Den, der tester virksomhedens sikkerhed, får adgang til systemer og oplysninger, som ikke alle medarbejdere ser, og ved bagefter præcist, hvor virksomheden er sårbar. Det gør valget af tester til et tillidsspørgsmål og ikke kun et spørgsmål om faglighed og pris. Ledelsen kan ikke selv vurdere testerens tekniske evner, men den kan vurdere tre ting, som tillid hviler på: hvordan fortroligheden er sikret, hvor åbent testeren forklarer sit arbejde, og hvad andre kan sige om samarbejdet. Svarene på de tre spørgsmål er det bedste grundlag, en ledelse uden teknisk baggrund har.
De konkrete spørgsmål, ledelsen stiller, før den siger ja, er samlet et andet sted. → Spørgsmål til testeren
Hvorfor tillid er et ledelsesspørgsmål
IT-chefen kan vurdere, om testeren forstår systemerne. Men det er ledelsen, der bærer konsekvensen, hvis oplysninger fra testen havner forkerte steder, eller hvis en test går ud over driften uden varsel. Ledelsen godkender også, at en ekstern person får lov til at gøre noget, der ellers ville være uacceptabelt.
Den beslutning bør bygge på et bevidst valg af, hvem der får tilliden. Ikke på, hvem der tilfældigvis blev anbefalet, eller hvem der var hurtigst til at sende et tilbud. Tillid er heller ikke noget, der gives én gang for alle. Den bør vurderes igen, når en ny opgave bestilles, når den person, der tester, skifter, eller når testeren begynder at bruge andre til en del af arbejdet. → Testens egne risici
Fortroligheden skal være aftalt, ikke antaget
Testeren kan se oplysninger, som er fortrolige: kundedata, interne dokumenter, adgangsforhold. Rapporten beskriver svaghederne, så den i sig selv er følsom.
Tillid begynder derfor med en aftale om fortrolighed. Den kan stå i kontrakten eller i en særskilt fortrolighedsaftale. Ledelsen bør kunne se svar på disse spørgsmål:
- Hvem ser oplysningerne · kun de personer, der udfører testen, eller også andre hos testeren?
- Hvordan opbevares de · under testen og bagefter?
- Hvornår slettes de · og hvordan bekræftes det?
- Hvordan sendes rapporten · og til hvem?
- Hvem udfører arbejdet · hvis testeren bruger underleverandører, gælder de samme krav for dem.
En tester, der selv tager emnet op, før I spørger, viser, at fortrolighed er en del af arbejdet og ikke en eftertanke. Detaljerne i en fortrolighedsaftale er forklaret på penetrationtest.dk.
Åbenhed om arbejdet
En tester, ledelsen kan stole på, kan forklare, hvad der skal ske, uden at gemme sig bag fagudtryk. Ledelsen skal ikke forstå metoden i detaljer, men den skal kunne forstå, hvad testen dækker, hvad den ikke dækker, og hvornår der er risiko for forstyrrelser.
Åbenhed handler også om det, testeren ikke kan. En seriøs tester siger tydeligt og i god tid, hvis opgaven ligger uden for egen erfaring, hvis tiden er for knap til det ønskede omfang, eller hvis et spørgsmål fra ledelsen ikke kan besvares med den type test, der er bestilt. Det er et godt tegn, ikke et svaghedstegn. → Hvad testen kan svare på, og hvad den ikke kan
Vær opmærksom, hvis svarene bliver mere vage, jo mere konkret I spørger. Det kan skyldes, at opgaven ikke er gennemtænkt.
En tredje side af åbenheden er, hvordan testeren vil kommunikere undervejs. Hvem ringer testeren til, hvis noget alvorligt dukker op, eller hvis en test påvirker driften? En tester, der har et klart svar, har tænkt over, at ledelsen skal kunne handle, mens testen står på, og ikke først, når rapporten er skrevet. → Orientering af ledelsen under testen
Referencer i generelle vendinger
En tester kan ikke altid fortælle, hvem den har testet for. Det er en følge af fortroligheden, og det bør ledelsen respektere. Men testeren kan godt beskrive, hvilken slags virksomheder og systemer den har erfaring med, uden at afsløre navne.
Hvis I ønsker at tale med en tidligere kunde, kan testeren spørge, om nogen vil stille op. Svaret kan godt være nej, og det siger ikke nødvendigvis noget om kvaliteten. Til gengæld kan ledelsen spørge i sit eget netværk, fx i en brancheforening eller blandt andre bestyrelsesmedlemmer, hvem de har haft gode erfaringer med.
Vær forsigtig med en tester, der nævner kundenavne frit. Den samme åbenhed kan gælde jeres oplysninger senere.
Uafhængighed hører med
Tillid handler også om, hvorvidt testerens vurdering er fri af andre interesser. Hvis testeren også sælger de løsninger, der skal rette fundene, eller hvis testeren er en del af den leverandør, der driver systemerne, er der en risiko for, at fundene bliver farvet af det. Det behøver ikke ske, men ledelsen kan ikke se det udefra. Spørg derfor direkte, om testeren har andre forbindelser til virksomheden eller dens leverandører, og om testeren forventer at tilbyde andet arbejde bagefter. Et ærligt svar er i sig selv et tegn på, at tilliden er velbegrundet. → Uvildighed: hvorfor testeren ikke bør sælge løsningerne bagefter
Et tænkt eksempel
En revisionsvirksomhed med mange klienters regnskaber skal have testet sine systemer. Partnerkredsen har to kandidater, der begge virker kompetente.
Den ene sender et kort tilbud og svarer på spørgsmål om fortrolighed med en henvisning til “branchens standard”. Den anden beskriver af egen drift, hvem der får adgang til hvad, hvordan data slettes efter testen, og at rapporten kun sendes til den ansvarlige partner. Testeren siger også, at et af de ønskede systemer ligger uden for den erfaring, testeren har, og foreslår at lade det vente. Partnerne vælger den anden kandidat og noterer begrundelsen i referatet. Den første kandidat var muligvis lige så dygtig, men partnerne havde ikke grundlag for at vide det.
Det skal I lade være med
- At vælge alene på tekniske titler · de siger noget om faglighed, mindre om tillid.
- At springe fortrolighedsaftalen over · selv hos en tester, I kender.
- At forvente kundenavne som reference · en tester, der deler dem, deler måske også jeres.
- At overse interessekonflikter · spørg, om testeren sælger andet end testen.
- At lade IT vælge alene · tilliden er ledelsens at give.
Hvad kan og ikke kan konkluderes
Klare svar om fortrolighed, åbenhed om metoden og uafhængighed er gode tegn på, at testeren kan betros opgaven. De garanterer ikke, at testen bliver god, og de erstatter ikke IT’s vurdering af den faglige side. Tillid og faglighed skal vurderes hver for sig.
Tjekliste: kan vi stole på testeren?
- ☐ Er fortroligheden aftalt skriftligt?
- ☐ Ved vi, hvem der ser oplysningerne, og hvornår de slettes?
- ☐ Har testeren forklaret, hvad testen dækker og ikke dækker?
- ☐ Har testeren sagt fra, hvor erfaringen ikke rækker?
- ☐ Er testeren uafhængig af leverandører og løsninger?
- ☐ Er valget begrundet og noteret?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Det billigste tilbud · Et uafhængigt blik
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
