Den letteste måde at bestille en ny sikkerhedstest på er at sende sidste års opgave videre med en ny dato. Det er også den måde, hvor virksomheden lærer mindst. Svaret på, hvad ledelsen bør ændre, hviler på fire spørgsmål til den forrige test: stillede vi det rigtige spørgsmål, hvad blev ikke testet, hvad overraskede os, og kunne vi bruge resultatet? Svarene afgør, om næste bestilling skal have et nyt formål, et andet omfang eller en anden leverance. Hvordan selve opgavebeskrivelsen genbruges og opdateres, er beskrevet på penetrationtest.dk.
Start med evalueringen, ikke med tilbuddet
Næste bestilling bør bygge på en kort evaluering af den forrige. Den behøver ikke være omfattende. Det vigtige er, at ledelsen tager stilling, før IT eller leverandøren sender en forespørgsel ud, for ellers bliver rammen sat af den, der skriver forespørgslen. → Lærte vi noget? Ledelsens evaluering efter testen
Evalueringen kan samles i ét dokument på én side: hvad var formålet sidst, hvad svarede testen på, hvad stod uden for, hvad blev rettet, og hvad er ændret i virksomheden siden. Med det dokument i hånden er næste bestilling en beslutning og ikke en rutine. Lad gerne den, der ejede testen sidst, skrive udkastet, og lad IT-ansvarlig og eventuelt driftsleverandøren supplere. Direktionen tager derefter stilling til formålet og budgettet, og bestyrelsen orienteres, hvis formålet ændrer sig markant. I en mindre virksomhed kan det klares på et enkelt møde, og det sparer tid senere, fordi forespørgslen til testerne bliver mere præcis og lettere at sammenligne.
Var spørgsmålet det rigtige?
Den forrige test blev bestilt for at svare på noget. Måske ville ledelsen vide, om kundeportalen kunne misbruges, eller om en angriber udefra kunne komme ind på kontornettet. Når svaret foreligger, er det tid til at spørge, om spørgsmålet stadig er det vigtigste.
Hvis testen viste, at det ydre forsvar holdt godt, kan næste spørgsmål være, hvad der sker, hvis nogen alligevel kommer ind. Hvis testen viste mange alvorlige svagheder, kan det være mere værdifuldt at efterprøve rettelserne og vente med at udvide. Hvis forretningen har ændret sig, med nye systemer, nye kunder eller nye måder at arbejde på, kan spørgsmålet være et helt andet. Det er også værd at spørge, om svaret fra sidst blev brugt til noget. Hvis ingen beslutning blev truffet på grundlag af testen, var spørgsmålet måske ikke stillet skarpt nok. → Hvilken test har vi brug for?
Det, der stod uden for
Enhver test har grænser. Nogle systemer blev bevidst holdt ude af hensyn til tid, penge eller drift. Andre blev opdaget undervejs, uden at de var med i aftalen. Det britiske NCSC beskriver, at testerne i den situation enten kan foreslå at ændre omfanget eller anbefale, at udeladelsen bliver noteret som en begrænsning ved testen.
De begrænsninger er et godt sted at begynde næste bestilling. Ledelsen kan gennemgå dem en for en:
- Bevidste fravalg · gælder grunden til at holde systemet ude stadig, eller var det et kompromis for at nå en frist?
- Opdagelser undervejs · hvilke systemer kom frem, som ingen havde tænkt på, og hvem ejer dem?
- Afbrudte dele · blev noget ikke gennemført, fordi adgang, testkonti eller oplysninger manglede?
Et fravalg, der var fornuftigt sidste gang, kan være en blind plet nu. → Ledelsens valg af omfang
Det, der overraskede
Fund, som ingen kendte til, fortæller mere end fund, IT havde forudset. NCSC anbefaler, at svagheder, organisationen ikke kendte i forvejen, får særlig opmærksomhed med det formål at finde ud af, hvordan den selv kan opdage den slags fremover.
For ledelsen er overraskelserne et tegn på, hvor virksomhedens egen viden slår til, og hvor den ikke gør. Lå de uventede fund i et bestemt område, hos en bestemt leverandør eller i systemer uden en klar ejer? Så er det måske dér, næste test skal kigge grundigere, eller dér, virksomheden skal styrke sin egen overvågning, før en ny test giver mening. Hvis de samme fund dukker op igen, er det et andet spørgsmål, som handler om opfølgning snarere end om testens omfang. → Når de samme problemer vender tilbage
Kunne resultatet bruges?
En test kan være fagligt god og alligevel svær at bruge i ledelsen. Blev resuméet læst? Kunne bestyrelsen forstå, hvad der var på spil? Fik kunden eller forsikringen det, de havde brug for? Kom rapporten så sent, at budgettet allerede var lagt?
Svarene kan ændre leverancen næste gang. Det kan være et krav til resuméet, en gennemgang med testeren for ledelsen, en separat erklæring til kunder eller et andet tidspunkt på året, så resultatet når frem før budgetarbejdet. Den slags ændringer påvirker omfanget af opgaven og bør stå i bestillingen fra starten. Hvordan opgaverne prissættes, står under pris og tilbud. → Ledelsesresuméet: krav før bestilling
Et tænkt eksempel
En webbutik med cykeldele fik sidste år testet butikken og betalingsflowet. Lageret, som er forbundet med butikken, blev holdt ude, fordi leverandøren af lagersystemet ikke kunne nå at give tilladelse. Testen fandt få alvorlige fund, og de blev rettet.
Ved evalueringen konstaterer direktøren, at det oprindelige spørgsmål om kundedata er besvaret. Til gengæld er forbindelsen til lageret nu den mest oplagte blinde plet, og virksomheden har siden åbnet for salg til forhandlere med egne logins. Næste bestilling får derfor et nyt formål: forhandlerlogin og forbindelsen til lageret. Tilladelsen fra lagerleverandøren bliver indhentet, før bestillingen sendes. Direktøren beder også om, at resuméet bliver gennemgået på et bestyrelsesmøde, fordi bestyrelsen sidst kun fik rapporten til orientering.
Det skal I lade være med
- At kopiere sidste års bestilling uden evaluering · så bliver det gamle spørgsmål besvaret igen.
- At udvide omfanget, før rettelserne er på plads · nye fund oven i gamle giver kun en længere liste.
- At glemme begrænsningerne i rapporten · de er den mest direkte vejviser til næste test.
- At lade leverandøren sætte rammen alene · ledelsen ejer formålet.
- At ændre det hele hvert år · noget kontinuitet gør det muligt at se udviklingen.
Hvad kan og ikke kan konkluderes
En bestilling, der bygger på erfaringerne fra sidste test, giver bedre chancer for, at næste test svarer på det, ledelsen faktisk har brug for at vide. Den gør ikke næste resultat bedre i sig selv, og den kan ikke erstatte en vurdering af, hvad der er ændret i virksomheden siden sidst. → Flerårig testplan
Tjekliste før næste bestilling
- ☐ Er den forrige test evalueret i ledelsen?
- ☐ Er formålet vurderet på ny ud fra forretningens ændringer?
- ☐ Er rapportens begrænsninger og fravalg gennemgået?
- ☐ Er det vurderet, hvor de uventede fund lå?
- ☐ Er kravene til resumé og leverance justeret efter erfaringerne?
Kilder
- NCSC, Penetration testing: at testerne kan foreslå at ændre omfanget eller anbefale, at udeladte komponenter noteres som en begrænsning ved testen, og at tidligere ukendte svagheder bør have særlig opmærksomhed med henblik på selv at kunne opdage dem fremover.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Har vi testet én gang, er vi dækket · Én stor test eller flere mindre?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
