Les alt før du svarer på noe
Et sikkerhetsspørreskjema ser ut som en liste, men det er en fortelling om én ting: om kunden kan stole på deg med dataene sine. Skum gjennom hvert ark og hver kolonne før du skriver et ord. Du vil finne det samme spørsmålet stilt på tre måter (tilgangskontroll under «Identitet», «Drift» og «Sky»), spørsmålene som bare gjelder hvis du hoster data selv, og dem som i det stille ber om et dokument i stedet for et svar. Å vite det på forhånd sparer deg for de to dyreste feilene: å motsi deg selv mellom ark, og å svare på noe som ikke gjaldt deg.
Mens du leser, marker tre ting: hva som ikke er relevant og hvorfor, hva som trenger et dokument du allerede har, og hva som trenger en person som ikke er deg.
Svar ut fra det du faktisk gjør, skriftlig
Den beste kilden til et svar er ikke forrige spørreskjema; det er dine egne retningslinjer, prosedyrer eller konfigurasjon. Åpne retningslinjene for tilgangskontroll og svar på spørsmålene om tilgangskontroll ut fra dem. Der retningslinjene og virkeligheten spriker, har spørreskjemaet nettopp funnet et gap; svar med virkeligheten og rett opp retningslinjene, aldri omvendt. De som vurderer leser hundrevis av slike, og et svar som siterer et virkelig dokument med en virkelig eier, leses annerledes enn ett som ble skrevet for å høres riktig ut.
Har du ingen retningslinjer for området, si det og beskriv praksisen. Det er et ærlig svar, og det godtas langt oftere enn team forventer.
Hold én stemme og ett sett med fakta
To hundre svar skrevet av seks personer i seks stiler ser ut som seks selskaper. Bestem stemmen én gang: første person flertall, presens, konkret. «Vi gjennomgår tilgangsrettigheter kvartalsvis; IT-lederen eier gjennomgangen, og resultatene lagres i saksbehandlingssystemet» er formen å sikte mot. Hold deretter fakta identiske overalt: sier du at sikkerhetskopier testes månedlig på ark én, testes de månedlig på ark fire.
Det er her et felles svarbibliotek gjør nytte for seg. Et svar du godkjente forrige kvartal er utgangspunktet for dette, og når faktum endrer seg, endrer du det ett sted.
Legg ved dokumentasjon der det bes om, ikke overalt
Noen spørsmål ber om et dokument: retningslinjene, sammendraget av den siste penetrasjonstesten, sertifikatet. Legg ved dem, og gi dem navn slik at den som vurderer vet hva de åpner. Ikke legg hele mappen med retningslinjer ved hvert ark; en som må åpne tolv filer for å verifisere én kontroll, vil anta at resten er fyll. Guiden vår om hvilken dokumentasjon du bør legge ved går gjennom de vanlige forespørslene.
Marker det du ikke er sikker på
Hvert spørreskjema har ti spørsmål der det ærlige svaret er «jeg tror det, men jeg måtte ha sjekket». Flagg dem til personen som vet, i stedet for å gjette. Prisen for et feil «ja» er en samtale om en sikkerhetshendelse atten måneder senere, med spørreskjemaet ditt som bevisstykke A. Prisen for et flagg er én dag.
Send det tilbake i filen de sendte
Kunder behandler spørreskjemaer i oppsettet de selv valgte, ofte med et verktøy på sin side. Behold kolonnene, arkene og nummereringen deres, og fyll ut svarkolonnen de ga deg. Et spørreskjema som kommer tilbake som PDF med en annen struktur, blir kopiert ut for hånd av noen i teamet deres, og svarene dine mister formateringen og noen ganger meningen på veien.
Ta vare på alt til neste gang
Det andre spørreskjemaet fra en kunde er bare enklere enn det første hvis du tok vare på det første. Ta vare på de godkjente svarene, dokumentasjonen du la ved, hvem som svarte på hva, og datoen. Neste kvartal svarer du på de samme to hundre spørsmålene fra en annen kunde, og åtti prosent av jobben er allerede gjort, forutsatt at svarene fortsatt stemmer. Sett en utløpsdato på dem som eldes (sertifikater, testrapporter, antall ansatte), så du sjekker dem på nytt i stedet for å sende dem om igjen.
Slik ser det ut med et verktøy laget for det
Responsemate gjør den mekaniske halvdelen av det over: det leser kundens fil, finner spørsmåls- og svarkolonnene på hvert ark, lager utkast til hvert svar fra retningslinjene, dokumentene og de tidligere svarene dine, viser hvilke kilder det brukte og hvor sikkert det er, lar teamet ditt gjennomgå og godkjenne, og eksporterer inn i filen kunden sendte. Vurderingen blir hos deg. Slik fungerer spørreskjemaflyten.
Vanlige spørsmål
Hvem bør svare på et sikkerhetsspørreskjema?
Én eier som koordinerer, og de som faktisk driver hvert område: infrastruktur, HR, juridisk, produktteamet. Eieren holder én stemme; spesialistene leverer fakta. Et svar ingen i selskapet ville stått inne for, er verre enn «ikke relevant» med en begrunnelse.
Hva om vi ikke har retningslinjer for noe de spør om?
Si det, og si hva du gjør i stedet. «Vi har ingen skriftlig retningslinje for X; i praksis Y» er et ærlig svar som de som vurderer respekterer, og det er starten på retningslinjen du skriver neste kvartal.
Hvor detaljert må et svar i et sikkerhetsspørreskjema være?
Nok til at den som vurderer kan verifisere det: kontrollen, hvem som eier den, hvor ofte den kjøres, og hvor dokumentasjonen finnes. To eller tre setninger holder som regel. Et avsnitt med beroligelse uten fakta får et oppfølgingsspørsmål.