Formen på ett svar som går igenom
Varje svar nedan gör fyra saker på några få meningar: det namnger kontrollen, det namnger vem som äger den, det anger hur ofta den sker och det anger var underlaget finns. De svaga versionerna gör motsatsen: de lugnar. Granskare får betalt för att inte låta sig lugnas.
Åtkomstkontroll
Fråga: Hur tilldelas, granskas och återkallas användares åtkomsträttigheter?
Svagt: Vi följer principen om minsta möjliga behörighet och åtkomsten är strikt kontrollerad.
Bättre: Åtkomst begärs via ett ärende och godkänns av systemägaren; konton skapas endast med rollens standardrättigheter. IT-chefen granskar alla åtkomsträttigheter kvartalsvis mot HR-listan, och granskningen dokumenteras i ärendesystemet. Åtkomst återkallas sista arbetsdagen som en del av HR:s checklista vid avslut. Åtkomstpolicyn bifogas.
Kryptering
Fråga: Är kunddata krypterade i vila och under överföring?
Svagt: Ja, vi använder kryptering enligt branschstandard.
Bättre: Under överföring använder alla anslutningar TLS 1.2 eller senare; äldre protokoll är avstängda i lastbalanseraren. I vila är databaser och säkerhetskopior krypterade med AES-256 med nycklar som hanteras av hostingleverantörens nyckeltjänst; nycklarna roteras årligen. Bärbara datorer är helt diskkrypterade och hanteras centralt.
Säkerhetskopior
Fråga: Hur ofta tas säkerhetskopior och hur ofta testas de?
Svagt: Säkerhetskopior tas regelbundet och kan återställas vid behov.
Bättre: Databaser säkerhetskopieras varje timme med punktåterställning och sparas i 35 dagar; fillagringen replikeras över två regioner. En fullständig återställning till en separat miljö testas kvartalsvis av plattformsteamet; det senaste testet gjordes i juni och loggen bifogas. Återställningspunktmålet är en timme, återställningstidsmålet fyra timmar.
Incidenthantering
Fråga: Har ni en incidenthanteringsplan, och när övades den senast?
Svagt: Vi har en omfattande process för incidenthantering.
Bättre: Incidenthanteringsplanen ägs av utvecklingschefen och definierar allvarlighetsnivåer, jourschemat, kommunikation med kunder inom 24 timmar vid incidenter som påverkar deras data samt en genomgång efter incidenten inom fem arbetsdagar. Den övades senast i en skrivbordsövning i mars med en simulerad läcka av inloggningsuppgifter; iakttagelserna stängdes i april. Planen bifogas.
Sårbarhetshantering
Fråga: Hur identifierar och åtgärdar ni sårbarheter?
Svagt: Vi patchar snabbt och övervakar sårbarheter.
Bättre: Beroenden skannas vid varje bygge och operativsystemsavbilderna varje vecka; fynd prioriteras efter allvarlighetsgrad med åtgärdsmål på 7 dagar för kritiska och 30 dagar för höga. Ett externt penetrationstest utförs årligen; sammanfattningen från mars bifogas med alla fynd stängda. Säkerhetsfixar släpps utanför den normala releasecykeln vid behov.
Underbiträden
Fråga: Vilka tredje parter behandlar kunddata?
Svagt: Vi arbetar bara med betrodda leverantörer som uppfyller kraven.
Bättre: Kunddata behandlas av vår hostingleverantör (EU-region), vår leverantör av e-postutskick och vår AI-leverantör, var och en under ett personuppgiftsbiträdesavtal. Den aktuella listan med platser och ändamål publiceras på vår webbplats, och kunder meddelas om ändringar 30 dagar i förväg. Vår egen personal har åtkomst till produktionsdata endast via namngivna konton med loggning.
Verksamhetskontinuitet
Fråga: Hur skulle ni upprätthålla tjänsten vid ett större avbrott?
Svagt: Vi har redundans på plats för att säkerställa hög tillgänglighet.
Bättre: Tjänsten körs i två tillgänglighetszoner med automatisk failover; ett fullständigt regionalt avbrott täcks av säkerhetskopiorna och infrastruktur som kod, med en testad återuppbyggnadstid på fyra timmar. Kontinuitetsplanen namnger beslutsfattaren och kommunikationsvägen till kunderna. Senast övad i det kvartalsvisa återställningstestet; resultatet bifogas.
Personal och utbildning
Fråga: Får medarbetarna säkerhetsutbildning?
Svagt: All personal är utbildad i säkerhetsmedvetenhet.
Bättre: Varje medarbetare genomför utbildning i säkerhetsmedvetenhet under sin första vecka och därefter årligen, vilket följs upp av HR; nuvarande genomförandegrad är 100 procent. Utvecklare genomför dessutom årligen utbildning i säker utveckling. Phishingsimuleringar körs kvartalsvis, och resultaten styr nästa utbildning.
Därför fungerar de
Varje bättre svar kan kontrolleras av en granskare på fem minuter, och en granskare som kan kontrollera ett svar litar mer på nästa. De svaga svaren går inte att kontrollera alls, så de ger en följdfråga och, över tvåhundra rader, ett rykte. Responsemate skriver utkast i den bättre formen utifrån dina egna policyer och tidigare svar, med källan bifogad, så att granskningen blir att kontrollera fakta i stället för att skriva prosa. Så fungerar utkasten.
Vanliga frågor
Kan vi återanvända de här exemplen?
Bara formen. Varje faktum i dem är påhittat. Ett svar som kopierats från en webbplats är ett påstående du inte kan styrka, och granskare ställer följdfrågor.
Hur långt bör ett svar vara?
Två till fyra meningar för de flesta frågor. Tillräckligt långt för att namnge kontrollen, ägaren, frekvensen och underlaget. Allt som är längre betyder oftast att svaret lugnar i stället för att informera.