Én test, flere modtagere: bestyrelse, kunder og forsikring

Det sker, at flere parter spørger til sikkerheden på samme tid. Bestyrelsen vil have et billede, en vigtig kunde sender et spørgeskema, forsikringen spørger ved fornyelsen, og banken nævner det på et møde. Det er fristende at sende den samme rapport til dem alle eller at bestille en ny test for hver. Ingen af delene er nødvendige. Hvis ledelsen planlægger testen med modtagerne for øje, kan ét resultat bruges af flere, uden at den fulde rapport forlader huset.

Hvorfor modtagerne skal tænkes ind før testen

Hver modtager har sit eget spørgsmål. Bestyrelsen vil vide, om ledelsen har styr på risikoen. Kunden vil vide, om de systemer, kunden er afhængig af, er afprøvet. Forsikringen vil vide, om der er gennemført en test af et bestemt slags, og hvornår. Banken vil måske bare vide, at virksomheden tager emnet alvorligt. Spørgsmålene overlapper, men de er ikke ens, og forskellen viser sig først, når svaret skal formuleres.

Hvis testen bestilles uden at tænke på disse spørgsmål, kan resultatet vise sig ikke at passe. Kunden spørger måske til en portal, testen ikke omfattede. Forsikringen bruger måske et ord om testtypen, som ikke svarer til det, der blev gjort. Det opdager ledelsen først, når svaret skal skrives.

Ved at samle modtagernes spørgsmål, før omfanget aftales, kan ledelsen sikre, at testen dækker det, der faktisk bliver spurgt om, eller at det er tydeligt, hvad den ikke dækker. → Ledelsens spørgsmål, før testen bestilles

Fire modtagere, fire behov

Bestyrelsen · et resumé med de vigtigste risici, planen og de beslutninger, bestyrelsen skal træffe.
Kunder · en kort beskrivelse af, hvad der blev testet, hvornår, af hvem, og om væsentlige fund er håndteret.
Forsikringen · præcise svar på de spørgsmål, skemaet stiller, med dato og testtype.
Banken og andre samarbejdspartnere · måske kun en bekræftelse af, at der testes, og at der følges op.

Ingen af dem har brug for den tekniske fundliste. Nogle kunder beder alligevel om den, måske fordi de ikke kender alternativet. Her kan en erklæring og et tilbud om en gennemgang på et møde dække behovet bedre. Den fulde rapport beskriver svagheder, som kan skade virksomheden, hvis de kommer i de forkerte hænder, og den bør kun ses af dem, der skal rette. → Hvem i virksomheden skal kende resultatet?

Planlæg leverancerne fra starten

Når ledelsen ved, hvem der skal have hvad, kan det aftales med testeren, før arbejdet begynder. Det kan være et resumé til ledelsen, en kortere erklæring om testen, som kan deles med kunder, og den tekniske rapport til IT og leverandører. At aftale det på forhånd kan koste mindre besvær end at skulle skrive om bagefter. Det giver også testeren mulighed for at skrive resuméet og erklæringen, så de passer til modtagerne, i stedet for at ledelsen selv skal klippe i en teknisk rapport. Husk at aftale, hvem i ledelsen der godkender, at erklæringen sendes ud, og at der føres en oversigt over, hvem der har fået hvad.

Erklæringen til kunder bør komme fra testeren og beskrive omfang, periode og overordnet resultat. Hvis ledelsen selv skriver en sammenfatning, skal det fremgå tydeligt, at den er virksomhedens egen. Softwarehuse og SaaS-leverandører, hvor kundernes krav fylder meget, kan finde mere om erklæringer og kundekrav på pentestrapport.dk. → Ledelsesresuméet

Ét budskab, tilpasset modtageren

Det vigtigste er, at alle modtagere får det samme billede, selv om detaljegraden er forskellig. Hvis bestyrelsen hører om alvorlige fund, mens kunden får at vide, at alt var i orden, har ledelsen skabt et problem, der er større end selve fundene.

Ledelsen bør derfor aftale én fælles formulering af resultatet, som alle svar bygger på. Den skal nævne, hvad der blev testet, i hvilken periode, og hvad status er på de væsentlige fund. Kunden og forsikringen kan få en kortere version, men ikke en anden. Når status ændrer sig, fordi fund bliver rettet, bør formuleringen opdateres ét sted, så de næste svar bygger på den nye status. → Løfter om sikkerhed til kunderne

Når forsikringen spørger

Et forsikringsskema kan stille korte spørgsmål, som kan være svære at svare præcist på. Ledelsen, der underskriver, står inde for svaret. Det er derfor vigtigt at læse spørgsmålet nøje og kun svare ja, når testen faktisk dækker det, der spørges om. Er man i tvivl, er det bedre at spørge forsikringen eller mægleren end at gætte. Gem svaret, så det kan genfindes ved næste fornyelse, hvor de samme spørgsmål kan komme igen. → Ledelsen underskriver forsikringsskemaet

Et tænkt eksempel

En virksomhed, der leverer lagerstyring til mindre butikskæder, har en test af sin kundeportal på vej. Ledelsen ved, at en stor kunde har bedt om dokumentation, at forsikringen skal fornyes om nogle måneder, og at bestyrelsen har spurgt til sikkerheden.

Direktøren samler de tre spørgsmål og aftaler med testeren, at omfanget dækker portalen og den eksterne adgang, at der kommer et resumé til ledelsen og en kort erklæring, der kan deles. Bestyrelsen får resuméet og planen. Kunden får erklæringen og en status på rettelserne, når de er gennemført. Forsikringsskemaet bliver udfyldt ud fra erklæringen med datoer. Den fulde rapport bliver hos IT og leverandøren. Én test, tre svar, ingen modsigelser. Næste år kan den samme plan genbruges, med de ændringer, modtagernes spørgsmål giver anledning til.

Det skal I lade være med

At sende den fulde rapport til alle · den beskriver svagheder, som ikke bør cirkulere.
At bestille en ny test for hver modtager · saml spørgsmålene og planlæg én test.
At give modtagerne forskellige versioner af resultatet · detaljegraden må variere, budskabet ikke.
At svare ja til spørgsmål, testen ikke dækker · ledelsen står inde for svaret.
At lade ledelsens egen sammenfatning ligne testerens · afsenderen skal være tydelig.

Hvad kan og ikke kan konkluderes

Én godt planlagt test kan give flere modtagere et brugbart svar. Den kan ikke svare på spørgsmål om systemer, der ikke var med, og en erklæring kan ikke sige mere end rapporten. Hvis en modtager spørger til noget, testen ikke dækkede, er det rigtige svar at sige det, ikke at strække resultatet. Et ærligt svar med en plan for, hvornår det manglende bliver testet, står stærkere end et svar, der senere viser sig at være for bredt. → Banken spørger til IT-sikkerheden