Beveiligingsvragenlijsten van enterprises beantwoorden

De eerste beveiligingsvragenlijst van een enterprise is een inwijding voor een SaaS-team. Een veelbelovende deal loopt, en dan stuurt inkoop een spreadsheet met driehonderd regels over encryptie, toegangscontrole, incidentrespons en dataresidentie. De oprichter verliest er een week aan, de antwoorden zijn half gegokt, en drie maanden later stuurt de volgende prospect een net iets andere spreadsheet en herhaalt de week zich.

De oplossing is niet sneller antwoorden. Het is een keer antwoorden.

Bouw een antwoordbibliotheek, geen antwoord

Behandel de eerste vragenlijst als het moment om je echte beveiligingshouding in een onderhouden document vast te leggen: hoe het product is opgebouwd, hoe klantdata wordt opgeslagen en versleuteld, wie toegang heeft tot productie, hoe je test, hoe je een incident zou afhandelen. Elke volgende vragenlijst wordt dan een mapping-oefening tegen deze bibliotheek in plaats van een schrijfproject.

Je hoeft de structuur niet zelf te verzinnen. De Cloud Controls Matrix (CCM) van de Cloud Security Alliance is een controlekader voor cloudbeveiliging met 197 controledoelstellingen over 17 domeinen, en de bijbehorende CAIQ-vragenlijst is de gestandaardiseerde ja/nee-versie die veel kopers direct accepteren. Je bibliotheek langs die domeinen ordenen betekent dat je antwoorden al de taal van inkoop spreken.

Wees eerlijk over hiaten, met een datum

Niets ondermijnt het vertrouwen in een vragenlijst zo erg als een "ja" die bij een vervolggesprek een "een beetje" blijkt. Beveiligingsbeoordelaars bij enterprises lezen de hele dag ontwijkende antwoorden; een helder "nog niet, gepland voor Q4" met een korte onderbouwing leest als volwassenheid, niet als zwakte. De bibliotheek maakt dit makkelijker: hiaten worden op een plek bijgehouden, en elk gedicht hiaat verbetert alle toekomstige antwoorden ineens.

Voeg bewijs toe dat het werk voor je doet

Drie bijlagen beantwoorden meer regels dan welke tekst ook:

• Een recente pentest-samenvatting, met de bevindingen opgelost en hertest. Dit ene document laat het grootste deel van de sectie "testen jullie je beveiliging?" ineenklappen.

• Je notitie over architectuur en tenant-isolatie, want hoe je klanten uit elkaar houdt is de vraag achter veel van de databeschermingsregels.

• Je beleid voor gecoordineerde kwetsbaarheidsmelding, dat laat zien dat je het onverwachte op een gedefinieerde manier afhandelt.

Houd de bibliotheek levend

Een antwoordbibliotheek veroudert net als documentatie. Koppel de herziening ervan aan gebeurtenissen die je toch al hebt: na elke pentest, na elke architectuurwijziging, na elk incident. Tien minuten onderhoud per gebeurtenis houdt elke toekomstige vragenlijst een halve dag werk.

Het patroon achter dit alles is hetzelfde dat door goed beveiligingswerk in het algemeen loopt: doe het echte werk een keer, leg het vast, en laat het artefact voor je antwoorden.