Kundekrav eller egne behov: hvad skal testen prioritere?

En vigtig kunde beder om en sikkerhedstest af den løsning, kunden selv bruger. Samtidig ved ledelsen, at den største risiko for virksomheden ligger et andet sted, måske i forretningssystemet eller i adgangen for medarbejdere hjemmefra. Pengene rækker ikke til begge dele i år. Valget hviler på to forhold: hvad kunden faktisk kræver, og hvad virksomheden selv har mest brug for at vide. Begge dele kan tilgodeses, men kun hvis ledelsen træffer valget bevidst og ikke lader kravet afgøre det alene.

Kundens krav er vigtigt. Det kan afgøre en aftale. Men et krav, der er formet efter kundens behov, dækker ikke nødvendigvis det, der står på spil for virksomheden selv.

Hvorfor de to kan pege forskellige steder hen

Kunden ser virksomheden udefra. Kunden vil vide, om de data, kunden betror virksomheden, er beskyttede, og om den løsning, kunden bruger, kan misbruges. Det er et rimeligt spørgsmål.

Ledelsen ser virksomheden indefra. Den ved, hvilke systemer driften ikke kan undvære, hvor forretningshemmelighederne ligger, og hvilke dele der er gamle eller dårligt kendte. De områder kan ligge helt uden for det, kunden spørger til. Det skyldes ikke, at kunden spørger forkert. Kunden kender bare ikke virksomhedens indre forhold og har ingen grund til at interessere sig for dem, så længe kundens egne data er i sikkerhed.

Når et kundekrav bliver det eneste grundlag for at teste, får virksomheden svar på kundens spørgsmål, men ikke på sine egne. → Vi tester, når en kunde kræver det

Find ud af, hvad kunden faktisk kræver

Før ledelsen prioriterer, er det værd at læse kravet præcist. Kundekrav kan være formuleret bredt i en kontrakt eller et spørgeskema og kan dække over forskellige forventninger.

Hvad skal være testet? Den løsning, kunden bruger, eller virksomhedens sikkerhed generelt?
Hvor ofte? Står der en frekvens, eller er det et engangskrav?
Hvilken dokumentation? Vil kunden se hele rapporten, et resumé eller en erklæring om, at testen er gennemført?
Af hvem? Stiller kunden krav til testerens uafhængighed eller kvalifikationer?
Hvornår? Er der en frist, og kan den forhandles?

Svarene kan vise, at kravet er smallere eller mere fleksibelt, end det så ud til. Spørg kunden, hvis kravet er uklart. Det er bedre end at gætte. Nogle kunder vil gerne forklare, hvad de har brug for, og en samtale om kravet kan i sig selv styrke tilliden, fordi den viser, at virksomheden tager spørgsmålet alvorligt. → Kunderne spørger til vores sikkerhed

Tre måder at forene kravet og behovet

Når kravet er afklaret, kan ledelsen vælge mellem flere løsninger.

Samme test, bredere omfang · testen dækker kundens løsning og et eller flere af virksomhedens egne prioriterede områder. Kunden får dokumentation for sin del, og ledelsen får svar på sin.
To test i rækkefølge · kundens løsning testes nu, fordi fristen kræver det, og virksomhedens eget behov kommer i næste periode med en fast dato.
Kundens krav dækket af en planlagt test · hvis virksomheden alligevel skal teste et område, der også dækker kundens behov, kan testen flyttes eller tilpasses.

Valget er ledelsens og ikke salgsafdelingens, selv om det er salg, der har modtaget kravet. Den første løsning kan være den mest effektive, men den kræver, at rapporten kan opdeles, så kunden kun ser det, der vedrører kunden. → Én test, flere modtagere

Hvad ledelsen ikke bør gøre

Den største fejl er at lade kundekravet erstatte virksomhedens egen prioritering år efter år. Så bliver den løsning, kunderne bruger, testet grundigt, mens resten af virksomheden aldrig er undersøgt. Det kan gå godt længe, men en hændelse i et område, ingen har testet, rammer også kunderne.

En anden fejl er at skære kundens del ned for at få plads til egne behov uden at fortælle kunden det. Hvis kunden har krav på en bestemt dokumentation, skal den leveres, eller kunden skal vide, hvorfor den kommer senere. → Hvad skylder vi kunderne?

Når kravet kommer fra mange kunder

For virksomheder, der sælger software eller digitale ydelser, kan kravene komme fra mange kunder på én gang, med hver sit spørgeskema. Hvordan leverandøren håndterer kundernes krav om rapporter og erklæringer, er emnet for søstersitet pentestrapport.dk.

For ledelsen er pointen den samme: summen af kundekrav er ikke det samme som virksomhedens egen risikovurdering. Mange krav om den samme løsning kan give et skævt billede af, hvor der testes, og hvor der ikke gør.

Det kan derfor være en fordel at samle kundekravene ét sted og lade den person i ledelsen, der ejer sikkerhedstesten, se dem samlet på et fast tidspunkt, fx når budgettet lægges, sammen med virksomhedens egen plan. Så bliver det tydeligt, hvilke krav der overlapper, hvilke der kan dækkes af samme test, og hvilke af virksomhedens egne områder der aldrig bliver nævnt af nogen kunde. → Flerårig testplan

Et tænkt eksempel

En virksomhed, der leverer lønadministration til mindre firmaer, får et krav fra en ny stor kunde om en test af den portal, kunderne bruger til at indberette timer. Ledelsen ved, at det interne system, hvor lønningerne beregnes og betalingerne sendes, aldrig er testet.

Ledelsen beslutter at udvide testen, så den dækker både portalen og forbindelsen til det interne system. Kunden får et resumé af den del, der vedrører portalen. Bestyrelsen får hele billedet. Prisen er højere end en test af portalen alene, men ledelsen vurderer, at det interne system er det, der ville ramme flest kunder, hvis noget gik galt. → Kronjuvelerne

Det skal I lade være med

At lade kundekravet afgøre alt · det dækker kundens spørgsmål, ikke nødvendigvis jeres.
At gætte på, hvad kunden kræver · læs kravet, og spørg, hvis det er uklart.
At skære i kundens del uden at sige det · så bliver det et tillidsproblem.
At dele hele rapporten, fordi testen blev bred · kunden skal kun se det, der vedrører kunden.
At glemme egne behov år efter år · resten af virksomheden bliver aldrig undersøgt.

Hvad kan og ikke kan konkluderes

En test, der er afstemt mellem kundekrav og egne behov, kan give både dokumentation til kunden og svar til ledelsen. Den kan ikke dække alt, og den viser kun det, der var med i omfanget. At kundens krav er opfyldt, er ikke det samme som, at virksomheden har vurderet sin egen risiko.