Hvad en sikkerhedstest kan svare på, og hvad den ikke kan

Skuffelse over en sikkerhedstest skyldes ikke nødvendigvis, at testen var dårlig. Det kan også være, at ledelsen har forventet svar på spørgsmål, testen aldrig var bygget til at besvare. En penetrationstest kan sige noget konkret om, hvilke svagheder der fandtes i de udvalgte systemer i testperioden, og hvad en angriber kunne have opnået med dem. Den kan ikke sige, om virksomheden er sikker, om den vil blive ramt, eller hvordan organisationen reagerer, når det sker. Forventningsafstemningen hører derfor hjemme i ledelsen, før testen bestilles.

Spørgsmål, testen kan besvare

En penetrationstest er god til spørgsmål, der er afgrænsede og handler om systemer, ledelsen har udpeget.

Svagheder · findes der svagheder i det testede, som en udefrakommende eller en bruger med adgang kan udnytte?
Konsekvens · hvad kunne en angriber nå: kundedata, økonomisystemet, styring af produktionen?
Alvorlighed · hvilke af fundene er de vigtigste at håndtere først, set med testerens øjne?
Kontrol af påstande · holder det, IT og leverandører har sagt om opsætning og beskyttelse, når det bliver afprøvet?
Retning · hvad bør rettes, og hvad bør undersøges nærmere?

Den britiske myndighed NCSC sammenligner en penetrationstest med en ekstern revision af det arbejde, virksomhedens egne folk udfører med at finde og håndtere svagheder. Det er en nyttig måde at tænke på for en ledelse: testen kontrollerer et arbejde, den udfører det ikke. → Hvad får ledelsen ud af en penetrationstest?

Spørgsmål, testen ikke kan besvare

Nogle af de spørgsmål, ledelser kan stille, ligger uden for, hvad en test kan svare på.

Er vi sikre? · testen siger noget om det testede i en periode, ikke om virksomheden som helhed og ikke om fremtiden.
Bliver vi ramt? · ingen test kan forudsige, om nogen vil forsøge, eller hvornår.
Er vi bedre end andre? · resultater fra forskellige test og virksomheder kan ikke uden videre sammenlignes.
Opdager vi et angreb? · en almindelig test måler ikke, om overvågning og beredskab virker. → Penetrationstest eller angrebssimulering
Er vi klar til et ransomwareangreb? · testen kan vise veje ind, men ikke hvordan genetablering og ledelse fungerer under pres. → Ransomware og test

NCSC skriver direkte, at penetrationstest ikke er en mirakelkur, og at testen kun kan bekræfte, at systemerne ikke er sårbare over for kendte problemer. Det er et vigtigt forbehold, når resultatet skal bruges udadtil.

Grænserne er en del af svaret

En god rapport fortæller ikke kun, hvad testeren fandt, men også hvad der ikke blev undersøgt, og hvilke forhold der gjorde vurderingen usikker. For ledelsen er det mindst lige så vigtigt som fundlisten. Et system, der ikke var med, kan rumme de alvorligste svagheder i virksomheden, uden at det fremgår af rapporten.

Ledelsen bør derfor bede om, at resuméet tydeligt beskriver omfanget, testperioden og de væsentligste begrænsninger. Uden den beskrivelse kan resultatet let komme til at sige mere, end det gør, når det gengives i bestyrelsen eller over for en kunde. Den generelle forklaring af, hvorfor en test aldrig er en garanti, står på penetrationtest.dk.

Et tænkt eksempel på skuffede forventninger

En ejerleder i en installationsvirksomhed bestiller en test af den eksterne adgang til virksomhedens systemer, fordi en bekendt er blevet ramt af et angreb. Rapporten viser få og mindre alvorlige fund. Ejerlederen fortæller bestyrelsen, at virksomheden er godt beskyttet.

Et halvt år senere får en medarbejder narret sine loginoplysninger fra sig via en falsk mail. Testen havde aldrig undersøgt, hvad der sker, når en angriber har en gyldig konto. Den gav et korrekt svar på det, den blev spurgt om. Fejlen lå i, hvordan resultatet blev omtalt. Havde ejerlederen spurgt, hvilke spørgsmål testen ikke svarede på, ville bestyrelsen have fået et mere ærligt billede. → Medarbejdernes sikkerhedsadfærd

Sådan stiller ledelsen spørgsmålene rigtigt

Den bedste måde at undgå skuffelse er at formulere spørgsmålene, så de passer til det, en test kan. I stedet for “er vi sikre?” kan ledelsen spørge: “Kan en udefrakommende komme ind i kundeportalen og se andre kunders data?” eller “Hvad kan en almindelig medarbejders konto bruges til, hvis den kommer i de forkerte hænder?”

Den slags spørgsmål giver testeren noget at arbejde med og ledelsen et svar, den kan handle på. De er også nemmere at gengive korrekt bagefter, fordi omfanget står i selve spørgsmålet. → Ledelsens spørgsmål, før testen bestilles

Det er også en god idé at aftale med testeren, at rapporten svarer direkte på de spørgsmål, ledelsen stillede, også når svaret er, at et spørgsmål ikke kunne besvares fuldt ud.

Når svaret skal bruges uden for ledelsen

Forventningerne gælder ikke kun ledelsen selv. Når resultatet bliver fortalt videre til bestyrelse, kunder, bank eller forsikring, kan det blive kortere for hver gang, det gengives. En sætning som “testen fandt nogle forhold i kundeportalen, som nu er rettet” kan efter to led være blevet til “vi er blevet testet, og alt var i orden”.

Ledelsen kan forebygge det ved at aftale en fast formulering af resultatet, som alle bruger. Den bør nævne, hvad der blev testet, hvornår, og om der er forhold, der stadig er åbne. Den bør også undlade ord som godkendt, bestået og sikker, fordi de lover mere, end en test kan dække.

Det kan virke forsigtigt, men det beskytter ledelsen. Et udsagn, der holder sig inden for testens ramme, kan forsvares bagefter, også hvis der senere sker noget i en del af virksomheden, som testen ikke omfattede. Et udsagn, der går videre, kan blive et problem i forholdet til netop den kunde eller forsikring, det skulle berolige.

Det skal I lade være med

At spørge testen, om virksomheden er sikker · spørg om konkrete systemer, data og konsekvenser.
At læse få fund som et frikendende resultat · det kan også skyldes et smalt omfang.
At gengive resultatet uden omfang og periode · så siger det mere, end det dækker.
At forvente svar om overvågning og beredskab · det kræver andre former for afprøvning.
At sammenligne med andre virksomheders resultater · forudsætningerne er ikke nødvendigvis de samme.

Hvad kan og ikke kan konkluderes

Ledelsen kan konkludere noget om de testede systemer, i den testede periode og ud fra det udgangspunkt, testeren havde. Ledelsen kan ikke konkludere noget om det, der lå udenfor, eller om virksomhedens samlede modstandskraft. Testen er et stærkt værktøj inden for sin ramme og et svagt argument uden for den. → Hvad en sikkerhedstest ikke erstatter

Tjekliste til forventningsafstemningen

☐ Har vi skrevet de spørgsmål ned, vi vil have besvaret?
☐ Er spørgsmålene konkrete nok til, at en test kan besvare dem?
☐ Ved vi, hvilke spørgsmål testen ikke svarer på?
☐ Skal resuméet beskrive omfang, periode og begrænsninger?
☐ Har vi aftalt, hvordan resultatet må omtales udadtil?

Kilder

NCSC, Penetration testing: sammenligningen med en ekstern revision, og at testen ikke er en mirakelkur og kun kan bekræfte forhold om kendte problemer.

Senest gennemgået: oktober 2026.