Kunderne spørger til vores sikkerhed: ledelsens svar

Første gang en kunde spørger til virksomhedens IT-sikkerhed, kan spørgsmålet ende hos den, der har tid, med de oplysninger, der lige er ved hånden. Det går, så længe spørgsmålene er enkeltstående. Når flere kunder begynder at spørge, bliver svarene en del af virksomhedens forretning, og så er de ledelsens ansvar. Svaret på, hvordan ledelsen skal forholde sig, hviler på én beslutning: hvad vil virksomheden kunne dokumentere over for kunderne, og hvad vil den ikke love? Når den beslutning er truffet, kan de enkelte spørgsmål besvares ud fra den.

Hvorfor kunderne spørger

Kunder spørger, fordi deres egen sikkerhed afhænger af deres leverandører. En kunde, der giver en leverandør adgang til sine data, sine lokaler eller sine systemer, har en interesse i at vide, hvordan leverandøren passer på dem.

Det britiske NCSC anbefaler i sine principper for sikkerhed i leverandørkæden, at organisationer bygger sikkerhedskrav ind i deres aftaler med de leverandører, der har betydning for deres sikkerhed. Det kan efter NCSC’s vejledning omfatte krav om penetrationstest, ekstern revision eller formelle certificeringer, hvor det er begrundet, og en ret til at føre kontrol. Kundens spørgsmål er altså ikke nødvendigvis mistillid. Det kan være kundens egen styring, der arbejder. For ledelsen er det en god grund til at tage spørgsmålet alvorligt og spørge kunden, hvad svaret skal bruges til, før der svares. → Leverandørrisiko set fra ledelsen

Spørgsmålet er strategisk, ikke kun praktisk

Den enkelte kunde vil have et svar på sine spørgsmål. Ledelsen skal se på det samlede billede: hvilke kunder spørger, hvad de spørger om, og hvilken betydning det har for salget og for samarbejdet. Tre forhold bør afgøre ledelsens svar:

Kundernes betydning · hvor stor en del af forretningen kommer fra kunder, der stiller krav, eller som kan forventes at gøre det?
Hvad virksomheden har adgang til · håndterer I kundens data, er I på kundens netværk, eller leverer I et produkt uden adgang?
Hvad I faktisk gør · hvilke tiltag findes i dag, og hvad kan dokumenteres uden at overdrive?

Svarene afgør, om det er nok at have gode svar på spørgeskemaer, eller om virksomheden skal have en uafhængig test, en certificering eller en fast sikkerhedsbeskrivelse, som kan deles. → Kundekrav eller egne behov

Hvad virksomheden vil kunne dokumentere

Ledelsens beslutning bør munde ud i en kort liste over det, virksomheden vil kunne vise sine kunder. Det er ikke et løfte om, at intet kan gå galt, men en beskrivelse af, hvad der er på plads, og hvordan det kan efterprøves.

En beskrivelse af sikkerheden · på et sprog, kunder kan forstå, og som ledelsen har godkendt.
Bevis for afprøvning · for eksempel at bestemte systemer er testet af en uafhængig part, hvornår, og at fundene er fulgt op.
En ansvarlig · hvem kunden kan henvende sig til med spørgsmål om sikkerhed.
Grænserne · hvad virksomheden ikke dokumenterer, og hvorfor.

En sikkerhedstest kan være en del af grundlaget, men den skal planlægges, så resultatet kan bruges over for kunder uden at dele hele rapporten. → Én test, flere modtagere

Hvem svarer, og hvem står inde for svaret

Når listen er på plads, kan medarbejdere i salg eller drift besvare en stor del af spørgsmålene ud fra den. Men ledelsen skal fastlægge, hvem der godkender svar, der går ud over listen, og hvem der skriver under, når kunden beder om en bekræftelse. Det er en anden opgave end selve udfyldningen af kundens skema. → Sikkerhedsspørgeskemaet: hvem i ledelsen står inde for svarene?

For softwarehuse og SaaS-leverandører, hvor kundens krav handler om selve produktet og om en pentestrapport, er situationen særlig. Den er beskrevet på pentestrapport.dk.

Hold svarene ved lige

Et svar, der var rigtigt sidste år, kan være forkert i dag. Systemer bliver skiftet ud, leverandører bliver udskiftet, og en test bliver ældre. Hvis sikkerhedsbeskrivelsen og de godkendte svar ikke bliver opdateret, ender virksomheden med at sende kunderne oplysninger, der ikke længere passer, uden at nogen har besluttet det.

Giv derfor listen og beskrivelsen en ejer og en dato. Gennemgå dem, når der sker noget væsentligt, for eksempel en ny test, et skift af driftsleverandør eller en hændelse, og i øvrigt med et interval, som ledelsen selv fastsætter. Gem også de svar, der er sendt til de enkelte kunder, så det er muligt at se, hvad hver kunde har fået at vide.

Den sidste del er let at overse, men den bliver vigtig, hvis en kunde senere spørger, hvorfor virksomheden svarede, som den gjorde. Den er også nyttig, når kontrakten med kunden skal fornyes, og kunden beder om en opdatering af de oplysninger, den fik sidst. → Sikkerhed i samarbejdsaftaler

Et tænkt eksempel

Et trykkeri får trykfiler, adresselister og kampagnemateriale fra sine kunder, blandt dem to store detailkæder. Den ene kæde sender et sikkerhedsspørgeskema, og kort efter spørger den anden, om trykkeriet har fået testet sine systemer.

Direktøren sætter emnet på et ledermøde. Ledelsen konstaterer, at kundernes filer modtages via en upload-løsning på hjemmesiden og ligger på en filserver, og at ingen af delene er testet. Ledelsen beslutter at få upload-løsningen og filserveren testet, at skrive en kort sikkerhedsbeskrivelse og at udpege produktionschefen som kundernes kontaktperson. Indtil testen er gennemført, svarer trykkeriet kunderne ærligt, hvad der er planlagt og hvornår. Spørgeskemaet bliver besvaret af IT-leverandøren og produktionschefen og godkendt af direktøren. Ledelsen aftaler at gennemgå beskrivelsen igen, når testen er færdig, så de næste svar kan henvise til et konkret resultat.

Det skal I lade være med

At lade hver medarbejder svare ud fra egen viden · svarene skal bygge på det, ledelsen har godkendt.
At love mere end I kan dokumentere · et svar kan blive en del af aftalen.
At sende hele testrapporten til alle, der spørger · den indeholder detaljer, der ikke hører hjemme hos kunderne.
At teste kun for at kunne svare · testen skal også give virksomheden viden.
At se kundens spørgsmål som mistillid · det er kundens egen styring.

Hvad kan og ikke kan konkluderes

En ledelse, der har besluttet, hvad virksomheden vil kunne dokumentere, giver kunderne mere ensartede og ærlige svar. Det sikrer ikke, at alle kunder er tilfredse, og det gør ikke virksomheden sikker. Det betyder, at svarene hviler på noget, ledelsen kan stå inde for. → Løfter om sikkerhed til kunderne

Tjekliste, når kunderne spørger

☐ Har ledelsen overblik over, hvilke kunder der spørger, og hvad de spørger om?
☐ Er det besluttet, hvad virksomheden vil kunne dokumentere?
☐ Er der en godkendt sikkerhedsbeskrivelse?
☐ Er det fastlagt, hvem der godkender og underskriver svar?
☐ Er det besluttet, hvordan testresultater deles med kunder?

Kilder

NCSC, Supply chain security guidance: Check your arrangements: princip 10 om at bygge kontrol ind i styringen af leverandørkæden, herunder krav om penetrationstest, ekstern revision eller certificering, hvor det er begrundet, og en ret til at føre kontrol.

Senest gennemgået: oktober 2026.