Det billigste tilbud: spørgsmål, ledelsen bør stille før godkendelsen

Når tre tilbud på en sikkerhedstest ligger på bordet, er det fristende at vælge det billigste. Det kan være det rigtige valg, men det kan også betyde, at ledelsen får noget andet end det, den troede, den købte. Tilbud på sikkerhedstest er svære at sammenligne, fordi den samme betegnelse kan dække meget forskelligt arbejde. Før ledelsen godkender det laveste tilbud, bør den stille nogle få spørgsmål, som ikke kræver teknisk viden. Svarene viser, om forskellen i pris skyldes forskel i indhold, i forudsætninger eller i, hvem der udfører arbejdet.

Et lavt tilbud er ikke et problem i sig selv

Et tilbud kan være lavere, fordi leverandøren har en enklere organisation, fordi opgaven er forstået mere præcist, eller fordi den er afgrænset skarpere. Det er ikke et tegn på dårlig kvalitet. Omvendt er et højt tilbud ingen garanti for et godt resultat. → Den dyreste test er den bedste

Problemet opstår, når ledelsen sammenligner tal uden at sammenligne indhold. Så risikerer den at vælge et tilbud, der er billigere, fordi det ikke dækker det samme. Det kan først vise sig, når rapporten er leveret, og bestyrelsen eller en kunde spørger, hvad testen egentlig undersøgte. På det tidspunkt er pengene brugt, og en ny test vil koste både tid og troværdighed. Det er derfor billigere at stille spørgsmålene, før tilbuddet godkendes, end at opdage forskellen bagefter.

Spørgsmål om indholdet

Det første sæt spørgsmål handler om, hvad ledelsen får for pengene.

Hvilken slags undersøgelse er det? · en penetrationstest, hvor en person aktivt afprøver systemerne, er noget andet end en automatisk scanning, selv om begge kan kaldes en sikkerhedstest. → Penetrationstest, scanning eller gennemgang
Hvilke systemer er med? · og hvilke er ikke? Et kortere tilbud kan dække færre systemer.
Hvor meget arbejde ligger der bag? · bed om en beskrivelse af indsatsen, så den kan sammenlignes med de andre tilbud.
Hvad leveres til sidst? · en rapport, et resumé til ledelsen, et møde om resultatet? → Leverancen set fra ledelsen
Er en kontrol af rettelserne med? · eller skal den købes særskilt?

Ledelsen behøver ikke forstå de tekniske detaljer. Det er nok at bede alle leverandører om at svare på de samme spørgsmål og se, om svarene er sammenlignelige. Hvis en leverandør ikke vil eller kan svare, er det også et svar. Hvordan tilbud generelt sammenlignes, forklarer penetrationtest.dk.

Spørgsmål om, hvem der udfører arbejdet

NCSC i Storbritannien skriver, at kvaliteten af en penetrationstest hænger tæt sammen med evnerne hos de testere, der udfører den. Det er derfor rimeligt, at ledelsen spørger til personerne og ikke kun til firmaet.

Hvem udfører testen? · og har de erfaring med den type systemer, der skal testes?
Er der tale om underleverandører? · og i så fald hvem, og på hvilke vilkår?
Hvem kan ledelsen tale med? · hvis der er spørgsmål til resultatet.

Svarene skal ikke bruges til at vurdere teknisk dygtighed, men til at sikre, at ledelsen ved, hvem den overlader adgangen til sine systemer. → Spørgsmål til testeren

Spørgsmål om forudsætninger og ekstra omkostninger

Et lavt tilbud kan bygge på forudsætninger, som virksomheden ikke selv kan opfylde, og som først bliver en udgift senere.

Hvad forventer leverandøren af os? · adgange, testkonti, tid fra IT og en kontaktperson undervejs.
Hvad koster det, hvis noget tager længere tid? · fx hvis en del af testen skal flyttes.
Er arbejde uden for normal arbejdstid med? · hvis det er nødvendigt for at undgå forstyrrelser.
Er møder og spørgsmål efter rapporten med? · eller faktureres de særskilt?

Når forudsætningerne er lagt sammen, kan forskellen mellem to tilbud blive mindre, end den så ud til. Det kan også vise sig, at det billigste tilbud kræver mere af jeres egne folk, fordi leverandøren forventer, at IT selv forbereder mere eller er til rådighed i længere tid. Den tid er også en omkostning, selv om den ikke står på fakturaen. → Hvad testen kræver af jeres egne folk

Spørgsmål om uafhængighed

Et særligt lavt tilbud kan nogle gange skyldes, at leverandøren regner med at tjene pengene på noget andet bagefter, fx salg af løsninger eller drift. Det er ikke ulovligt, men det giver leverandøren en interesse i resultatet. Ledelsen bør spørge, om leverandøren sælger produkter eller ydelser, der kan blive relevante efter testen, og overveje, hvad det betyder for, hvordan fundene præsenteres. Et fund, der passer til et produkt, leverandøren sælger, kan få mere vægt i rapporten, end det fortjener, selv uden at nogen har ment det sådan. → Uvildighed

Et tænkt eksempel

En virksomhed, der udlejer maskiner til byggebranchen, har fået tre tilbud på en test af sin bookingportal. Det billigste ligger tydeligt under de to andre. Den administrerende direktør beder alle tre om at besvare de samme spørgsmål.

Svarene viser, at det billigste tilbud er en automatisk scanning med en kort gennemgang, at det ikke dækker de funktioner, kunderne bruger efter at have logget ind, og at et møde om resultatet koster ekstra. Det mellemste tilbud dækker portalen, som ledelsen ønskede. Ledelsen vælger det, men beder samtidig om at få afgrænsningen skrevet tydeligt ind, så ingen bagefter er i tvivl om, hvad testen omfattede. Da bestyrelsen senere spørger, hvorfor ledelsen ikke valgte det billigste, kan direktøren vise svarene side om side. Valget var ikke dyrere end nødvendigt, men det eneste, der svarede på det, ledelsen ville vide. → Tilbuddet forklaret for ledere

Det skal I lade være med

At sammenligne tal uden indhold · stil de samme spørgsmål til alle.
At antage, at billigt er dårligt · det kan også være præcist.
At overse forudsætningerne · de kan blive til ekstra regninger.
At glemme at spørge, hvem der udfører arbejdet · kvaliteten følger personerne.
At se bort fra salg bagefter · det kan farve resultatet.

Hvad kan og ikke kan konkluderes

Spørgsmålene kan vise, om tilbuddene dækker det samme, og om et lavt tilbud skjuler begrænsninger eller senere udgifter. De kan ikke afgøre, hvilken tester der finder mest, og de erstatter ikke den tillid, der opbygges gennem et samarbejde. Det billigste tilbud kan være det rigtige. Ledelsen skal blot vide, hvad den godkender. Og den skal kunne forklare valget, hvis nogen senere spørger. Hvad der påvirker omfanget af en opgave hos Nielco IT, fremgår under pris og tilbud.