Güvenlik Anketi

Güvenlik anketi, olası bir müşterinin, imzalamadan önce bir sağlayıcının veriyi, erişimi, erişilebilirliği ve olayları nasıl ele aldığını değerlendirmek için gönderdiği yapılandırılmış soru kümesidir. B2B SaaS'ta belirli bir anlaşma büyüklüğünün üstünde satın alma sürecinin rutin bir parçasıdır ve ürün değerlendirmesi özellikler üzerinden kazanıldıktan çok sonra alıcının güvenlik veya uyum ekibinden gelir. Biçimler bir şirketin kendi elektronik tablosundan SIG veya CAIQ gibi standartlaştırılmış çerçevelere kadar uzanır ve yanıtların genellikle sağlayıcının elindeki sertifikasyonla uyumlu hale getirilmesi gerekir. Anketin gerçekte kapısını tuttuğu şey anlaşmadır; bu da onu güvenlik sorunu olduğu kadar gelir sorunu yapar. Yavaş ya da kaçamak bir yanıt, geri kalan her şeyin hazır olduğu bir imzayı bekletir ve sorular geç geldiği için gecikme, birinin güvendiği çeyreğin tam içine düşer. Anketi bir mühendislik kesintisi sayan sağlayıcılar her birini sıfırdan yanıtlama eğilimindedir; bu hem en yavaş yoldur hem de iki müşteriye tutarsız iddialar üretme ihtimali en yüksek olanıdır ve böyle bir tutarsızlığı alıcının ekibi eninde sonunda fark eder. Sıkıştırıcı hamle, bir kez yanıtlayıp yeniden kullanmaktır. Sorunun lafzına göre değil niyetine göre anahtarlanmış, bakımı yapılan bir yanıt kütüphanesi, yeni bir anketin büyük ölçüde onaylı metinden derlenmesini sağlar ve gerçekten yeni olan soruları yanıtlayabilecek kişilere yükseltir. Herkese açık bir güven merkezi bunu daha da sıkıştırır: çoğu anketin sorduğu sertifikasyonları, alt işleyen listesini, mimari özeti ve veri işleme politikalarını yayımlar ve alıcıların kolay yüzde sekseni kendi kendine halletmesini sağlar. SOC 2 veya ISO 27001 gibi bir sertifikasyon anketi ortadan kaldırmaz ama bölümlerin tamamını rapora yapılan bir atıfa indirger. Hızdan daha önemli olan tek kural doğruluktur. Yanıtlar sözleşmesel beyanlara dönüşür ve yalnızca planlanmışken uygulanmış diye tarif edilen bir kontrol, müşterinin saklayacağı bir belgede yanlış beyandır. Pratik not: yanıt kütüphanesini sürüm kontrolünde, adı konmuş bir sahip ve yanıt başına bir gözden geçirme tarihiyle tutun ve hangi müşterinin hangi sürümü aldığını kaydedin — bir kontrol değiştiğinde, eskisinin kime söylendiğini bilmeniz gerekir.