Når en rapport lander, er det første, mange kigger på, hvor mange fund den indeholder. Tallet er let at aflæse, men det siger meget lidt om, hvorvidt testen var god. Kvaliteten afhænger af, om testen besvarede det spørgsmål, den blev bestilt til, og om fundene er dokumenteret, så de kan bruges.
En rapport med mange fund kan være grundig. Den kan også være fyldt med forhold, der har ringe betydning, eller med gentagelser af samme problem i flere udgaver. En rapport med få fund kan være resultatet af et velholdt system eller af en test, der ikke kom langt. Antallet alene kan ikke skelne mellem de muligheder.
Hvorfor tallet er så fristende
Et tal er nemt at formidle. Det kan stå i en mail til ledelsen, sammenlignes med sidste år og bruges som argument for eller imod en leverandør. Det giver indtryk af præcision.
Men et fund er ikke en standardiseret enhed. En tester kan beskrive flere forekomster af samme fejl som ét samlet fund, mens en anden giver hver forekomst sin egen linje. Én kan medtage oplysninger om versioner og opsætning som selvstændige fund, mens en anden samler dem i et bilag. Derfor kan to rapporter om samme webshop have meget forskelligt antal fund uden, at den ene test har været bedre. → Sårbarhed, fund og risiko
Hvad et højt antal kan skjule
Et højt antal kan dække over, at de vigtige fund drukner. Hvis ét alvorligt forhold i kundeportalen står mellem mange små bemærkninger, bliver det sværere for ledelsen at se, hvad der haster. Den, der skal rette, kan bruge tid på det lette i stedet for det vigtige.
Mange fund kan også betyde, at testeren har rapporteret resultater, der ikke er efterprøvet. Et automatisk resultat, der ikke er vurderet, kan vise sig ikke at holde. Det koster tid at afvise og kan svække tilliden til resten af rapporten. → Falsk positiv og falsk negativ
Endelig kan et højt antal give en forkert fornemmelse af grundighed. Grundighed handler om, hvor dybt de vigtige dele af systemet blev undersøgt, ikke om, hvor mange linjer der står i oversigten.
Hvad et lavt antal kan betyde
Omvendt behøver et lavt antal ikke at betyde, at noget er galt. Det kan afspejle, at ERP-systemet er velvedligeholdt, eller at tidligere fund er rettet. En test af et afgrænset område med få funktioner vil naturligt give en kortere liste.
Det, der skal undersøges, er forklaringen. Står det i rapporten, hvad der blev testet, hvilke roller der indgik, og hvad der ikke kunne vurderes? Hvis svaret er ja, kan et kort resultat være lige så værdifuldt som et langt. Hvis rapporten er vag om dækningen, er det kortheden ikke, der er problemet, men manglen på dokumentation. → En test uden fund
Det, der bør måles i stedet
En penetrationstest kan vurderes ud fra nogle spørgsmål, der siger mere end antallet. Brug dem, når rapporten drøftes, og når næste leverandør skal vælges.
- Svar på spørgsmålet · besvarer rapporten det, testen blev bestilt til?
- Dækning · fremgår det, hvad der blev undersøgt, og hvad der ikke gjorde?
- Dokumentation · kan hvert fund genfindes og forstås af den, der skal rette?
- Vurdering · er alvorligheden forklaret i forhold til jeres virksomhed og ikke kun som en generel score?
- Prioritering · kan ledelsen se, hvad der skal håndteres først?
- Begrænsninger · nævner rapporten forhold, der gjorde vurderingen usikker?
Alvorlighed bør stå tydeligt for hvert fund. Rapporter kan bruge en fælles skala, men også en standardiseret score skal ses i sammenhæng med virksomhedens egne forhold. → CVSS-score
Sammenligning af tilbud og leverandører
Antallet af fund bruges sommetider som argument for at skifte tester: den nye fandt flere ting, altså var den bedre. Konklusionen holder kun, hvis opgaven var den samme. En ny tester har måske fået et bredere scope, andre testkonti eller mere tid. Forskellen kan også skyldes en anden måde at opdele fund på.
Vil I sammenligne to leverandører, så sammenlign det, der kan sammenlignes: dokumentationens kvalitet, tydeligheden af begrænsninger og om de alvorlige fund er forklaret, så de kan rettes. Antallet kan nævnes, men det bør ikke afgøre valget. Spørg gerne begge leverandører, hvordan de opdeler og samler fund, og om de skelner mellem påviste forhold og bemærkninger. Svaret gør det lettere at læse rapporterne side om side.
Tilsvarende bør et tilbud ikke vælges ud fra et løfte om mange fund. Ingen seriøs tester kan vide på forhånd, hvad en test vil vise. → Sammenlign tilbud på penetrationstest
Over tid: færre fund er ikke altid fremskridt
Når testen gentages, er det naturligt at håbe, at listen bliver kortere. Et fald kan være et tegn på, at rettelser virker. Det kan også betyde, at testen har ændret fokus, at områder er udeladt, eller at fund er opdelt anderledes.
Følg derfor de enkelte forhold frem for summen. Er de alvorlige fund fra sidst rettet? Dukker de samme typer problemer op igen? Er der nye områder, der giver nye spørgsmål? Det giver et mere retvisende billede af udviklingen end et samlet tal.
Det skal I lade være med
- At rapportere antallet som resultatet · Ledelsen har brug for de vigtigste fund og deres betydning.
- At bede testeren om at finde mere · Det kan presse rapporten mod mængde i stedet for relevans.
- At skifte leverandør på et tal · Forskellen kan skyldes opgaven og måden at tælle på.
- At afvise en kort rapport uden at læse dækningen · Et lavt antal kan være et korrekt resultat.
- At fejre et fald uden at se på indholdet · Færre fund kan betyde mindre test og ikke bedre sikkerhed.
Hvad kan og ikke kan konkluderes
Antallet af fund kan give en første fornemmelse af, hvor meget der skal håndteres. Det kan ikke bruges til at vurdere testens kvalitet, systemets samlede sikkerhed eller leverandørens dygtighed. De vurderinger kræver, at fundene læses sammen med scope, dokumentation og begrænsninger.
En rapport er god, når den gør det muligt at træffe beslutninger. Det kan en kort rapport lige så vel som en lang. Spørgsmålet er, om den viser, hvad der er vigtigt, hvorfor det er vigtigt, og hvad der ikke blev undersøgt.
Tjekliste når rapporten vurderes
- ☐ Besvarer rapporten det spørgsmål, testen blev bestilt til?
- ☐ Står det tydeligt, hvad der blev testet og ikke testet?
- ☐ Er de alvorlige fund lette at finde og forstå?
- ☐ Er gentagelser af samme problem samlet eller forklaret?
- ☐ Er alvorligheden vurderet i forhold til jeres virksomhed?
- ☐ Følger I de enkelte fund over tid frem for det samlede antal?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Fremskridt fra test til test · Krav til penetrationstesteren
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
