Dokumentene vurdererne oftest ber om
I de fleste spørreskjemaer går de samme forespørslene igjen, omtrent i denne rekkefølgen etter hyppighet:
- Informasjonssikkerhetspolicyen og retningslinjene den viser til: tilgangsstyring, akseptabel bruk, dataklassifisering, hendelseshåndtering, forretningskontinuitet, leverandørstyring.
- Et gyldig sertifikat eller en attestasjon, hvis du har en: ISO 27001, SOC 2 Type II, ISAE 3000, Cyber Essentials, eller hostingleverandørens.
- Sammendraget av den siste penetrasjonstesten, med dato, omfang og status for funnene. Sammendraget, ikke hele rapporten, med mindre de ber om den.
- Planen for forretningskontinuitet eller katastrofegjenoppretting, og dokumentasjon på at den er testet: dato og resultat for siste øvelse.
- Databehandleravtalen og listen over underdatabehandlere.
- Bevis på cyberforsikring: polisebeviset med dekning og utløp.
- Et organisasjonskart eller en navngitt sikkerhetskontakt.
- For SaaS: arkitekturoversikten, dataflyten og hvor data lagres.
Ha disse åtte klare og navngitt, så trenger de fleste spørreskjemaer ikke noe mer.
Hva hvert av dem beviser
Vurderere leser ikke dokumentasjon for moro skyld; de leser den for å verifisere en påstand. Match dokumentet til påstanden. Et sertifikat beviser at en revisor kontrollerte omfanget på en dato. En retningslinje beviser at regelen finnes og hvem som eier den. Et testsammendrag beviser at noen lette etter hull og hva som skjedde med dem de fant. En gjennomført øvelsesrapport beviser at kontinuitetsplanen er mer enn et dokument. Et svar som sier «vi tester sikkerhetskopier kvartalsvis» og legger ved forrige kvartals testlogg, er ferdig; det samme svaret med sikkerhetskopieringsretningslinjen vedlagt inviterer til oppfølgingsspørsmålet «men tester dere den?».
Navngi og dater alt
En vurderer som åpner «policy_final_v3 (2).pdf», lærer ingenting av navnet. Navngi filer etter hva de er og når: «Retningslinje for tilgangsstyring, gjennomgått 2026-05.pdf», «Sammendrag av penetrasjonstest, 2026-03, ekstern.pdf». Sett datoen for siste gjennomgang inne i dokumentet også; filnavnet går tapt når kunden kopierer det inn i sitt eget system.
Legg ved der det blir spurt, ikke overalt
Legg et dokument ved spørsmålet som ber om det, og vis til det ved navn fra beslektede spørsmål («se tilgangsstyringsretningslinjen vedlagt spørsmål 4.2»). Å legge hele settet av retningslinjer ved hvert ark begraver det ene dokumentet vurdereren trengte, og dobler størrelsen på filen du sender tilbake.
Sammendrag for sensitivt materiale
Noen dokumenter hjelper en angriper like mye som en vurderer: nettverksdiagrammer med adresser, hele penetrasjonstesten med reproduksjonssteg, interne driftsprosedyrer med systemnavn. For disse legger du ved et sammendrag som gir vurdereren det som trengs (omfang, dato, kategorier av funn, status for utbedring), og tilbyr hele dokumentet i en samtale eller et datarom. De fleste vurderere godtar dette uten diskusjon, fordi deres eget sikkerhetsteam ville sagt det samme.
Hold dokumentasjonen oppdatert, med en dato
Dokumentasjon eldes etter en plan du kjenner på forhånd: sertifikatet utløper, testen forfaller, forsikringen fornyes, retningslinjen har årlig gjennomgang. Sett disse datoene på dokumentene i svarbiblioteket ditt, og la noe varsle deg før en kunde gjør det. Å sende et utløpt sertifikat er den vanligste unngåelige feilen i spørreskjemaer, og den kan unngås fullt ut.
I Responsemate
Filer i kunnskapsbasen har en utløpsdato og en aktualitetsstatus, en nattlig kontroll flagger det som er blitt gammelt, og dokumentasjon kan legges ved et svar i spørreskjemaet fra biblioteket med ett klikk, eller finnes for deg av AI-assistenten når et spørsmål ber om det. Slik fungerer filer og dokumentasjon.
Vanlige spørsmål
Bør vi sende fullstendige retningslinjer til en kunde?
Vanligvis selve retningslinjen, ja, under den konfidensialiteten spørreskjemaet allerede er omfattet av. Interne prosedyrer med systemnavn og nettverksdetaljer bør heller oppsummeres. Hvis et dokument ville hjelpe en angriper mer enn en vurderer, send et sammendrag og tilby fullversjonen i en samtale.
Hva om vi ikke har noen penetrasjonstest?
Si det som det er, si når neste er planlagt, og beskriv hva du gjør i stedet (sårbarhetsskanning, kodegjennomgang, et bug bounty-program). En vurderer vil heller vite det enn å få tilsendt en skannerapport merket som en test.
Hvor gammel kan dokumentasjonen være?
Et sertifikat er gyldig til utløpsdatoen. En penetrasjonstest eldre enn ett år blir som regel stilt spørsmål ved. Retningslinjer bør vise en gjennomgang i løpet av året. Er et dokument eldre, legg det ved med en merknad om når det gjennomgås neste gang.