Ledelsesresuméet: hvad ledelsen bør kræve, før testen bestilles

Ledelsesresuméet er den del af en testrapport, som direktion og bestyrelse faktisk læser, men dets indhold bliver afgjort længe før, testen begynder. Hvis ledelsen ikke har sagt, hvad resuméet skal bruges til, skriver testeren det ud fra sin egen forståelse, og den passer ikke altid til ledelsens behov. Kravene hviler på én ting, ledelsen selv skal formulere: hvilken beslutning resuméet skal hjælpe med at træffe.

Hvad et resumé kan indeholde, og hvordan det læses, forklarer penetrationtest.dk. Her handler det om ledelsens krav i bestillingen.

Start med beslutningen

Et resumé, der skal bruges til at prioritere næste års budget, ser anderledes ud end et, der skal vise en kunde, at et bestemt system er undersøgt. Det første skal sætte fundene i forhold til hinanden og til andre risici. Det andet skal være præcist om, hvad der var med, og må måske deles uden for virksomheden. Et resumé, der skal bruges til at beslutte, om et nyt system kan sættes i drift, skal derimod give et klart billede af, om der er forhold, der bør rettes først. Tre formål giver tre forskellige resuméer.

Organisationen CREST, som akkrediterer udbydere af penetrationstest, skriver i sin beskrivelse af en forsvarlig penetrationstest, at det er helt afgørende, at køberen definerer mål og formål klart som en del af indkøbet, og at de skal fremgå af alle de dokumenter og rapporter, der bliver lavet. CREST skriver også, at kravene til rapportering afhænger af blandt andet testens type og køberens behov. Begge dele understreger, at det er ledelsen, der skal sige, hvad den har brug for. → Ledelsens spørgsmål til testen

Krav, der kan stå i bestillingen

Formålet med testen · den beslutning eller det spørgsmål, resuméet skal belyse, skrevet i én eller to sætninger.
Modtagerne · hvem der skal læse resuméet, fx direktionen, bestyrelsen eller en kunde, og om det skal kunne deles uden rapporten.
Afgrænsningen · at resuméet skal sige tydeligt, hvad der var med, og hvad der ikke var.
Forbehold · at begrænsninger undervejs, fx systemer, der ikke kunne testes, skal fremgå af resuméet og ikke kun af den tekniske del.
Konsekvenser · at de vigtigste fund beskrives som konsekvens for forretningen.
Beslutninger · at resuméet slutter med de forhold, ledelsen selv skal tage stilling til.
Sprog og form · dansk eller engelsk, og hvor langt det må være.

Listen er ikke udtømmende, og ikke alle punkter er relevante hver gang. Det vigtigste er formålet og modtagerne. Resten følger i høj grad af dem.

Kravene behøver ikke stå i et særskilt dokument. De kan skrives ind i den opgavebeskrivelse, IT alligevel sender til testeren, så længe ledelsen har set og godkendt dem. → Tilbuddet forklaret for ledere

Når der er flere modtagere

Hvis resultatet skal bruges både internt og over for en kunde eller et forsikringsselskab, er det værd at overveje to resuméer. Det interne kan være åbent om svagheder og om de beslutninger, ledelsen skal træffe. Det eksterne kan nøjes med at beskrive omfang, tidspunkt og den overordnede vurdering.

Et enkelt resumé, der skal tjene begge formål, bliver let for åbent til den eksterne modtager eller for forsigtigt til ledelsen. Afklar derfor i bestillingen, hvem der må se hvad, og om testeren skal levere en version, der kan deles. → En test, flere modtagere

Kontrollér kravene i tilbuddet

Når tilbuddene kommer ind, kan ledelsen se efter, om kravene er forstået. Står formålet i tilbuddet med testerens egne ord? Er det beskrevet, hvad leverancen indeholder, og om resuméet gennemgås med ledelsen? Hvis et tilbud ikke nævner resuméet eller kun beskriver den tekniske rapport, er det et spørgsmål værd, før aftalen indgås.

Ledelsen kan også bede om et anonymiseret eksempel på et resumé, testeren har skrevet før. Det giver et indtryk af niveauet og sproget, uden at nogen anden virksomheds oplysninger kommer frem. Hvis eksemplet er skrevet til teknikere og ikke til en ledelse, er det et godt tidspunkt at gentage kravene.

Når resuméet kommer

Mål resuméet mod kravene. Svarer det på det spørgsmål, ledelsen stillede? Fremgår afgrænsning og forbehold? Kan det læses uden teknisk baggrund? Er beslutningerne samlet?

Hvis noget mangler, er det rimeligt at bede om en rettelse, før rapporten betragtes som endelig. Det er lettere, når kravene stod i bestillingen, fordi ledelsen så kan pege på, hvad der var aftalt. Uden krav bliver samtalen et spørgsmål om smag, og det er svært at forlange ændringer, ingen havde nævnt på forhånd. Brug også erfaringen til næste bestilling: hvad manglede, og hvad var overflødigt? → Leverancen set fra ledelsen

Et tænkt eksempel

En virksomhed, der sælger udstyr til hospitaler, skal have testet sin serviceportal. Direktionen skriver i bestillingen, at resuméet skal bruges til to ting: at beslutte, om portalen kan åbnes for flere kunder, og at give hospitalernes indkøbere en kort bekræftelse af, at portalen er testet. Der bestilles derfor et internt resumé og en kort ekstern sammenfatning.

Testeren kunne ikke teste den del af portalen, der henter data fra et ældre system. Det står i begge resuméer. Direktionen beslutter at vente med at åbne for flere kunder, til den manglende del er testet, og den eksterne sammenfatning nævner afgrænsningen, så indkøberne ikke tror, at mere er undersøgt.

Det skal I lade være med

At overlade resuméet til testerens skøn · skriv formålet og modtagerne i bestillingen.
At bestille ét resumé til alle formål · overvej en intern og en ekstern version.
At acceptere et resumé uden forbehold · begrænsninger skal fremgå, også her.
At bede om ændringer i vurderingen · ændringer i form og sprog er rimelige, men vurderingen er testerens.
At glemme at kontrollere tilbuddet · se efter, om kravene er forstået.

Hvad kan og ikke kan konkluderes

Klare krav i bestillingen gør det mere sandsynligt, at ledelsen får et resumé, den kan bruge til sin beslutning. De ændrer ikke på, hvad testen finder, og de kan ikke gøre en smal test bredere. Et godt resumé er heller ikke det samme som en god opfølgning, og det kan ikke rette op på, at ledelsen ikke har taget stilling til, hvad testen skulle bruges til. Det er et udgangspunkt for de beslutninger, der skal følge. → Hvem skal kende resultatet?

Tjekliste til bestillingen

☐ Er formålet skrevet som en beslutning eller et spørgsmål?
☐ Er modtagerne nævnt, og er det afklaret, hvad der må deles?
☐ Er det et krav, at afgrænsning og forbehold fremgår af resuméet?
☐ Skal resuméet slutte med ledelsens beslutninger?
☐ Er sprog og længde aftalt?
☐ Har ledelsen godkendt kravene, før bestillingen blev sendt?

Kilder

CREST, CREST Defensible Penetration Test (v5.2): køberen skal definere mål og formål klart som en del af indkøbet, og de skal fremgå af alle dokumenter og rapporter; kravene til rapportering afhænger af testens type, køberens behov og de regler, organisationen er underlagt; begrænsninger undervejs skal dokumenteres i rapporten.

Senest gennemgået: oktober 2026.