten komen dezelfde verzoeken terug, ongeveer in deze volgorde van frequentie:
- Het informatiebeveiligingsbeleid en de beleidsdocumenten waarnaar het verwijst: toegangsbeheer, aanvaardbaar gebruik, dataclassificatie, incidentrespons, bedrijfscontinuïteit, leveranciersbeheer.
- Een geldig certificaat of attestatie, als u die heeft: ISO 27001, SOC 2 Type II, ISAE 3000, Cyber Essentials of die van uw hostingprovider.
- De samenvatting van de meest recente penetratietest, met datum, scope en de status van de bevindingen. De samenvatting, niet het volledige rapport, tenzij daarom wordt gevraagd.
- Het bedrijfscontinuïteits- of disaster-recoveryplan, en bewijs dat het is getest: de datum en uitkomst van de laatste oefening.
- De verwerkersovereenkomst en de lijst van subverwerkers.
- Bewijs van een cyberverzekering: het certificaat met dekking en vervaldatum.
- Een organogram of een met naam genoemde beveiligingscontactpersoon.
- Voor SaaS: het architectuuroverzicht, de gegevensstroom en waar gegevens worden opgeslagen.
Heb deze acht klaarliggen, goed benoemd, en de meeste vragenlijsten hebben verder niets nodig.
Wat elk document bewijst
Beoordelaars lezen bewijs niet voor hun plezier; ze lezen het om een bewering te verifiëren. Laat het document bij de bewering passen. Een certificaat bewijst dat een auditor op een datum de scope heeft gecontroleerd. Een beleid bewijst dat de regel bestaat en wie er eigenaar van is. Een testsamenvatting bewijst dat iemand naar gaten heeft gezocht en wat er met de gevonden gaten is gebeurd. Een verslag van een uitgevoerde oefening bewijst dat het continuïteitsplan meer is dan een document. Een antwoord “we testen back-ups elk kwartaal” met het testlogboek van vorig kwartaal erbij is klaar; hetzelfde antwoord met het back-upbeleid erbij lokt de vervolgvraag “maar test u het ook?” uit.
Geef alles een naam en een datum
Een beoordelaar die “policy_final_v3 (2).pdf” opent, leert niets van de naam. Benoem bestanden naar wat ze zijn en van wanneer: “Access control policy, reviewed 2026-05.pdf”, “Penetration test summary, 2026-03, external.pdf”. Zet de datum van de laatste herziening ook in het document zelf; de bestandsnaam gaat verloren zodra de klant het in zijn eigen systeem kopieert.
Voeg bij waar erom wordt gevraagd, niet overal
Voeg een document bij de vraag die erom vraagt en verwijs er bij naam naar vanuit verwante vragen (“zie het toegangsbeleid bij vraag 4.2”). De volledige beleidsset aan elk werkblad hangen begraaft het ene document dat de beoordelaar nodig had en verdubbelt de omvang van het bestand dat u terugstuurt.
Samenvattingen voor gevoelig materiaal
Sommige documenten helpen een aanvaller net zo goed als een beoordelaar: netwerkdiagrammen met adressen, de volledige penetratietest met reproductiestappen, interne runbooks met systeemnamen. Voeg daarvoor een samenvatting bij die de beoordelaar geeft wat hij nodig heeft (scope, datum, categorieën bevindingen, stand van het herstel) en bied het volledige document aan in een gesprek of in een dataroom. De meeste beoordelaars accepteren dat zonder discussie, omdat hun eigen beveiligingsteam hetzelfde zou zeggen.
Houd bewijs actueel, op datum
Bewijs veroudert volgens een schema dat u vooraf kent: het certificaat verloopt, de test is aan de beurt, de verzekering wordt verlengd, het beleid heeft een jaarlijkse herziening. Zet die datums op de documenten in uw antwoordbibliotheek en laat iets u waarschuwen voordat een klant dat doet. Een verlopen certificaat opsturen is de meest voorkomende vermijdbare fout bij vragenlijsten, en hij is volledig te vermijden.
In Responsemate
Bestanden in de kennisbank hebben een vervaldatum en een actualiteitsstatus, een nachtelijke controle markeert wat verouderd is, en bewijs voegt u met één klik vanuit de bibliotheek bij een antwoord op een vragenlijst, of de AI-assistent zoekt het voor u wanneer een vraag erom vraagt. Hoe bestanden en bewijs werken.
Veelgestelde vragen
Moeten we ons volledige beleid naar een klant sturen?
Meestal wel, het beleid zelf, onder de vertrouwelijkheid die al voor de vragenlijst geldt. Interne procedures met systeemnamen en netwerkdetails kunt u beter samenvatten. Zou een document een aanvaller meer helpen dan een beoordelaar, stuur dan een samenvatting en bied de volledige versie aan in een gesprek.
Wat als we geen penetratietest hebben?
Zeg het, zeg wanneer de volgende is gepland en beschrijf wat u in plaats daarvan doet (kwetsbaarheidsscans, codereview, een bugbountyprogramma). Een beoordelaar weet het liever dan dat hij een scanrapport krijgt dat als test is bestempeld.
Hoe oud mag bewijs zijn?
Een certificaat is geldig tot de vervaldatum. Een penetratietest van meer dan een jaar oud roept meestal vragen op. Beleid moet een herziening binnen het jaar laten zien. Is een document ouder, voeg het dan bij met een opmerking wanneer het opnieuw wordt herzien.