Ansvar og forsikring: hvilke spørgsmål skal I stille testeren før start?

En penetrationstest arbejder tæt på systemer, som virksomheden er afhængig af, og en driftsforstyrrelse kan ikke udelukkes på forhånd. Hvem der bærer følgerne, afgøres af kontrakten, af parternes forsikringer og af aftalerne med de leverandører, der driver systemerne.

Før start bør I have svar på fem spørgsmål. Hvordan er testerens ansvar afgrænset? Har testeren en forsikring, og hvad dækker den? Deltager andre end kontraktparten i arbejdet? Hvad siger aftalerne med driftsleverandøren og hostingfirmaet om test? Og hvad mener jeres eget forsikringsselskab om en planlagt test? Teksten er ikke juridisk rådgivning. Svarene skal findes i jeres egne aftaler og vilkår, og tvivlsspørgsmål hører hjemme hos en advokat eller forsikringsrådgiver.

Hvorfor ansvaret skal på plads, før testen begynder

Når testen er i gang, er det for sent at forhandle. Går kundeportalen ned en travl formiddag, skal parterne kunne handle efter en aftale og ikke efter en diskussion om, hvem der betaler for oprydningen.

Ansvar handler også om forventninger. En test i produktion indebærer en anden risiko end en test i en kopi, og vilkårene bør passe til det valg. Hvad miljøvalget i øvrigt betyder for resultatet, står i → Penetrationstest i produktion eller testmiljø

NIST SP 800-115 nævner juridiske forhold som en del af planlægningen af en sikkerhedsvurdering. Det understøtter en enkel praksis: spørgsmålene om ansvar hører til i bestillingen og ikke i opfølgningen, når skaden er sket.

Spørgsmål om testerens ansvar

Kontrakter om konsulentarbejde har ofte en ansvarsbegrænsning. Det er ikke mærkeligt i sig selv, men I bør forstå, hvad begrænsningen betyder for netop jeres opgave. Disse spørgsmål kan bruges som udgangspunkt:

Begrænsningens omfang · hvad er ansvaret begrænset til, og gælder det alle typer skade?
Undtagelser · er indirekte tab som tabt omsætning, mistede data eller driftsstop holdt ude?
Grænsen for begrænsningen · gælder den også ved grov uagtsomhed eller brud på de aftalte spilleregler?
Anmeldelse · hvordan skal en skade meldes, og hvilken frist følger af kontrakten?

Sammenhold svarene med det, der står på spil. En kort afbrydelse af kontornettet har andre følger end en afbrydelse af ERP-systemet midt i en lønkørsel. Det er virksomheden, der kender de følger, og derfor virksomheden, der må vurdere, om fordelingen er acceptabel. Selve kontraktpunkterne er gennemgået i → Kontrakten om penetrationstesten

Spørgsmål om testerens forsikring

En oplysning om, at testeren er forsikret, siger ikke meget alene. Bed om at få oplyst, hvilken slags forsikring der er tale om, og om den omfatter den type arbejde, opgaven består af.

Erhvervsansvar · dækker forsikringen skade på kundens systemer og data, og er sikkerhedstest omfattet af beskrivelsen af virksomhedens aktiviteter?
Rådgiveransvar · dækker den fejl i rådgivning og rapport, fx en forkert vurdering, som I handler på?
Geografi · gælder dækningen også systemer, der står hos en udenlandsk cloududbyder?
Periode · er forsikringen gældende i hele testperioden og i den periode, hvor et krav kan rejses?

I kan bede om dokumentation, fx et forsikringsbevis. Læs det sammen med jeres egen rådgiver, hvis dækningen har betydning for beslutningen om at gå i gang. Et forsikringsbevis viser, at en police findes. Det afgør ikke, om en bestemt skade bliver dækket.

Flere personer på opgaven

Nogle opgaver løses af flere konsulenter, og nogle leverandører bruger underleverandører. Spørg, hvem der faktisk udfører arbejdet. Er det andre end kontraktparten, bør aftalen vise, om de er omfattet af det samme ansvar og den samme forsikring som kontraktparten selv. Det samme gælder fortrolighed. En underleverandør, der ikke er nævnt i aftalen, står uden for de forpligtelser, I har forhandlet på plads med kontraktparten, og I har ikke selv en aftale med den part.

Spørgsmålet hænger sammen med kvalifikationer og tillid. I vurderer den eller de personer, der får adgang til jeres systemer, ikke kun firmanavnet på tilbuddet. → Krav til penetrationstesteren

Jeres egen side af sagen

Ansvar er ikke kun et spørgsmål til testeren. Aftalen med driftsleverandøren kan indeholde regler om sikkerhedstest, varsel og ansvar, hvis testen påvirker leverandørens platform. Læs dem, før testeren får adgang. → Driftsleverandøren og testen

Hostingfirmaet kan have vilkår, der kræver forudgående aftale om test, eller som placerer ansvaret for følgerne hos kunden. Deler webshoppen platform med andre kunder, kan en forstyrrelse ramme flere end jer selv. Det gør afklaringen vigtigere, ikke mindre vigtig.

Jeres egen forsikring kan også spille ind. Har I en cyberforsikring, kan vilkårene sige noget om sikkerhedstest, eller selskabet kan have spørgsmål til den. Det spørgsmål stilles til forsikringsselskabet og ikke til testeren. → Cyberforsikringen spørger til sikkerhedstest

Forebyggelse er stadig det bedste værn mod en tvist: aftalte testvinduer, en kontakt der kan træffes, og en kendt vej til at standse arbejdet. Hvad der skal ske, hvis det alligevel går galt, er beskrevet i → Hvis noget går ned under testen

Hvis der alligevel opstår en skade

Aftal på forhånd, hvad der skal ske i de første timer efter en forstyrrelse. Testeren bør kunne redegøre for, hvad der blev udført, og hvornår. Driftsleverandøren bør kunne beskrive, hvad der skete på platformen. Uden de to forklaringer bliver det svært at afgøre, om testen var årsagen, eller om forstyrrelsen havde en anden kilde.

Notér forløbet, mens det er friskt: tidspunkter, beslutninger, hvem der blev kontaktet, og hvad der blev gjort for at genoprette driften. Det er den dokumentation, et forsikringsselskab eller en rådgiver senere vil spørge efter. Meld skaden efter de frister, kontrakten og policerne angiver, også selv om årsagen endnu ikke er klarlagt.

Det skal I lade være med

At nøjes med ordet forsikret · Spørg til forsikringens type, dækning og periode.
At springe ansvarsbegrænsningen over · Det er det afsnit, der får betydning, hvis noget går galt.
At glemme leverandøraftalerne · Driftsleverandøren og hostingfirmaet kan have egne vilkår for test.
At gå ud fra, at alle deltagere er dækket · Underleverandører skal fremgå af aftalen.
At bede testeren vurdere jeres egen forsikring · Det spørgsmål hører til hos jeres selskab eller rådgiver.
At afklare det hele mundtligt · Svar, der skal bruges senere, bør stå på skrift.

Hvad kan og ikke kan konkluderes

Svarene giver et billede af, hvordan risikoen er fordelt mellem parterne. De garanterer ikke, at en skade bliver dækket, og de siger intet om testens kvalitet. Om en konkret skade er omfattet, afgøres af aftaler og vilkår, når situationen opstår, og eventuelt af en juridisk vurdering.