опитувальник з безпеки (security questionnaire)
Також називають: опитувальника з безпеки, анкета безпеки, перевірка безпеки постачальника
Перелік запитань, які ІТ-відділ чи служба безпеки покупця надсилає постачальнику про те, як він зберігає, захищає й обробляє їхні дані: доступи, шифрування, резервні копії, субпідрядники, реагування на інциденти. Точні відповіді, підготовлені заздалегідь, скорочують угоду; здогадки згодом повертаються як блокери.
Опитувальник з безпеки (security questionnaire) — перелік запитань, які ІТ-відділ чи служба безпеки покупця надсилає постачальнику, перш ніж його погодити: де зберігаються дані покупця, хто має до них доступ, як їх шифрують і резервують, які субпідрядники їх обробляють, скільки їх зберігають і що відбувається після інциденту. Для будь-якого продукту, що торкається даних працівників чи клієнтів, це звичайний крок, а не знак недовіри.
Це й поширена причина, чому угоди застрягають наприкінці. Опитувальник приходить, коли користувачі вже сказали «так», постачальник відповідає поспіхом, і розмита чи хибна відповідь за кілька тижнів повертається блокером. Розв'язок — вважати його частиною продажу: на діагностичній розмові запитати, хто перевіряє нових постачальників, попросити опитувальник заздалегідь і мати підтримуваний набір точних відповідей, перевірених людиною, яка відповідає за безпеку продукту.
Точність важить більше за гладкість. «Цього ми ще не робимо, і ось як ми керуємо цим ризиком» — придатна відповідь; упевнена заява, яку постачальник не може підтвердити, — це ризик, що може вилізти в договорі чи після інциденту. Відповідайте про реальне налаштування, зокрема про субпідрядників, що обробляють дані (відеохостинг, AI-обробка, платежі), і пропонуйте коротку розмову з перевіряльником, коли запитання потребує контексту. Це інформація про продукт і процеси, а не юридична консультація; умови договору щодо захисту даних погоджують юристи обох сторін.
Приклад
У першій розмові Pavlo з Veloria згадує, що служба безпеки перевіряє будь-який новий застосунок. Klasna for Teams просить опитувальник того ж дня, а не чекає його після демонстрації. Керівник служби безпеки Veloria також приєднується до останніх 15 хвилин демонстрації 3 грудня, і запитання там конкретні: де зберігаються дані працівників і записи уроків, хто в Klasna може їх бачити, які субпідрядники їх обробляють (відео й AI) і скільки зберігаються записи.
Відповіді повертаються 9 грудня, першим кроком спільного плану. Строк важливий, бо бюджети Veloria на 2027 рік закриваються 15 грудня: якби служба безпеки ще чекала відповідей, програма на 300 уроків на місяць, тобто 2 880 000 грн оплат на рік, могла б не потрапити в бюджет і чекати рік. 12 диспетчерів платного пілоту з 11 січня теж користуються застосунком, тож перевірку однаково треба було завершити до першого уроку.
Типові помилки
- Чекати, поки опитувальник надійде. Питайте на діагностичній розмові, хто перевіряє нових постачальників, і просіть його заздалегідь.
- Відповідати з пам'яті чи маркетингових текстів. Відповіді мають описувати реальне налаштування й бути перевірені відповідальним за безпеку.
- Перебільшувати. Упевнене «так», яке ви не можете підтвердити, гірше за чесне «ще ні, і ось як ми цим керуємо».
- Забувати субпідрядників. Відеохостинг, AI-обробка і платіжні провайдери теж мають справу з даними, і про них питають.
- Щоразу писати з нуля. Тримайте підтримуваний набір відповідей і оновлюйте його, коли змінюється продукт чи його постачальники.
Вивчити в курсі
- Кейс: мапа закупівельного комітету Veloria · Підготуй першу зустріч із логістичною компанією: хто в рішенні, чого боїться кожен, які докази й пілот принести і що спитати першим.
- Контент, яким користується комітет: матеріал для кожної ролі й етапу · Чому десять дописів у блозі на місяць рідко зрушують корпоративну угоду, які чотири матеріали справді потрібні кожному в комітеті, коли їх давати і чого не писати ніколи.
- Демо й спільний план дій до підписання · Покажи кожному в комітеті лише те, що розв'язує його проблему, а потім погодь спільний план із кроками, відповідальними й датами з обох боків — від демо до першого уроку.