De situatie
Een SaaS-bedrijf met een paar honderd klanten krijgt bij de meeste nieuwe enterprisedeals en bij veel verlengingen een beveiligingsvragenlijst: de eigen spreadsheet van de klant, een SIG Lite van een bank, een CAIQ van een cloudbewuste koper, de privacysectie van een overheidsinstantie. Elke lijst houdt dezelfde mensen dagenlang van hun werk, de antwoorden lopen uiteen tussen klanten, en het salesteam leert de zin “ons beveiligingsteam heeft een paar vragen” te vrezen.
Wat verandert er met een bibliotheek
Het eerste is om te stoppen met vragenlijsten beantwoorden en te beginnen met feiten beantwoorden. Elk goedgekeurd antwoord, elk beleid en elk certificaat gaat in één kennisbank met een eigenaar en een datum. Afgeronde vragenlijsten worden teruggelezen. De eerste maand is het werk; daarna heeft het merendeel van de rijen in elke nieuwe vragenlijst al een antwoord.
Een vragenlijst, van begin tot eind
Het Excel-bestand van de klant wordt geïmporteerd zoals het is: de tool vindt op elk werkblad de vraag- en antwoordkolommen. Binnen minuten heeft elke vraag een conceptantwoord uit de bibliotheek, met de gebruikte bronnen en een betrouwbaarheidsscore. De coördinator leest de concepten op volgorde van betrouwbaarheid: de antwoorden met betrouwbaarheid High worden na een blik in batches goedgekeurd, die met Medium worden gelezen, die met Low en die zonder bron gaan naar de collega die het weet. De infrastructuurverantwoordelijke krijgt elf vragen, juridische zaken vier, iedereen antwoordt op dezelfde plek en de coördinator ziet de vragenlijst vollopen. Bewijs wordt uit de bibliotheek bijgevoegd waar een rij erom vraagt. Het afgeronde bestand wordt geëxporteerd met de kolommen van de klant ingevuld, en de goedgekeurde antwoorden gaan terug de bibliotheek in.
Wat het salesteam ziet
Een datum die ze kunnen beloven. Een vragenlijst die vroeger “twee weken, misschien” was, wordt “donderdag”. De antwoorden die een klant krijgt, stroken met de antwoorden die de vorige klant kreeg, en dat telt wanneer klanten met elkaar praten en wanneer dezelfde beoordelaar twee van uw vragenlijsten ziet.
Wat de beveiligingsverantwoordelijke ziet
De vragen die steeds onbeantwoord blijven, oftewel de lijst van beleid dat als volgende geschreven moet worden. De controles die de bibliotheek dekt tegenover ISO 27001 en SOC 2, en de controles die ze niet dekt. Welke certificaten en testrapporten bijna verlopen. De bespaarde uren, geteld op basis van de daadwerkelijk afgeronde vragenlijsten. En een team dat vragenlijsten beantwoordt zonder hem of haar.
Waar u begint
Neem de laatste vragenlijst die u met de hand hebt beantwoord mee naar een demo en zie hoe die uit uw eigen documenten wordt opgesteld. Vraag er een aan, of lees eerst het uitgewerkte voorbeeld.