Como responder a questionários de segurança com confiança
Questionários de segurança chegam bem na hora em que uma negociação fica séria. Um pouco de preparação transforma uma semana de trabalho em uma tarde.
Quando um cliente maior está prestes a fechar contrato, um questionário de segurança costuma vir a seguir. Podem ser algumas dezenas de perguntas em uma planilha ou várias centenas em um formato padrão. Para uma equipe pequena, isso pode parecer uma prova para a qual ninguém estudou. Mas não precisa ser assim.
Entenda o que estão realmente perguntando
Por trás de cada questionário há uma só pergunta: é seguro confiar nossos dados a você? Os itens individuais cobrem temas conhecidos: controle de acesso, criptografia, backups, resposta a incidentes, fornecedores e como funcionários entram e saem da empresa. A maioria são variações de um conjunto pequeno de tópicos, e é por isso que se preparar faz tanta diferença.
Crie uma biblioteca de respostas
Mantenha um único documento com as respostas atuais para as perguntas mais comuns, redigidas uma vez e revisadas algumas vezes ao ano. Cada resposta deve ser curta, precisa e específica: o que você faz, qual ferramenta realiza isso e com que frequência. Assim, o próximo questionário vira quase só copiar e conferir, em vez de escrever tudo do zero em cima do prazo.
Seja honesto sobre as lacunas
A tentação de responder “sim” para tudo é grande. Não faça isso. A equipe de segurança do cliente lê muitos desses questionários, e respostas vagas ou exageradas chamam atenção. Se você ainda não faz algo, diga isso, e explique o que faz no lugar ou quando planeja resolver a questão.
Um honesto “ainda não, e este é o nosso plano” gera mais confiança do que uma resposta que se desmonta em uma reunião de alinhamento. Além disso, as respostas do questionário podem acabar mencionadas no contrato, então a precisão importa para além da venda.
Tenha os documentos prontos
Muitos questionários pedem documentos de apoio: uma política de segurança da informação, um plano de resposta a incidentes, um resumo de teste de intrusão recente, uma lista dos fornecedores que lidam com dados de clientes. Escreva esses documentos antes de precisar deles, mantenha-os curtos e atualizados. Um diagrama de uma página mostrando onde os dados dos clientes ficam armazenados já responde a uma quantidade surpreendente de perguntas por si só.
Deixe um relatório falar por você
Assim que você tiver um relatório SOC 2, muitos clientes o aceitarão no lugar da maior parte do questionário, ou ao lado de um modelo padrão mais curto, como o SIG Lite ou o CAIQ. Os relatórios costumam ser compartilhados sob um acordo de confidencialidade. Até que você tenha um, uma página de segurança clara e uma biblioteca de respostas bem mantida cumprem boa parte desse papel.
Defina uma pessoa responsável
Questionários travam quando passam de mão em mão pela equipe. Deixe isso sob a responsabilidade de uma pessoa: ela reúne as respostas, confere com quem opera cada sistema e envia a versão final. Guarde uma cópia de cada questionário respondido e do que foi enviado, para manter a consistência de um cliente para o outro.
Em resumo
Escreva suas respostas uma vez, mantenha-as honestas e atualizadas, tenha as políticas prontas e encarregue uma única pessoa dessa função. Assim, os questionários viram uma parte normal das vendas, e não o motivo pelo qual uma negociação trava.