Så utvärderar du IT-säkerhetsleverantörer: scorecard-mall och kriterier

Hur poängsätter ni varje leverantör?

Använd en femgradig skala för att bedöma varje delkriterium. Enligt McKinsey (2024) ger femgradiga skalor bäst balans mellan precision och användbarhet vid leverantörsutvärdering. Skalan bör ha tydliga definitioner för att minska subjektiviteten.

Poängskala:

• 5 = Utmärkt: Överträffar kravnivån väsentligt. Bäst i klassen.
• 4 = Bra: Uppfyller alla krav med marginal. Starka referenser.
• 3 = Godkänd: Uppfyller minimikraven. Inga anmärkningar.
• 2 = Under krav: Uppfyller inte alla krav. Brister identifierade.
• 1 = Oacceptabel: Väsentliga brister. Diskvalificerande.

Beräkna totalpoängen genom att multiplicera varje kategoripoäng med dess vikt. En leverantör med 4,2 i teknisk kapacitet (vikt 20 procent) får 0,84 viktade poäng i den kategorin. Summera alla kategorier för totalpoängen.

Exempelberäkning

I det här exemplet ligger leverantörerna nära varandra i totalpoäng, men skillnaderna i enskilda kategorier är tydliga. Leverantör A är starkare på incidentrespons och kulturell passform. Leverantör B är bättre på teknik och pris. Vilken som passar bäst beror på era prioriteringar.

[PERSONAL EXPERIENCE]

Vilka frågor bör ni ställa vid referenskontroller?

Referenskontroller avslöjar det som anbudet inte berättar. Enligt Forrester (2024) avbryter 31 procent av organisationer en upphandling efter referenskontroller, oftast på grund av bristande incidenthantering som framkom först vid referenssamtalen.

Frågor att ställa till referenskunder:

• Hur snabbt reagerade leverantören vid er senaste allvarliga incident?
• Håller leverantören sina SLA-åtaganden konsekvent?
• Hur fungerar den löpande kommunikationen? Proaktiv eller reaktiv?
• Har ni upplevt personalomsättning hos leverantören som påverkat er?
• Skulle ni välja samma leverantör igen? Varför eller varför inte?
• Finns det något ni önskar att ni hade vetat innan avtalet tecknades?

Ring alltid minst tre referenskunder. Be om kunder i liknande bransch och storlek som er. Om leverantören inte kan tillhandahålla relevanta referenser bör det ge poängavdrag i scorecardet.

[CHART: Checklista - Referenskontrollfrågor med poängsättning - Forrester]

Citationskapsel: Referenskontroller är avgörande vid val av IT-säkerhetsleverantör. Forrester (2024) visar att 31 procent av organisationer avbryter upphandlingar efter referenskontroller, oftast på grund av bristande incidenthantering som inte framgick av anbudet.

Hur genomför ni en proof-of-concept?

En proof-of-concept (PoC) testar leverantörens kapacitet i er verkliga miljö. Enligt SANS Institute (2024) rekommenderas PoC-perioder på 30-90 dagar för managed security-tjänster. Det ger tillräcklig tid att utvärdera detektionsförmåga, responstider och rapporteringskvalitet.

Definiera tydliga framgångskriterier innan PoC:n startar:

• Antal detekterade hot jämfört med baseline
• Andel falskt positiva larm
• Genomsnittlig responstid vid larm
• Kvalitet på incidentrapporter
• Integrationens stabilitet med er befintliga miljö

Bjud in 2-3 finalistkandidater till PoC om det är praktiskt möjligt. Jämförelsen ger ovärderlig insikt. Om parallell PoC inte är genomförbar, kör sekventiella tester med identiska kriterier. Dokumentera resultaten i scorecardet.

[UNIQUE INSIGHT]

Vilka varningssignaler bör ni vara uppmärksamma på?

Vissa tecken bör höja era varningsflaggor omedelbart. Enligt Verizon DBIR (2024) identifieras bara 33 procent av intrång av offrets egna säkerhetsteam. Det innebär att er leverantörs detektionsförmåga är affärskritisk, och brister här är oacceptabla.

• Leverantören kan inte visa egna säkerhetsrutiner. Om de inte delar sin ISO 27001-certifiering eller SOC 2-rapport, varför litar ni på dem med er säkerhet?
• Hög personalomsättning. Byten av kontaktpersoner varje kvartal tyder på interna problem.
• Inga tydliga SLA:er. Vaga löften om "snabb respons" utan definierade tidsramar.
• Lås-in-effekter. Proprietära verktyg utan exportmöjlighet eller långa uppsägningstider.
• Undviker referenskontroller. En seriös leverantör välkomnar att ni pratar med deras kunder.

En enda diskvalificerande varningssignal bör ge leverantören poäng 1 i den berörda kategorin. Om totalpoängen fortfarande är bäst, ompröva er viktning. Har inte incidentrespons tillräckligt hög vikt?

IT-säkerhet RFP-mall

Vanliga frågor om utvärdering av IT-säkerhetsleverantörer

Hur många leverantörer bör vi utvärdera?

Utvärdera 3-5 leverantörer för att få tillräcklig bredd utan att processen blir ohanterlig. Börja med en lång lista på 6-8 kandidater och gör en första screening baserad på minimikrav. Bjud de 3-5 som klarar screeningen till fullständig utvärdering med scorecard och referenskontroller.

Hur ofta bör vi omvärdera vår säkerhetsleverantör?

Genomför en formell utvärdering minst årligen med hjälp av scorecardet. Kvartalsvisa operativa genomgångar kompletterar den årliga utvärderingen. Om leverantörens totalpoäng sjunker under 3,0 bör ni påbörja en ny upphandlingsprocess. Att byta leverantör proaktivt är alltid bättre än att tvingas byta under en kris.

Bör vi välja en lokal eller internationell leverantör?

Det beror på era behov. Lokala leverantörer erbjuder ofta bättre kommunikation, svenskspråkig support och förståelse för svenska regelverk. Internationella leverantörer har bredare hotintelligens och större resurser. Många svenska företag väljer en internationell teknikplattform med en lokal partner som kontaktpunkt.

IT-säkerhet KPI:er

Att välja IT-säkerhetsleverantör handlar inte om att hitta den perfekta partnern. Det handlar om att systematiskt identifiera den som bäst matchar era behov, budget och kultur. Använd scorecard-mallen som utgångspunkt, anpassa viktningen till era prioriteringar, och låt data styra beslutet. Er säkerhet förtjänar ett faktabaserat val.