Leverancen set fra ledelsen: hvad I bør få, når testen er færdig

Når en sikkerhedstest er afsluttet, modtager virksomheden en rapport. Men en rapport er ikke det samme som en leverance, ledelsen kan bruge. Set fra ledelsen bør leverancen bestå af tre dele: et resumé, der er skrevet til ledelsen, en gennemgang, hvor ledelsen kan stille spørgsmål, og et grundlag, der gør det muligt at træffe beslutninger om prioritering, budget og opfølgning. Hvis en af delene mangler, har ledelsen betalt for en test, men kun fået halvdelen af udbyttet.

Rapportens opbygning og de tekniske dele er forklaret på penetrationtest.dk. Her er perspektivet ledelsens: hvad skal ligge på bordet, når ledelsen skal tage stilling?

Resuméet: ledelsens del af rapporten

Resuméet er den del af leverancen, ledelsen faktisk skal læse. Det bør kunne læses uden teknisk baggrund og give svar på, hvad der blev testet, hvad de vigtigste fund betyder for forretningen, og hvad testeren anbefaler.

Den britiske myndighed NCSC nævner i sin vejledning, at en rapport fra en penetrationstest bør indeholde de sikkerhedsproblemer, der er fundet, en måde at løse hvert af dem på og en vurdering af, hvor godt virksomhedens egen håndtering af svagheder fungerer. Det sidste punkt er særlig interessant for ledelsen, fordi det handler om processer og ikke kun om enkelte fund.

Det er bedst at aftale resuméets indhold, før testen bestilles. Når testen er færdig, er det for sent at bede om en anden opbygning. Skriv i bestillingen, hvem resuméet er til, og hvilke spørgsmål det skal besvare. → Ledelsesresuméet: hvad ledelsen bør kræve

Gennemgangen: plads til ledelsens spørgsmål

En rapport kan ikke svare på alle spørgsmål. Ledelsen bør derfor forvente en gennemgang med testeren, hvor resultatet bliver forklaret, og hvor der er plads til spørgsmål. Gennemgangen kan med fordel deles i en kort ledelsesdel og en længere teknisk del for IT og leverandører.

Ledelsesdelen behøver ikke tage lang tid. Formålet er, at ledelsen forstår de vigtigste fund, hvad de betyder, og hvad der kræver ledelsens beslutning. Spørgsmål, ledelsen kan stille, er fx: hvad ville testeren selv håndtere først, hvad var godt, og hvad blev ikke undersøgt? → Skal ledelsen deltage i møderne med testeren?

Beslutningsgrundlaget: hvad ledelsen skal tage stilling til

Den vigtigste del af leverancen for ledelsen er ikke fundene, men de beslutninger, fundene kræver. Et godt resultat af testen er, at ledelsen ved, hvad den skal beslutte, og har grundlaget for det.

Prioritering · hvilke fund skal håndteres først, og hvilke kan vente?
Ressourcer · kræver rettelserne penge eller tid ud over det, der er afsat?
Ansvar · hvem ejer hvert af de vigtige fund internt eller hos leverandører?
Risikoaccept · er der fund, ledelsen beslutter ikke at rette, og hvorfor?
Næste skridt · hvornår skal der testes igen, og hvad skal med?

Hvis leverancen ikke gør det muligt at tage stilling til disse punkter, bør ledelsen bede IT eller testeren om at supplere. → Fra teknisk fund til forretningsrisiko

Det, der også hører med

Ud over de tre hoveddele er der nogle oplysninger, ledelsen bør sikre sig, at leverancen indeholder, fordi de bliver vigtige senere.

Omfang og periode · hvad blev testet, og hvornår? Uden det kan resultatet ikke bruges udadtil.
Begrænsninger · hvad blev ikke undersøgt, og hvad gjorde vurderingen usikker?
Det positive · hvad virkede efter hensigten? Det er også en oplysning, ledelsen kan bruge.
Mulighed for erklæring · kan testeren levere en kort erklæring, der kan deles med kunder?

Hvis virksomheden skal bruge resultatet over for kunder eller forsikring, er det nyttigt at have aftalt det fra start. → Én test, flere modtagere

Et tænkt eksempel

En virksomhed med en webshop og et lille lager får en test af webshoppen. Rapporten kommer som en fil på mange sider, og IT-chefen sender den videre til direktøren med en kort kommentar. Direktøren læser forsiden og et par sider, men kan ikke se, hvad der skal besluttes.

Næste gang aftaler direktøren på forhånd, at leverancen skal indeholde et resumé på få sider, en gennemgang på en time med testeren, hvor IT-chefen og direktøren deltager, og en liste over de beslutninger, ledelsen skal træffe. Rapporten er lige så lang, men nu ved direktøren, hvilke dele der er ledelsens. Beslutningerne bliver truffet på mødet og skrevet i referatet, og IT-chefen får et klart mandat til at gå i gang. → Hvordan skal resultatet præsenteres for direktionen?

Når leverancen ikke lever op til aftalen

Det sker, at leverancen ikke svarer til det, der blev aftalt. Resuméet kan være for teknisk, beslutningspunkterne kan mangle, eller omfanget kan være beskrevet så løst, at det er uklart, hvad der faktisk blev testet. Ledelsen bør ikke bare acceptere det.

Det første skridt er at sige det tydeligt til testeren, gerne skriftligt, og henvise til det, der stod i tilbuddet eller bestillingen. Måske kan et resumé skrives om, eller en manglende beskrivelse kan tilføjes uden større besvær. Det er nemmere at få rettet, mens testen er frisk, end flere måneder senere, når rapporten skal bruges over for en kunde.

Hvis der er faktuelle fejl i rapporten, fx forkerte systemnavne eller fund, IT kan dokumentere ikke er korrekte, skal de rettes, før rapporten bruges videre. Uenighed om en vurdering er noget andet. Den bør noteres, men testerens vurdering bør stå, så det er tydeligt, hvem der mener hvad. Erfaringerne er også nyttige, næste gang en test skal bestilles. → Næste bestilling

Det skal I lade være med

At acceptere en teknisk rapport som eneste leverance · ledelsen har brug for et resumé og en gennemgang.
At vente med at aftale leverancen, til testen er færdig · aftal det i bestillingen.
At lade IT videresende rapporten uden kommentar · bed om en vurdering af, hvad ledelsen skal beslutte.
At springe gennemgangen over · det er her, spørgsmålene bliver besvaret.
At glemme omfang og begrænsninger · uden dem kan resultatet ikke bruges korrekt senere.

Hvad kan og ikke kan konkluderes

En god leverance giver ledelsen det, der skal til for at tage stilling. Den løser ikke problemerne, og den er kun så god som det, testen undersøgte. Et velskrevet resumé kan ikke gøre et smalt omfang bredere. Leverancen er grundlaget for ledelsens beslutninger, men beslutningerne og opfølgningen er stadig ledelsens.

Tjekliste til leverancen

☐ Er der et resumé skrevet til ledelsen?
☐ Er der en gennemgang, hvor ledelsen kan stille spørgsmål?
☐ Fremgår det, hvad ledelsen skal tage stilling til?
☐ Er omfang, periode og begrænsninger beskrevet?
☐ Er det aftalt, om der kommer en erklæring til kunder?
☐ Ved vi, hvem der følger op, og hvornår ledelsen hører om status?

Kilder

NCSC, Penetration testing: hvad en rapport fra en penetrationstest bør indeholde, herunder fundne problemer, en måde at løse dem på og en vurdering af virksomhedens egen håndtering af svagheder.

Senest gennemgået: oktober 2026.