Börja med att skriva ner det du redan gör
Ett företag med tio anställda har mer säkerhetspraxis än säkerhetsdokument. Datorerna är krypterade för att operativsystemet gör det; åtkomst ges av en person som känner alla; backuper körs för att hostingleverantören kör dem; kod granskas för att två personer tittar på varje ändring. Inget av detta är nedskrivet, och ett frågeformulär frågar efter exakt det. Ägna den första förmiddagen åt att skriva en sida per område: vem som har åtkomst till vad och hur det ändras, hur kod når produktion, var data finns och hur den säkerhetskopieras, vad som händer om någon tappar bort en dator, vad som händer om tjänsten går ner. Enkla meningar, så som det är i dag. Den sidan är din policy för frågeformuläret, och fröet till den riktiga.
Luta dig mot dina leverantörer
Det mesta av din infrastruktursäkerhet är hostingleverantörens, och de har besvarat de här frågorna offentligt. Deras efterlevnadssidor, publicerade frågeformulär och certifieringar besvarar frågorna om fysisk säkerhet, datacenter, kryptering i vila och tillgänglighet åt dig. Hänvisa till dem med namn och lägg till den enda meningen om vad du konfigurerar ovanpå: vilken region, vilken krypteringsinställning, vem som har nycklarna. Samma sak gäller dina leverantörer av e-post, betalningar och identitet.
Säg vad du inte har, och när du får det
Du kommer att ha luckor: inget penetrationstest ännu, ingen formell incidentplan, inget program för säkerhetsutbildning. Svaret som håller affären vid liv är specifikt: ”Inget externt penetrationstest har utförts; ett är inplanerat till fjärde kvartalet med en namngiven leverantör. Beroenden skannas vid varje bygge.” Granskare hos stora kunder har en process för att acceptera leverantörer med luckor och en plan. De har ingen för leverantörer som påstod sig sakna luckor och avslöjades.
Behåll det första frågeformuläret; det är ditt bibliotek
De 180 svaren du skriver den här veckan är större delen av svaren på nästa frågeformulär, och det efter det. Förvara dem någonstans bättre än i det skickade mejlet: på ett ställe, med datum och en anteckning om vem som bekräftade varje svar. När något ändras (du anställer, byter region, får testet gjort) uppdaterar du det enda svar det påverkar. Det andra frågeformuläret tar en dag i stället för en vecka, och det tredje en eftermiddag.
Skaffa de tre dokument som öppnar de flesta affärer
Om du bara skriver tre dokument i år, skriv informationssäkerhetspolicyn (ensidorna ovan, hopstädade till ett enda dokument med en ägare och ett granskningsdatum), incidenthanteringsplanen (vem som beslutar, vem som informerar kunderna, inom vilken tid) och listan över underbiträden med en mall för personuppgiftsbiträdesavtal. De tre besvarar de frågor som oftast blockerar en upphandling.
När det är dags för ett verktyg
När frågeformulären kommer snabbare än en person hinner besvara dem ur minnet gör ett verktyg byggt för uppgiften om biblioteket till utkast och håller reda på datumen. Responsemate används av små team för precis detta: importera kundens fil, skriv utkast till varje svar från ensidorna och det senaste frågeformuläret, granska dem det markerar som osäkra, exportera i kundens format och behåll allt till nästa. Så använder en liten leverantör det.
Vanliga frågor
Behöver vi ISO 27001 för att sälja till stora kunder?
Oftast inte, men du behöver besvara deras frågeformulär väl. Många kunder accepterar en liten leverantör utan certifiering om svaren är specifika, ärliga och stöds av de få dokument som spelar roll. Certifikatet blir värt sin kostnad när frågeformulären börjar komma varje vecka.
Vad händer om vi svarar ”nej” på många frågor?
Svara ”nej” och berätta vad du gör i stället, eller när du tänker göra det. En granskare ser hellre femton ärliga luckor med datum än femton vaga ja. Vaga ja är det som fäller revisioner senare.