Läs igenom hela innan du besvarar något
Ett säkerhetsfrågeformulär ser ut som en lista, men det är en berättelse om en enda sak: om kunden kan anförtro dig sina data. Skumma igenom varje blad och varje kolumn innan du skriver ett ord. Du kommer att hitta samma fråga ställd på tre sätt (åtkomstkontroll under ”Identitet”, ”Drift” och ”Moln”), frågorna som bara gäller om du hostar data själv, och de som i tysthet ber om ett dokument snarare än ett svar. Att veta det i förväg sparar de två dyraste misstagen: att motsäga dig själv mellan bladen, och att besvara något som inte gällde dig.
Markera tre saker medan du läser: vad som inte är tillämpligt och varför, vad som kräver ett dokument du redan har, och vad som kräver en person som inte är du.
Svara utifrån vad du faktiskt gör, skriftligt
Den bästa källan till ett svar är inte det senaste frågeformuläret; det är din egen policy, rutin eller konfiguration. Öppna policyn för åtkomstkontroll och besvara frågorna om åtkomstkontroll utifrån den. Där policyn och verkligheten skiljer sig åt har frågeformuläret just hittat en lucka; svara utifrån verkligheten och rätta policyn, aldrig tvärtom. Granskare läser hundratals sådana här, och ett svar som citerar ett verkligt dokument med en verklig ägare läses annorlunda än ett som skrevs för att låta rätt.
Om du saknar policy för området, säg det och beskriv hur det görs i praktiken. Det är ett ärligt svar, och det accepteras betydligt oftare än team väntar sig.
Håll en röst och en uppsättning fakta
Tvåhundra svar skrivna av sex personer i sex olika stilar ser ut som sex olika företag. Bestäm rösten en gång för alla: första person plural, presens, konkret. ”Vi granskar behörigheter kvartalsvis; IT-chefen ansvarar för granskningen och resultaten sparas i ärendesystemet” är formen att sikta på. Håll sedan fakta identiska överallt: om du säger att säkerhetskopior testas varje månad på blad ett, testas de varje månad på blad fyra.
Det är här ett delat svarsbibliotek gör nytta. Ett svar du godkände förra kvartalet är utgångspunkten för det här, och när fakta ändras ändrar du det på ett ställe.
Bifoga underlag där det efterfrågas, inte överallt
Vissa frågor vill ha ett dokument: policyn, den senaste sammanfattningen av penetrationstestet, certifikatet. Bifoga dem, och namnge dem så att granskaren vet vad som öppnas. Bifoga inte hela policymappen till varje blad; en granskare som måste öppna tolv filer för att verifiera en kontroll antar att resten är utfyllnad. Vår guide om vilket underlag du bör bifoga går igenom de vanliga önskemålen.
Markera det du är osäker på
Varje frågeformulär har tio frågor där det ärliga svaret är ”jag tror det, men jag måste kolla”. Flagga dem för den som vet i stället för att gissa. Kostnaden för ett felaktigt ”ja” är ett samtal om en säkerhetsincident arton månader senare, med ditt frågeformulär som bevis nummer ett. Kostnaden för en flagga är en dag.
Skicka tillbaka det i filen de skickade
Kunder hanterar frågeformulär i den layout de valt, ofta med ett verktyg på sin sida. Behåll deras kolumner, deras blad och deras numrering, och fyll i den svarskolumn de gav dig. Ett frågeformulär som kommer tillbaka som PDF med en annan struktur kopieras ut för hand av någon i deras team, och dina svar tappar formatering och ibland även innebörd på vägen.
Spara allt till nästa gång
Det andra frågeformuläret från en kund är bara lättare än det första om du sparade det första. Spara de godkända svaren, underlaget du bifogade, vem som svarade på vad, och datumet. Nästa kvartal besvarar du samma tvåhundra frågor från en annan kund, och åttio procent av jobbet är redan gjort, förutsatt att svaren fortfarande stämmer. Sätt ett utgångsdatum på dem som åldras (certifikat, testrapporter, antal anställda) så att du kontrollerar dem på nytt i stället för att skicka dem igen.
Så ser det ut med ett verktyg byggt för uppgiften
Responsemate gör den mekaniska halvan av ovanstående: läser kundens fil, hittar fråge- och svarskolumnerna på varje blad, skriver ett utkast till varje svar utifrån dina policyer, dokument och tidigare svar, visar vilka källor som använts och hur säker den är, låter ditt team granska och godkänna, och exporterar till filen kunden skickade. Omdömet stannar hos dig. Så fungerar flödet för frågeformulär.
Vanliga frågor
Vem bör besvara ett säkerhetsfrågeformulär?
En ansvarig som samordnar, och de personer som faktiskt driver varje område: infrastruktur, HR, juridik, produktteamet. Den ansvarige håller en röst; specialisterna står för fakta. Ett svar som ingen i företaget skulle stå bakom är värre än ”inte tillämpligt” med en motivering.
Vad gör vi om vi saknar en policy för något de frågar om?
Säg det, och säg vad du gör i stället. ”Vi har ingen skriven policy för X; i praktiken gör vi Y” är ett ärligt svar som granskare respekterar, och det är början på den policy du skriver nästa kvartal.
Hur detaljerat behöver ett svar i ett säkerhetsfrågeformulär vara?
Tillräckligt för att granskaren ska kunna verifiera det: kontrollen, vem som äger den, hur ofta den körs och var underlaget finns. Två eller tre meningar räcker oftast. Ett stycke lugnande ord utan fakta ger en följdfråga.