Dokumenten granskare oftast ber om
I de flesta frågeformulär återkommer samma önskemål, ungefär i den här ordningen efter hur vanliga de är:
- Informationssäkerhetspolicyn och de policyer den hänvisar till: behörighetsstyrning, godtagbar användning, dataklassificering, incidenthantering, kontinuitet, leverantörshantering.
- Ett gällande certifikat eller bestyrkande, om du har ett: ISO 27001, SOC 2 Type II, ISAE 3000, Cyber Essentials eller din hostingleverantörs.
- Den senaste sammanfattningen av penetrationstestet, med datum, omfattning och status för fynden. Sammanfattningen, inte hela rapporten, om ingen ber om den.
- Kontinuitets- eller katastrofåterställningsplanen, och bevis på att den testats: datum och utfall för den senaste övningen.
- Personuppgiftsbiträdesavtalet och listan över underbiträden.
- Bevis på cyberförsäkring: försäkringsbeviset med omfattning och giltighetstid.
- Ett organisationsschema eller en namngiven säkerhetskontakt.
- För SaaS: arkitekturöversikten, dataflödet och var data lagras.
Ha dessa åtta klara och namngivna, så behöver de flesta frågeformulär inget mer.
Vad vart och ett bevisar
Granskare läser inte underlag för nöjes skull; de läser dem för att verifiera ett påstående. Matcha dokumentet mot påståendet. Ett certifikat bevisar att en revisor kontrollerade omfattningen ett visst datum. En policy bevisar att regeln finns och vem som äger den. En testsammanfattning bevisar att någon letade efter hål och vad som hände med dem som hittades. En genomförd övningsrapport bevisar att kontinuitetsplanen är mer än ett dokument. Ett svar som säger ”vi testar säkerhetskopiorna varje kvartal” och bifogar förra kvartalets testlogg är klart; samma svar med backuppolicyn bifogad bjuder in följdfrågan ”men testar ni dem?”.
Namnge och datera allt
En granskare som öppnar ”policy_final_v3 (2).pdf” lär sig inget av namnet. Namnge filer efter vad de är och när: ”Policy för behörighetsstyrning, granskad 2026-05.pdf”, ”Sammanfattning av penetrationstest, 2026-03, externt.pdf”. Skriv även datumet för den senaste granskningen inne i dokumentet; filnamnet går förlorat när kunden kopierar in filen i sitt eget system.
Bifoga där det efterfrågas, inte överallt
Bifoga ett dokument till den fråga som ber om det, och hänvisa till det med namn från närliggande frågor (”se policyn för behörighetsstyrning som bifogats fråga 4.2”). Att bifoga hela policyuppsättningen till varje blad begraver det enda dokument granskaren behövde och fördubblar storleken på filen du skickar tillbaka.
Sammanfattningar för känsligt material
Vissa dokument hjälper en angripare lika mycket som en granskare: nätverksdiagram med adresser, hela penetrationstestet med reproduktionssteg, interna driftsrutiner med systemnamn. Bifoga för dem en sammanfattning som ger granskaren det hen behöver (omfattning, datum, kategorier av fynd, status för åtgärderna) och erbjud hela dokumentet på ett samtal eller i ett datarum. De flesta granskare godtar det utan diskussion, eftersom deras eget säkerhetsteam skulle säga samma sak.
Håll underlagen aktuella, med ett datum
Underlag åldras enligt ett schema du känner till i förväg: certifikatet går ut, testet ska göras om, försäkringen förnyas, policyn har en årlig granskning. Sätt de datumen på dokumenten i ditt svarsbibliotek och låt något varna dig innan en kund gör det. Att skicka ett utgånget certifikat är det vanligaste onödiga misstaget i ett frågeformulär, och det går helt att undvika.
I Responsemate
Filer i kunskapsbasen har ett utgångsdatum och en aktualitetsstatus, en nattlig kontroll flaggar det som åldrats, och underlag kan bifogas ett svar i frågeformuläret från biblioteket med ett klick, eller hittas åt dig av AI-assistenten när en fråga ber om det. Så fungerar filer och underlag.
Vanliga frågor
Ska vi skicka våra fullständiga policyer till en kund?
Oftast själva policyn, ja, under den sekretess som frågeformuläret redan omfattas av. Interna rutiner med systemnamn och nätverksdetaljer sammanfattas hellre. Om ett dokument skulle hjälpa en angripare mer än en granskare, skicka en sammanfattning och erbjud den fullständiga versionen på ett samtal.
Vad gör vi om vi inte har något penetrationstest?
Säg det, säg när nästa är planerat, och beskriv vad du gör i stället (sårbarhetsskanning, kodgranskning, ett bug bounty-program). En granskare vill hellre veta än få en skanningsrapport märkt som ett test.
Hur gamla får underlag vara?
Ett certifikat gäller till sitt utgångsdatum. Ett penetrationstest äldre än ett år ifrågasätts oftast. Policyer bör visa en granskning inom året. Är ett dokument äldre, bifoga det med en anteckning om när det granskas nästa gång.