Afslutningsmødet efter penetrationstesten: sådan får I mest ud af gennemgangen

Gennemgangen af rapporten er den ene gang, hvor virksomheden kan spørge testeren direkte om resultatet, mens detaljerne stadig er friske. Værdien af mødet afhænger af, at deltagerne har læst rapporten på forhånd og kommer med spørgsmål, og af, at mødet ender med beslutninger om ejere, rækkefølge og næste skridt.

Et afslutningsmøde, hvor testeren læser rapporten op for en forsamling, der ser den for første gang, giver lidt. Et møde, hvor systemejerne har markeret de fund, de er i tvivl om, og ledelsen ved, hvilke beslutninger den skal træffe, giver et resultat, der kan arbejdes videre med samme dag.

Mødet er til spørgsmål, ikke oplæsning

Rapporten er skrevet, så den kan læses uden testeren. Mødet skal derfor ikke gentage den, men udfylde det, rapporten ikke kan: forklare sammenhænge, svare på tvivl og give en fornemmelse af, hvad der vejer tungest.

Bed om at få et udkast eller den endelige rapport i god tid før mødet. Hvor lang tid I har brug for, afhænger af rapportens omfang og af, hvor mange der skal læse den. Det vigtige er, at alle deltagere har haft mulighed for at forberede sig. Hvordan rapporten læses, er gennemgået i → Sådan læser I en pentestrapport

Forberedelse: læs, markér og saml spørgsmål

Fordel læsningen. Ledelsen kan nøjes med resuméet og konklusionerne. Systemejerne skal læse de fund, der vedrører deres systemer. Den IT-ansvarlige bør have overblik over det hele. → Resuméet i pentestrapporten

Saml spørgsmålene i ét dokument før mødet, og send dem gerne til testeren på forhånd. Så kan svarene forberedes, og mødet kan bruges på det, der kræver en samtale. Markér også faktuelle fejl, fx et forkert systemnavn eller en forkert dato. Det er lettere at rette dem i et udkast end efter, at rapporten er sendt videre.

Systemejerne kan med fordel forberede en første vurdering af de fund, der vedrører dem. Hvad vil en rettelse kræve, hvem skal udføre den, og er der forhold i driften, som testeren ikke kendte? Med de oplysninger på bordet kan mødet gå direkte til beslutninger i stedet for at sende spørgsmålene videre til et nyt møde.

Hvem skal sidde med?

Deltagerkredsen bør afspejle de beslutninger, mødet skal træffe. For mange deltagere gør det svært at gå i dybden, og for få betyder, at beslutningerne må vente på personer, der ikke var til stede. Et praktisk greb er at dele mødet i to dele.

En kort ledelsesdel · resumé, de vigtigste fund og de beslutninger, der kræver ledelsens mandat.
En længere teknisk del · systemejere, intern drift og driftsleverandøren gennemgår fundene i detaljer.

Driftsleverandøren og softwareleverandøren kan være nødvendige deltagere, hvis de skal rette fundene. Overvej dog, hvilke dele af rapporten de skal se, og om fund i andre leverandørers systemer skal holdes uden for deres del. → Deling af pentestrapporten

Spørgsmål, der er værd at stille

Nogle spørgsmål giver indsigt, som ikke står direkte i rapporten. Brug listen som udgangspunkt, og tilpas den til jeres situation.

Sammenhænge · hænger nogle af fundene sammen, så én rettelse løser flere?
Begrundelse for alvorlighed · hvorfor er et fund vurderet, som det er, og hvad ville ændre vurderingen?
Usikkerhed · hvilke vurderinger hviler på antagelser, som testeren ikke kunne efterprøve?
Dækning · hvilke dele blev ikke testet eller kun testet overfladisk, og hvorfor?
Det positive · hvad fungerede efter hensigten, og hvad kan I bygge videre på?
Rækkefølge · hvad ville testeren selv rette først, og hvorfor?

Spørgsmålet om dækning er særligt vigtigt. Rapporten bør vise det, men i en samtale kommer nuancerne frem, som en kort opremsning kan skjule. Hvis testen af ERP-systemet fik mindre tid end planlagt, fordi testkontiene først virkede sent, er det en oplysning, der påvirker, hvor meget vægt resultatet kan bære.

Spørg også, hvad testeren ville anbefale at undersøge næste gang. Svaret kan pege på dele, der ikke var med i denne opgave, men som bør overvejes ved den næste bestilling.

Når I er uenige i en vurdering

Systemejeren kan mene, at et fund er vurderet for hårdt, fx fordi en kompenserende foranstaltning ikke var kendt af testeren. Mødet er stedet at fremlægge det. Testeren kan vælge at justere vurderingen eller at fastholde den med en begrundelse. Bring dokumentation for den kompenserende foranstaltning, hvis den findes, så drøftelsen handler om fakta og ikke om fornemmelser.

Uanset udfaldet bør uenigheden ikke forsvinde. Enten ændres rapporten, eller virksomheden noterer sin egen vurdering ved siden af. → Uenighed om et funds alvorlighed

Beslutninger, mødet skal ende med

Et afslutningsmøde uden beslutninger efterlader rapporten som et dokument uden ejer. Sørg for, at mødet mindst afklarer disse punkter:

Ejere · hvem der er ansvarlig for hvert fund eller hver gruppe af fund.
Rækkefølge · hvilke fund der håndteres først. → Prioritering af rettelser
Rettelser i rapporten · hvilke faktuelle fejl der rettes, før den endelige version udsendes.
Retest · om og hvornår rettelserne skal efterprøves, og hvad det kræver af aftale.
Deling · hvem der modtager den endelige rapport, og i hvilken form.

Efter mødet bør beslutningerne samles i en handlingsplan med ansvarlige og datoer. Den plan er det, der sikrer, at rapporten fører til ændringer, også når hverdagens andre opgaver melder sig igen. → Fra rapport til handlingsplan

NIST SP 800-115 behandler rapportering og anbefalinger om afhjælpning som en del af aktiviteterne efter selve testen. Afslutningsmødet er det sted, hvor de to ting mødes med virksomhedens egne beslutninger. Skriv et kort referat, så beslutningerne kan genfindes, når handlingsplanen følges op.

Det skal I lade være med

At møde op uden at have læst rapporten · Så bliver mødet en oplæsning.
At invitere for bredt · Del mødet, så ledelse og teknikere får hver sin del.
At lade faktuelle fejl stå · Ret dem, før rapporten sendes videre.
At glemme det, der ikke blev testet · Spørg til dækningen.
At gå fra mødet uden ejere · Hvert fund skal have en ansvarlig.
At skjule uenighed · Notér den, hvis rapporten ikke ændres.

Hvad kan og ikke kan konkluderes

Et godt afslutningsmøde giver virksomheden en fælles forståelse af resultatet og en plan for næste skridt. Det ændrer ikke testens resultat eller dækning, og en mundtlig forklaring på mødet erstatter ikke det, der står i rapporten. Hvad der blev aftalt, skal derfor også stå på skrift.