Hvor detaljeret må vi beskrive vores sikkerhedssetup over for kunder og auditorer?

Når du skal beskrive dit sikkerhedssetup over for kunder og auditorer, er det vigtigt at finde den rette balance mellem at være informativ og at beskytte følsomme oplysninger. Du bør give tilstrækkelig information til, at kunden kan vurdere deres risiko, men undgå at inkludere detaljer, der kan fungere som en guide for potentielle angreb.

En god tilgang er at opdele informationen i niveauer. For det første kan du udarbejde en offentlig sikkerhedserklæring, som giver en overordnet beskrivelse af sikkerhedsforanstaltningerne uden at afsløre kritiske detaljer. Dernæst kan du tilbyde en NDA-baseret evidenspakke til kunder, der ønsker mere detaljeret information, men som også kræver fortrolighed. For særlige kunder kan du overveje at lave et dybere teknisk walkthrough, hvor du kan dele mere specifik information, men stadig under kontrollerede forhold.

Det er vigtigt at undgå at inkludere specifikke IP-adresser, detaljerede detektionsregler, navne på administratorer eller fulde beredskabsplaybooks i de dokumenter, der deles med kunder. Disse oplysninger kan være meget følsomme og kan udnyttes, hvis de falder i de forkerte hænder.

Når det kommer til auditorer, kan du give mere detaljeret information, men det bør stadig ske under kontrollerede forhold. Det kan være en god idé at implementere adgangskontroller, logning og en need-to-know tilgang, så du sikrer, at kun de relevante personer har adgang til de mest følsomme oplysninger.