Start med å skrive ned det dere allerede gjør
Et selskap med ti ansatte har mer sikkerhetspraksis enn sikkerhetsdokumenter. Laptopene er kryptert fordi operativsystemet gjør det; tilgang gis av én person som kjenner alle; backup kjører fordi hostingleverandøren kjører den; kode gjennomgås fordi to personer ser på hver endring. Ingenting av dette er skrevet ned, og et spørreskjema spør om akkurat det. Bruk den første formiddagen på å skrive én side per område: hvem som har tilgang til hva og hvordan det endres, hvordan kode kommer i produksjon, hvor data ligger og hvordan de sikkerhetskopieres, hva som skjer hvis noen mister en laptop, hva som skjer hvis tjenesten går ned. Enkle setninger, slik det faktisk er i dag. Den siden er policyen din for spørreskjemaet, og kimen til den ekte.
Støtt deg på leverandørene dine
Det meste av infrastruktursikkerheten din er hostingleverandørens, og de har svart på disse spørsmålene offentlig. Compliance-sidene deres, de publiserte spørreskjemaene og sertifiseringene svarer for deg på spørsmålene om fysisk sikkerhet, datasenter, kryptering ved lagring og tilgjengelighet. Siter dem ved navn og legg til den ene setningen om hva dere konfigurerer oppå: hvilken region, hvilken krypteringsinnstilling, hvem som holder nøklene. Det samme gjelder e-post-, betalings- og identitetsleverandørene deres.
Si hva dere ikke har, og når dere får det
Dere kommer til å ha hull: ingen penetrasjonstest ennå, ingen formell hendelsesplan, ikke noe program for sikkerhetsopplæring. Svaret som holder avtalen i live, er konkret: «Det er ikke utført noen ekstern penetrasjonstest; én er planlagt til fjerde kvartal med en navngitt leverandør. Avhengigheter skannes ved hvert bygg.» Gjennomgåere hos store kunder har en prosess for å godta leverandører med hull og en plan. De har ingen for leverandører som hevdet å ikke ha hull og ble avslørt.
Behold det første spørreskjemaet; det er biblioteket ditt
De 180 svarene du skriver denne uken, er mesteparten av svarene på neste spørreskjema, og det etter. Oppbevar dem et bedre sted enn den sendte e-posten: ett sted, med dato og et notat om hvem som bekreftet hvert av dem. Når noe endrer seg (dere ansetter, flytter region, får testen gjort), oppdaterer du det ene svaret det gjelder. Det andre spørreskjemaet tar en dag i stedet for en uke, og det tredje tar en ettermiddag.
Skaff de tre dokumentene som åpner flest avtaler
Hvis dere bare skriver tre dokumenter i år, skriv informasjonssikkerhetspolicyen (ensidene ovenfor, ryddet sammen til ett dokument med en eier og en dato for gjennomgang), hendelsesplanen (hvem som bestemmer, hvem som varsler kundene, innen hvor lang tid) og listen over underdatabehandlere med en mal for databehandleravtale. De tre svarer på spørsmålene som oftest stopper innkjøp.
Når det er tid for et verktøy
Når spørreskjemaene kommer raskere enn én person kan svare på dem fra hukommelsen, gjør et verktøy bygget for jobben biblioteket om til utkast og holder orden på datoene. Responsemate brukes av små team til nettopp dette: importer kundens fil, lag utkast til hvert svar fra ensidene og forrige spørreskjema, gjennomgå dem det merker som usikre, eksporter i kundens format, og behold alt til neste gang. Slik bruker en liten leverandør det.
Vanlige spørsmål
Trenger vi ISO 27001 for å selge til store kunder?
Vanligvis ikke, men du må svare godt på spørreskjemaet deres. Mange kunder godtar en liten leverandør uten sertifisering hvis svarene er konkrete, ærlige og underbygget av de få dokumentene som betyr noe. Sertifikatet blir verdt kostnaden når spørreskjemaene begynner å komme hver uke.
Hva om vi svarer «nei» på mange spørsmål?
Svar «nei» og si hva dere gjør i stedet, eller når dere planlegger å gjøre det. En gjennomgåer vil heller se femten ærlige hull med datoer enn femten vage ja. Vage ja er det som stryker i revisjoner senere.