Den årlige test: hvordan undgår I, at den bliver rutine uden værdi?

En test, der gentages hvert år med samme opgave, samme tester og samme systemer, kan ende med at bekræfte det, alle allerede ved. Værdien hviler på, at hvert års test får et spørgsmål, der er relevant netop det år, og at resultatet bruges til en beslutning.

Løsningen er at begynde forfra med spørgsmålet hvert år: hvad har ændret sig, hvad ved vi ikke, og hvad skal næste års beslutninger bygge på? Den faste kadence sikrer, at testen bliver til noget. Indholdet må ikke være fast.

Intervallet er givet, indholdet er jeres

Et årligt interval er nemt at planlægge og budgettere, og nogle krav peger på det. PCI DSS kræver for miljøer med betalingskortdata penetrationstest mindst hver tolvte måned og efter væsentlige ændringer. Kunder og samarbejdspartnere kan også bede om en rapport af nyere dato. Hvordan intervallet fastlægges, og hvilke ændringer der bør udløse en ekstra test, er beskrevet i → Hvor ofte skal I teste?

Intervallet er altså ofte bestemt af andre. Det, virksomheden selv råder over, er, hvad testen skal handle om, hvem der skal bruge resultatet, og hvordan det bliver fulgt op.

Det er her, rutinen kan snige sig ind. Når testen er en fast post i budgettet og en fast linje i årshjulet, er det fristende at sende samme bestilling af sted igen. Det sparer tid i planlægningen, men kan koste værdi i resultatet.

Tegn på, at testen er stivnet

Det kan være svært at se indefra. Nogle tegn er værd at holde øje med.

Opgavebeskrivelsen er kopieret · den beskriver systemerne, som de så ud for flere år siden. → At genbruge sidste års opgave
De samme fund kommer igen · uden at nogen har besluttet, om de skal rettes eller accepteres. → Gentagne fund
Rapporten læses kun af IT · ledelsen ser den ikke, og ingen beslutninger bygger på den.
Succes måles på antal fund · færre fund tolkes som bedre sikkerhed, uden at nogen spørger, hvad der blev testet. → At måle testen på antallet af fund
Ingen kan forklare valget af scope · systemerne er med, fordi de var med sidst.

Er flere af tegnene til stede, er det tid til at se på bestillingen med nye øjne, før næste test sættes i gang.

Et nyt spørgsmål hvert år

Begynd planlægningen med en kort gennemgang af året, der gik. Hvilke systemer er nye eller ændret? Hvilke fund fra sidste år er rettet, og hvilke står åbne? Er der sket hændelser eller nær-uheld? Har kunder, revisor eller ledelse stillet nye spørgsmål?

Inddrag de personer, der kender ændringerne bedst: systemejerne, driftsleverandøren og projektlederne for årets større projekter. Et kort møde, før bestillingen skrives, kan være nok til at finde de områder, hvor ingen ved, hvordan sikkerheden står.

Ud fra svarene kan årets test få sin egen vinkel. Et tænkt forløb over tre år kunne se sådan ud:

Første år · kundeportalen og det, der er synligt fra internettet.
Andet år · kontornettet set fra en almindelig medarbejders konto, fordi fjernadgangen er udskiftet.
Tredje år · ERP-systemet og integrationen til webshoppen, fordi de er blevet koblet sammen.

Kerneområder kan godt gå igen hvert år, mens resten skifter. Hvis kundeportalen er den vigtigste løsning, kan den være med hvert år, mens det andet område veksler. En tilgang, hvor relevante trusler styrer valget, kan hjælpe med at finde årets vinkel. → Trusselsbaseret test

Skift perspektiv og ikke kun systemer

Det samme system kan testes på forskellige måder. En webshop kan det ene år testes uden login og det næste med kundekonti og administrative roller. Kontornettet kan testes fra internettet eller fra en position indenfor. Et nyt perspektiv kan afdække forhold, som tidligere test ikke kunne se, fordi de stod et andet sted. Testerens adgang og forhåndsviden kan også varieres. En test med indsigt i opsætningen kan nå dybere i et afgrænset område, mens en test med mindre forhåndsviden viser, hvad en udefrakommende kan se.

Det kan også være en anledning til at overveje, om den samme tester skal fortsætte. Kontinuitet giver kendskab til systemerne og gør det lettere at følge udviklingen. En ny tester kan til gengæld se dem uden forventninger. Ingen af delene er rigtigt i sig selv. → Samme tester hvert år, eller skift?

Sammenlign med vilje

En årlig test giver mulighed for at følge udviklingen. Det kræver, at virksomheden bevidst vælger, hvad der skal kunne sammenlignes. Holdes kernen af opgaven stabil, kan resultaterne holdes op mod hinanden. Skifter alt, kan rapporterne ikke bruges til at vise fremskridt. → Fremskridt fra test til test

Tidspunktet på året spiller også ind. En test, der placeres, så resultatet når frem til budgetarbejdet, kan påvirke næste års prioriteringer i stedet for blot at blive noteret. → Hvornår på året skal testen ligge?

Afslut hvert års forløb med en kort status til ledelsen: hvad blev testet, hvad blev fundet, hvad er rettet, og hvad foreslås til næste år. Den status er det, der binder årene sammen.

Det skal I lade være med

At kopiere sidste års bestilling · begynd med det, der er ændret.
At lade intervallet erstatte vurderingen · væsentlige ændringer kan kræve en test før den næste årlige.
At lade gamle fund stå uden beslutning · et fund, der går igen, skal enten rettes eller accepteres bevidst.
At holde ledelsen udenfor · uden en modtager bliver rapporten en formalitet.
At skifte alt hvert år · uden en fast kerne kan udviklingen ikke følges.
At bestille uden at læse sidste rapport · den er det bedste udgangspunkt for årets spørgsmål.

Hvad kan og ikke kan konkluderes

En årlig test kan dokumentere, at de valgte områder er undersøgt det pågældende år, og med en stabil kerne kan den vise udviklingen over tid. Den kan bruges i forbindelse med krav om regelmæssig test, hvor sådanne krav gælder, men det er kravet selv, der afgør, hvad der skal med.

Den kan ikke vise noget om de år, systemer eller perspektiver, der ikke blev testet. En række rapporter med samme scope dækker kun dette scope, uanset hvor mange de er. Den årlige rapport kan heller ikke stå i stedet for de ekstra test, som væsentlige ændringer i løbet af året kan kræve. Den beskriver systemerne, som de var, da testen blev gennemført.