Penetrationstest, scanning eller gennemgang: hvilket svar har ledelsen brug for?

Når ledelsen beder om at få sikkerheden undersøgt, kan der komme tre forslag tilbage: en sårbarhedsscanning, en gennemgang af opsætningen eller en penetrationstest. De lyder beslægtede, men de giver forskellige svar. Valget bør derfor ikke afhænge af, hvad der lyder mest grundigt eller er billigst, men af hvilken beslutning svaret skal bruges til.

Groft sagt giver en scanning bredde, en gennemgang giver et billede af, om opsætningen lever op til kravene, og en penetrationstest giver bevis for, hvad en svaghed kan føre til. En virksomhed kan have brug for mere end én af dem over tid.

Tre forskellige svar

En sårbarhedsscanning er en automatisk kontrol af systemer for kendte fejl og manglende opdateringer. Den kan dække en bred vifte af systemer hurtigt og gentages jævnligt. Svaret er en liste over mulige svagheder. Listen siger ikke, om svaghederne kan udnyttes i netop jeres miljø, og den kan indeholde fund, der viser sig at være uden betydning.

En gennemgang er en specialists vurdering af, hvordan systemerne er sat op, sammenholdt med anbefalinger og jeres egne krav. Svaret er et billede af, om opsætningen er ordentlig hele vejen rundt, og hvor den afviger.

En penetrationstest er en manuel afprøvning, hvor en tester forsøger at bruge svagheder, som en angriber ville, og dokumenterer, hvad det lykkedes at opnå. Svaret er konkret: denne vej ind virkede, og den førte til dette. Til gengæld dækker den færre systemer end en scanning, fordi testerens tid bruges på at gå i dybden.

NIST SP 800-115, en amerikansk vejledning om sikkerhedstest, skelner tilsvarende mellem teknikker, der gennemgår, teknikker, der finder og kortlægger, og teknikker, der efterprøver, om svagheder kan udnyttes. De supplerer hinanden. Ingen af dem er bare en grundigere udgave af en anden.

Start med beslutningen

Den letteste måde at vælge på er at spørge, hvad ledelsen skal gøre med svaret.

Skal vi have et overblik og holde det vedlige? · Hvis ledelsen vil vide, om de kendte huller bliver lukket løbende, er en tilbagevendende scanning et naturligt redskab. Den hører til den daglige drift.
Skal vi kontrollere, at leverandøren har leveret det aftalte? · Efter en omlægning eller et leverandørskifte kan en gennemgang vise, om opsætningen svarer til kontrakten og jeres egne krav.
Skal vi vide, hvad der kan ske i værste fald? · Hvis beslutningen handler om at åbne en ny portal, svare en kunde eller prioritere et stort budget, giver en penetrationstest det mest konkrete grundlag.
Skal vi dokumentere over for andre? · Nogle kunder og samarbejdspartnere beder specifikt om en rapport fra en manuel test. Spørg, hvad de forventer, før I vælger.

Svarene på disse spørgsmål kan pege tydeligt i én retning. Hvis de peger i flere retninger, er det et tegn på, at ledelsen har flere spørgsmål, som måske skal besvares hver for sig og ikke nødvendigvis på samme tid. Det kan være helt fornuftigt at begynde med overblikket og lade den dybere afprøvning følge efter. → Hvad vil vi vide?

Scanning er drift, testen er kontrol

En nyttig måde at tænke på er, at scanning hører til det løbende arbejde, mens en penetrationstest er en kontrol af, om det løbende arbejde virker. Det britiske NCSC skriver i sin vejledning om penetrationstest, at testen ikke bør være den primære måde at finde svagheder på, og at almindelig afprøvning af sikkerheden bør fortsætte mellem testene.

For ledelsen betyder det, at en penetrationstest giver mest værdi, når det grundlæggende er på plads. Hvis en scanning ville finde mange kendte huller, bruger testeren sin tid på dem, og den dybere afprøvning bliver kortere. Spørg derfor IT, om der scannes løbende, og hvad resultatet viser, før en test bestilles. → IT siger, at alt er i orden

Når budgettet kun rækker til én ting

Hvis der kun er penge til én opgave i år, er spørgsmålet, hvor usikkerheden er størst. Har virksomheden aldrig haft overblik over sine systemer, kan en scanning eller en gennemgang være det klogeste første skridt. Har virksomheden styr på drift og opdateringer, men er usikker på, om en vigtig løsning kan modstå et målrettet forsøg, er en penetrationstest det rigtige.

Et tilbud kan også kombinere elementer. En test kan suppleres med en gennemgang af et bestemt område, eller den kan bygge videre på en scanning, som IT allerede har lavet. Så er det vigtigt, at rapporten holder resultaterne adskilt, så ledelsen kan se, hvad der er påvist, og hvad der er vurderet. Hvad der påvirker opgavens størrelse, kan I få afklaret under pris og tilbud. → Sikkerhedstest eller nye sikkerhedsløsninger?

Misforståelser, der fører til forkerte valg

Nogle gange bliver en scanning solgt eller omtalt som en penetrationstest. For ledelsen er forskellen vigtig, fordi svarene ikke kan bruges på samme måde. En liste over mulige svagheder er ikke bevis for, hvad en angriber kunne opnå, og den bør ikke præsenteres sådan over for en kunde eller bestyrelsen.

Omvendt dækker en penetrationstest ikke alt. Testeren følger de veje, der giver mening inden for den aftalte tid, og ser ikke nødvendigvis på alle indstillinger. En rapport fra en test er derfor ikke en erklæring om, at opsætningen er i orden overalt. Forskellene i detaljer er beskrevet på opslagsværket penetrationtest.dk.

Det skal I lade være med

At vælge efter, hvad der lyder grundigst · vælg efter den beslutning, svaret skal bruges til.
At kalde en scanning en penetrationstest · svarene kan ikke bruges på samme måde.
At teste dybt, før det grundlæggende er på plads · så bruges testen på kendte huller.
At tro, at én metode dækker alt · de tre svar supplerer hinanden.
At lade kundens ordvalg stå uafklaret · spørg, hvilken dokumentation kunden forventer.

Hvad kan og ikke kan konkluderes

En scanning kan vise, om der findes kendte svagheder, en gennemgang kan vise, om opsætningen lever op til kravene, og en penetrationstest kan vise, hvad der faktisk lod sig gøre fra et bestemt udgangspunkt. Ledelsen kan bruge forskellen til at vælge det svar, der passer til beslutningen.

Ingen af de tre kan alene vise, at virksomheden er sikker. Og valget mellem dem afhænger af forhold, som ledelsen bør drøfte med IT og en tester, før der bestilles. → Skal vi have lavet en penetrationstest?

Tjekliste til valget

☐ Ved vi, hvilken beslutning svaret skal bruges til?
☐ Scannes der løbende, og kender ledelsen resultatet?
☐ Har der været en omlægning, der skal kontrolleres mod det aftalte?
☐ Har en kunde bedt om en bestemt type dokumentation?
☐ Er det grundlæggende på plads, før en dybere test bestilles?
☐ Holder et kombineret tilbud påviste og vurderede fund adskilt?

Kilder

NIST SP 800-115: forskellen på gennemgang, identifikation af mål og efterprøvning af svagheder.
NCSC (UK): Penetration testing: testen er ikke den primære måde at finde svagheder på, og afprøvning bør fortsætte mellem testene.

Senest gennemgået: oktober 2026.