Når flere kunder spørger til jeres sikkerhed, betaler det sig at bygge én fælles samling dokumentation, som alle svar hentes fra. Samlingen består af ledelsens politik, en beskrivelse af de vigtigste foranstaltninger, et bibliotek af godkendte standardsvar og de beviser, I kan dele. En CISO holder den ajour efter en fast rytme, så sælgere og projektledere ikke skriver deres egne versioner. Resultatet er hurtigere svar, færre modstridende løfter og et overblik over, hvad hver kunde har fået at vide.
Hvorfor hver forespørgsel ellers starter forfra
Uden en fælles samling bliver hvert spørgeskema løst af den, der lige har tid. Svarene skrives ud fra hukommelsen, kopieres fra en gammel mail eller formuleres, så salget kan lukkes. Efter et år har virksomheden givet ti kunder ti lidt forskellige beskrivelser af den samme backup.
Det er et problem af to grunde. Det koster tid, fordi de samme spørgsmål besvares igen og igen. Og det skaber risiko, fordi et svar i et spørgeskema eller et bilag til en kontrakt kan blive læst som et løfte. Hvem der bør eje svarene, er beskrevet i Kunden har sendt et sikkerhedsspørgeskema.
Hvad samlingen bør indeholde
En brugbar samling har fem dele:
- Politikken. Informationssikkerhedspolitikken, godkendt og dateret af ledelsen. Hvad den bør rumme, står i Informationssikkerhedspolitik.
- En sikkerhedsbeskrivelse. Et dokument på nogle få sider, der forklarer, hvordan sikkerheden er organiseret, hvem der har ansvaret, og hvilke foranstaltninger der er på plads inden for adgangsstyring, backup, opdateringer, hændelseshåndtering og leverandører.
- Et bibliotek af standardsvar. De spørgsmål, der kommer igen, med et godkendt svar, en ejer og en dato for seneste gennemsyn.
- Beviser. Certifikat eller mærke, hvis I har et, resuméer af test og uddrag af procedurer. Hvordan et D-mærke eller et ISO 27001-certifikat kan indgå, står i D-mærket som dokumentation over for kunder og ISO 27001 i en mindre virksomhed.
- En udleveringslog. Hvilken kunde har fået hvilket dokument i hvilken version, og under hvilke vilkår.
Testrapporter kræver særlig omtanke, fordi de indeholder sårbarheder, som ikke bør sendes rundt. Hvordan samme testrapport kan deles med flere kunder i forskellige versioner, er beskrevet på nis2-pentest.dk.
Niveauer for, hvad der deles
Det meste af samlingen kan ikke lægges frit tilgængeligt. En enkel inddeling i tre niveauer hjælper:
- Offentligt. En kort beskrivelse af sikkerhedsarbejdet og eventuelle certifikater eller mærker, fx på hjemmesiden.
- Til kunder under fortrolighed. Sikkerhedsbeskrivelsen, politikken og standardsvarene.
- Efter særskilt aftale. Testresuméer, detaljerede procedurer og oplysninger om leverandører.
Nogle virksomheder samler de to første niveauer i en portal, som kunderne får adgang til. Ordet “trust center” bruges ofte om sådan en side. En portal er dog ingen betingelse. En mappe med styret adgang og en log virker også, hvis den bliver holdt ajour.
Vær opmærksom på det øjeblik, hvor et dokument fra samlingen vedlægges en kontrakt. Så bliver netop den version en del af aftalen med den kunde, og senere ændringer gælder ikke automatisk. Notér i loggen, hvilken version der er bilag til hvilken kontrakt, og lad CISO vurdere, om en opdatering skal meddeles kunden. Dokumenter på det andet og tredje niveau bør først udleveres, når der er en fortrolighedsaftale eller en fortrolighedsklausul i kontrakten.
Hvem holder samlingen ved lige
Samlingen forældes hurtigt, hvis ingen ejer den. CISO er den naturlige ejer, fordi rollen alligevel følger risikovurderingen, leverandørerne og hændelserne. I praksis betyder det:
- en fast gennemgang af standardsvarene, fx hvert halve år
- opdatering, når noget væsentligt ændres, som ny driftsleverandør, nyt system eller en hændelse
- godkendelse af nye svar, før de sendes til en kunde
- kontrol af, at sælgere og projektledere bruger samlingen
Gennemgangen kan lægges ind i jeres årshjul for sikkerhedsarbejdet, så den ikke afhænger af, at nogen kommer i tanke om den.
Ledelsen har to opgaver. Den godkender politikken og sikkerhedsbeskrivelsen, fordi de udtrykker virksomhedens løfter. Og den beslutter, hvad der må deles på hvert niveau.
Et tænkt eksempel
Softwarehuset med fem udviklere får i løbet af et år spørgeskemaer fra syv kunder. Det første tager tre uger, fordi svarene skal findes hos udviklerne, driftsleverandøren og direktøren. Den eksterne CISO samler derefter svarene i et bibliotek med 120 standardsvar og skriver en sikkerhedsbeskrivelse på fem sider, som direktøren godkender. Det næste skema besvares på få dage, og to af svarene opdateres, fordi en ny kunde spørger mere præcist end de tidligere. Udleveringsloggen viser bagefter, hvem der fik den gamle version, så de kan få den nye.
Når kunderne vil have deres egen skabelon
Mange kunder sender deres eget skema og afviser henvisninger til et vedhæftet dokument. Samlingen er stadig grundlaget. Svarene kopieres ind fra biblioteket og tilpasses kundens formulering, og afvigelser fra standardsvaret noteres, så samlingen kan opdateres, hvis kunden har afdækket et hul. Krav i selve kontrakten bør læses særskilt, se Sikkerhedskrav i kundekontrakten.
Det skal I lade være med
- At lade sælgerne skrive egne sikkerhedssvar · svarene bliver løfter, som driften skal leve op til.
- At sende den fulde testrapport til alle, der spørger · del resuméer, og hold detaljerne tilbage.
- At glemme datoen på dokumenterne · en kunde bør kunne se, hvor nyt svaret er.
- At lægge alt på en åben side · det, der hjælper kunden, kan også hjælpe en angriber.
- At opdatere svarene uden at fortælle de kunder, der fik de gamle · udleveringsloggen findes til netop dette.
Det skal I kræve af den eksterne
- ☐ En struktur for samlingen med navngivne ejere af hvert dokument.
- ☐ Et bibliotek af standardsvar, som ledelsen har godkendt.
- ☐ En klar regel for, hvad der deles på hvilket niveau.
- ☐ En gennemgang af samlingen efter en fast plan og efter større ændringer.
- ☐ En log over udleverede dokumenter, der ligger hos jer.
Næste skridt er at samle de spørgeskemaer, I har besvaret de seneste to år, og finde de spørgsmål, der går igen. De er begyndelsen på biblioteket, og de svar, der ikke længere passer, er en liste over det, der skal rettes først.
Senest gennemgået: november 2026.
Næste skridt
Læs også: ISO 27001 eller D-mærket · Sikkerhedsrapport til bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
