Formen på et svar som går gjennom
Hvert svar nedenfor gjør fire ting på noen få setninger: det navngir kontrollen, det navngir hvem som eier den, det sier hvor ofte den skjer, og det sier hvor dokumentasjonen finnes. De svake versjonene gjør det motsatte: de beroliger. Kontrollører får betalt for ikke å la seg berolige.
Tilgangskontroll
Spørsmål: Hvordan tildeles, gjennomgås og trekkes brukertilganger tilbake?
Svakt: Vi følger prinsippet om minste privilegium, og tilgang er strengt kontrollert.
Bedre: Tilgang bes om via en sak og godkjennes av systemeieren; kontoer opprettes bare med rollens standardrettigheter. IT-lederen gjennomgår alle tilganger kvartalsvis mot HR-listen, og gjennomgangen registreres i saksbehandlingssystemet. Tilgang trekkes tilbake siste arbeidsdag som en del av HRs sjekkliste ved fratredelse. Retningslinjen for tilgangskontroll er vedlagt.
Kryptering
Spørsmål: Er kundedata kryptert i hvile og under overføring?
Svakt: Ja, vi bruker bransjestandard kryptering.
Bedre: Under overføring bruker alle forbindelser TLS 1.2 eller nyere; eldre protokoller er deaktivert på lastbalansereren. I hvile er databaser og sikkerhetskopier kryptert med AES-256 med nøkler som forvaltes av hostingleverandørens nøkkeltjeneste; nøklene roteres årlig. Bærbare maskiner er fulldiskkryptert og administreres sentralt.
Sikkerhetskopier
Spørsmål: Hvor ofte tas og testes sikkerhetskopier?
Svakt: Sikkerhetskopier tas jevnlig og kan gjenopprettes ved behov.
Bedre: Databasene sikkerhetskopieres hver time med gjenoppretting til et gitt tidspunkt og oppbevares i 35 dager; fillagringen replikeres på tvers av to regioner. En full gjenoppretting til et separat miljø testes kvartalsvis av plattformteamet; siste test var i juni, og loggen er vedlagt. Gjenopprettingspunktmålet er én time, gjenopprettingstidsmålet er fire timer.
Hendelseshåndtering
Spørsmål: Har dere en beredskapsplan for hendelser, og når ble den sist øvd?
Svakt: Vi har en omfattende prosess for hendelseshåndtering.
Bedre: Beredskapsplanen for hendelser eies av utviklingssjefen og definerer alvorlighetsnivåer, vaktordningen, kommunikasjon med kundene innen 24 timer ved hendelser som berører dataene deres, og en gjennomgang etter hendelsen innen fem virkedager. Den ble sist øvd i en skrivebordsøvelse i mars med en simulert lekkasje av påloggingsopplysninger; funnene ble lukket i april. Planen er vedlagt.
Sårbarhetshåndtering
Spørsmål: Hvordan identifiserer og utbedrer dere sårbarheter?
Svakt: Vi patcher raskt og overvåker sårbarheter.
Bedre: Avhengigheter skannes ved hvert bygg og operativsystembildene ukentlig; funn prioriteres etter alvorlighet med mål om utbedring innen 7 dager for kritiske og 30 dager for høye. En ekstern penetrasjonstest utføres årlig; sammendraget fra mars er vedlagt, med alle funn lukket. Sikkerhetsrettelser slippes utenom den ordinære utgivelsessyklusen når det trengs.
Underdatabehandlere
Spørsmål: Hvilke tredjeparter behandler kundedata?
Svakt: Vi samarbeider bare med pålitelige leverandører som etterlever kravene.
Bedre: Kundedata behandles av hostingleverandøren vår (EU-region), e-postleverandøren vår og AI-leverandøren vår, hver under en databehandleravtale. Den gjeldende listen med lokasjoner og formål er publisert på nettstedet vårt, og kundene varsles om endringer 30 dager i forveien. Våre egne ansatte får tilgang til produksjonsdata bare gjennom navngitte kontoer med logging.
Forretningskontinuitet
Spørsmål: Hvordan ville dere opprettholdt tjenesten ved et større driftsavbrudd?
Svakt: Vi har redundans på plass for å sikre høy tilgjengelighet.
Bedre: Tjenesten kjører i to tilgjengelighetssoner med automatisk failover; et fullstendig regionalt bortfall dekkes av sikkerhetskopiene og infrastruktur som kode, med en testet gjenoppbyggingstid på fire timer. Kontinuitetsplanen navngir beslutningstakeren og kommunikasjonsveien til kundene. Sist øvd i den kvartalsvise gjenopprettingstesten; resultatet er vedlagt.
Ansatte og opplæring
Spørsmål: Får de ansatte sikkerhetsopplæring?
Svakt: Alle ansatte har fått opplæring i sikkerhetsbevissthet.
Bedre: Alle ansatte gjennomfører opplæring i sikkerhetsbevissthet den første uken og deretter årlig, fulgt opp av HR; dagens gjennomføringsgrad er 100 prosent. Utviklere gjennomfører i tillegg årlig opplæring i sikker utvikling. Phishing-simuleringer kjøres kvartalsvis, og resultatene går inn i neste opplæring.
Hvorfor disse fungerer
Hvert av de bedre svarene kan kontrolleres av en kontrollør på fem minutter, og en kontrollør som kan sjekke ett svar, stoler mer på det neste. De svake svarene kan ikke kontrolleres i det hele tatt, så de utløser et oppfølgingsspørsmål og, over to hundre rader, et rykte. Responsemate skriver utkast i den bedre formen fra dine egne retningslinjer og tidligere svar, med kilden vedlagt, slik at gjennomgangen handler om å sjekke fakta i stedet for å skrive prosa. Slik fungerer utkastene.
Vanlige spørsmål
Kan vi gjenbruke disse eksemplene?
Bare formen. Alle fakta i dem er oppdiktet. Et svar kopiert fra et nettsted er en påstand du ikke kan underbygge, og kontrollører stiller oppfølgingsspørsmål.
Hvor langt bør et svar være?
To til fire setninger for de fleste spørsmål. Langt nok til å nevne kontrollen, eieren, hyppigheten og dokumentasjonen. Noe lengre betyr som regel at svaret beroliger i stedet for å informere.