客户发来一份安全评估表，销售转给 IT，IT 说我只管服务器；转给法务，法务说这属于技术；结果在邮箱里躺了两周。客户那边的采购流程就停在这一步，销售还以为是价格没谈拢。
一、问卷卡住的往往不是技术，是没人认领
- 指定一个责任人，负责收表、拆题、汇总
- 按题目类型分给销售、IT、法务、财务
- 设定回复时限，比如三个工作日
- 统一出口，避免多人分别回复导致口径不一
没有责任人的问卷，谁都能答一半，谁都不负责到底。客户收到的是一份拼凑的文档，前后矛盾，反而更不放心。
二、把常考题做成答案库
客户问来问去就那几类：数据存在哪、谁能访问、怎么备份、离职人员权限怎么回收、有没有审计日志、出问题多久通知。
每类写一段标准答案，附上可提供的证明材料，比如备份策略说明、权限矩阵截图、日志示例。下次遇到同类问题，改客户名称就能用。
- 数据存放位置与部署方式
- 访问控制与权限分级
- 备份频率与恢复演练记录
- 人员离职的账号回收流程
- 安全事件的通知机制与时限
三、答不了的题，别硬答
问卷里常有超出你能力范围的要求，比如某种认证、某个级别的机房标准。硬答满足，后面审计一查就露，代价远大于当期丢一单。
更稳的做法是如实说明当前状态，给出替代控制措施与改进计划。多数客户接受现在没做到但有明确计划，不接受说有其实没有。
四、答完的问卷要存下来
每次回复的问卷、附件、客户反馈都归档。同一客户第二年再问，直接调出去年的版本更新，效率完全不同；同一行业的新客户来问，也有一份现成的底稿。
安全问卷考验的是平时的资料积累，不是临时写作能力。9527CRM 支持私有化部署，数据放在客户自己的服务器上，权限按角色划分，这些常被问到的点，在系统里都有对应的配置项可以直接截图说明。
