Vad säkerhetsteam frågar om ett verktyg för dublettrensning

Du har hittat ett dubblettverktyg som passar, och teamet är redo att börja. Sedan frågar någon om säkerhetsavdelningen har godkänt det. För många företag går alla verktyg som berör kunddata först igenom en granskning.

Ett verktyg för dubblettrensning granskas noggrannare än många. Det ansluter till CRM, läser hela objekt med kundposter och ändrar dem när det slår samman. Säkerhetsteam vill veta vad det innebär för datan.

I det här inlägget ser du vad säkerhetsteam frågar varje leverantör, varför de frågar och hur ett tydligt svar ser ut. Du ser också frågorna som är specifika för deduplicering och hur du hjälper granskningen att gå snabbare.

Varför ett verktyg för dubblettrensning granskas närmare

Många appar som är kopplade till ett CRM läser några fält eller skriver några aktiviteter. Ett verktyg för dubblettrensning fungerar annorlunda. För att hitta dubletter behöver det posterna i de objekt du väljer, ofta med namn, e-postadresser, telefonnummer och adresser.

För att slå ihop dem behöver den också behörighet att uppdatera och ta bort poster. Att koppla en kräver ofta administratörsrättigheter i CRM.

Den kombinationen av personuppgifter och skrivåtkomst är vad säkerhetsteam fokuserar på. Deras uppgift är att se till att leverantören skyddar data lika väl som ditt eget företag skulle göra.

Frågorna säkerhetsteam ställer till alla leverantörer

Varje företag har sin egen process, och granskningens djup varierar. Dessa frågor dyker upp i många granskningar, oavsett verktyg.

Var lagras och behandlas uppgifterna?

Granskare frågar vilka molnleverantörer som hostar datan, i vilka regioner och om leverantören behåller en kopia. Platsen spelar roll för dataskyddslagar och interna policyer för var kunddata får finnas.

De frågar också hur länge data sparas och om du kan radera den när du slutar använda verktyget. Ett tydligt svar anger leverantörerna och regionerna och förklarar lagring och radering på enkla ord.

Vem kan komma åt datan?

Detta omfattar två sidor. På leverantörens sida: vilka anställda som kan se kunddata, när och hur åtkomsten kontrolleras.

På din sida: vilka roller verktyget erbjuder och om det stöder tvåfaktorsautentisering, single sign-on och IP-begränsningar. Granskare frågar också hur verktyget kopplas till CRM:et. En tokenbaserad koppling som OAuth undviker att CRM-lösenord lagras.

Hur använder leverantören datan?

Säkerhetsteam vill veta att kunddata bara används för att tillhandahålla tjänsten. De frågar om den används för marknadsföring, säljs eller delas, och om den skickas till externa AI-modeller eller används för att träna dem.

Om ett verktyg använder AI vill granskare veta var behandlingen sker och vilka leverantörer som ser datan. Se hur AI-verktyg jämför sig för CRM-deduplicering.

Vilka certifieringar och revisioner gäller?

Certifieringar visar att en oberoende revisor granskat leverantörens säkerhetsrutiner. ISO/IEC 27001 är en vanlig: den ställer krav på ett ledningssystem för informationssäkerhet.

Granskare begär ofta certifikatet i sig, dess omfattning och revisorn. Vissa frågar även efter resultat från penetrationstester.

Vilka underbiträden hanterar uppgifterna?

Underleverantörer är de andra företag som en leverantör förlitar sig på, till exempel molnhosting. Säkerhetsteam begär listan med var och en, var den är baserad och vilka data den ser.

Enligt GDPR behöver ett personuppgiftsbiträde skriftligt godkännande från personuppgiftsansvarig innan det anlitar ett annat biträde. Det är en anledning till att granskare vill ha listan skriftligen.

Vad händer vid en incident?

Granskare frågar om leverantören har en plan för incidenthantering, hur incidenter klassificeras och hur och när berörda kunder informeras. De kan också fråga hur leverantören krypterar data under överföring och i vila.

Sekretessavtal, kontrakt och leverantörsenkäter

Vissa granskningar kräver papper innan frågorna börjar. Ett företag kan begära ett ömsesidigt sekretessavtal innan leverantören delar detaljerade dokument, till exempel policyer eller testrapporter.

Företag som omfattas av GDPR behöver också ett avtal med varje personuppgiftsbiträde som reglerar hur personuppgifter hanteras. Många leverantörer erbjuder ett personuppgiftsbiträdesavtal för detta.

Större företag skickar ofta sin egen leverantörsenkät. Den kan innehålla dussintals frågor och fylls oftast i av leverantörens säkerhets- eller supportteam. Fråga tidigt, eftersom enkäter kan ta tid att besvara.

Frågor om verktyg för dubletthantering

En allmän granskning kontrollerar hur leverantören skyddar data. Ett dedupliceringsverktyg ändrar också era data, så vissa granskare går längre. Dessa frågor är värda att besvara innan de ställs.

Ändrar det något i CRM:et när jag kopplar verktyget?

Granskare vill veta om enbart synkronisering redigerar, slår ihop eller raderar poster. Ett tydligt svar skiljer läsning av data från ändring av data och anger vad som utlöser en ändring.

Kan sammanslagningar ångras, och finns det en logg över dem?

Sammanslagningar i många CRM är permanenta. Granskare frågar vad som behålls från varje sammanslagen post, om det finns en historik över sammanslagningar och om den kan exporteras. Det är också därför många team säkerhetskopiera CRM:et innan en stor sammanslagning.

Vem kan slå ihop, och vad loggas?

Säkerhetsteam frågar om åtkomst kan begränsas per roll, och om en granskningslogg registrerar sammanslagningar, inloggningar och ändringar i inställningar. De frågar också om verktyget har skyddsmekanismer som håller tillbaka riskfyllda matchningar före en massammanslagning.

Så hjälper du en säkerhetsgranskning att gå snabbare

Granskningar tar längre tid när säkerhetsteamet får höra om verktyget i slutet. Involvera dem så snart verktyget verkar passa, och förklara varför teamet behöver det.

Dela leverantörens säkerhetssida och trust center, listan över objekt du ska koppla och vem i ditt team som ska använda verktyget. Om ledningen också behöver godkänna projektet, affärsargumentet för en CRM-städning kan gå till dem tillsammans med granskningen.

Om ert företag använder en egen enkät, skicka den till leverantören i ett tidigt skede. Fråga vem kontaktpersonen är för säkerhetsfrågor, så att svaren inte försvinner i en allmän inkorg.

Sammanfattning: vad säkerhetsteam frågar om och varför

En bra granskning skyddar datan och projektet

Säkerhetsteam frågar varje leverantör var datan finns, vem som kan se den och hur den används. De vill också veta vem som granskar den och vem mer som hanterar den. Ett verktyg för dubblettrensning tillför fler frågor, eftersom det ändrar kundposter.

En granskning går smidigt när svaren är publicerade, konkreta och lätta att dela. Involvera säkerhetsfunktionen tidigt, begränsa granskningen till de objekt du behöver och räkna med pappersarbete. Resultatet är ett verktyg som säkerhetsteamet litar på med den data hela företaget är beroende av.

Källor: Säkerhet i Dedupely; Dedupely Trust Center.

Vanliga frågor