Backup er virksomhedens sidste udvej, hvis data forsvinder eller bliver låst. En penetrationstest kan vise, om backup kan nås, ændres eller slettes af nogen, der ikke skal kunne det. Den kan ikke vise, om data faktisk kan gendannes, når det gælder. Det kræver en gendannelsestest, som er en anden opgave med en anden ejer.
De to spørgsmål hænger sammen, men de besvares hver for sig. Det ene handler om beskyttelsen af backup mod uvedkommende. Det andet handler om, hvorvidt backup virker. Begge svar er nødvendige, og det ene kan ikke udledes af det andet.
To forskellige spørgsmål
Bliver virksomhedens data krypteret ved et angreb, er backup ofte det, der afgør, hvor hurtigt arbejdet kan genoptages. Netop derfor kan backup også være et mål. Kan backup slettes eller krypteres med de samme adgange som resten, giver den ikke den beskyttelse, virksomheden regner med.
En penetrationstest kan belyse den side af sagen: hvem kan nå backup, og hvad kan de gøre der? En gendannelsestest belyser den anden: findes de rigtige data, er de hele, og kan systemerne startes igen inden for den tid, virksomheden kan undvære dem? Det sidste hører til beredskabet og driften, ikke til en sikkerhedstest.
Hvad testen kan undersøge
Backup kan indgå i en intern test som et af de mål, testen skal forsøge at nå. Spørgsmålene kan formuleres sådan:
- Kan en almindelig medarbejders konto nå backup eller backupsystemets administration?
- Bruger backup de samme administratorkonti som resten af netværket?
- Kan backup ændres eller slettes fra de systemer, der bliver sikkerhedskopieret?
- Findes der en kopi, som ikke kan nås fra det almindelige netværk?
Det fjerde spørgsmål handler om, hvorvidt der findes en kopi, som overlever, selv hvis resten af netværket bliver overtaget. Spørgsmålene passer til en test med antaget brud, hvor udgangspunktet er en konto, der allerede er misbrugt. → Assume breach
Er backup en tjeneste hos driftsleverandøren eller i cloud, skal det afklares, hvilken del der er jeres, og hvad leverandøren står for. Spørgsmålet om, hvem der kan slette kopierne, gælder også hos leverandøren. → Driftsleverandøren og testen
Forsigtighed med den rigtige backup
En test, der rører ved backup, skal planlægges med omhu. Ingen ønsker, at sikkerhedskopierne bliver ødelagt af den test, der skulle beskytte dem. Aftal derfor, at testen viser, at en handling ville være mulig, uden at udføre den. At påvise adgangen er som regel nok. At slette noget for at bevise det er det ikke. Aftal desuden, at testen ikke ændrer backupplaner eller regler for opbevaring, heller ikke midlertidigt. En ændret plan kan betyde, at der mangler kopier fra testperioden, uden at nogen opdager det.
Beslut på forhånd, hvordan I vil håndtere det, hvis backup viser sig at kunne nås. Skal testen stoppe der, og skal virksomheden have besked med det samme? Et sådant fund kan være alvorligt nok til, at det ikke bør vente på rapporten. → Kritisk fund midt i testen
Kontrollér, at der findes en frisk og intakt backup, før testen begynder. Det er god praksis ved enhver test, der berører systemer i drift. → Hvis noget går ned under testen
Gendannelsen er en anden opgave
En gendannelsestest afprøver, om data og systemer kan bringes tilbage. Den kan omfatte en enkelt fil, et helt system som ERP-systemet eller hele virksomheden. Den udføres typisk af driftsleverandøren eller IT-afdelingen og dokumenteres i beredskabsplanen. En penetrationstester er ikke den naturlige part til opgaven. Resultatet bør dateres og gemmes, så det kan vises frem, hvis en kunde eller forsikringen spørger.
Spørgsmålene til en gendannelsestest er af en anden art:
- Omfang · hvilke systemer skal kunne gendannes?
- Tid · hvor længe kan virksomheden undvære dem?
- Ansvar · hvem gennemfører gendannelsen, og hvem godkender resultatet?
- Dokumentation · hvordan registreres det, at gendannelsen lykkedes?
Svarene på de to typer test supplerer hinanden. En backup, der er godt beskyttet, men ikke kan gendannes, hjælper ikke. En backup, der kan gendannes, men også slettes af enhver med en almindelig konto, er heller ikke nok. Ledelsen har brug for begge svar for at vurdere, om virksomheden kan komme igennem et alvorligt nedbrud.
Hvem ejer backup?
Backup involverer ofte flere parter: IT-afdelingen, der har bestemt, hvad der tages backup af, driftsleverandøren, der driver løsningen, og måske en cloudtjeneste, der opbevarer kopierne. Find ud af, hvem der ejer hvad, før testen bestilles. Spørg også, hvem hos leverandøren der har adgang til backupløsningens administration, og om den adgang kræver mere end en adgangskode.
Tilladelsen til test skal komme fra den, der råder over løsningen, og rettelserne skal ligge hos den, der kan gennemføre dem. Ligger kopierne hos en tredje part, kan det kræve en særskilt aftale at lade dem indgå. → Er en penetrationstest lovlig?
Backup i rapporten
Var backup et mål i testen, bør rapporten have et selvstændigt afsnit om det. Afsnittet bør sige, fra hvilke udgangspunkter testen forsøgte at nå backup, hvad der lykkedes, og hvad der blev holdt tilbage af hensyn til kopierne. Kunne testeren have slettet kopier, er det et fund, selv om intet blev slettet.
Har virksomheden flere backupløsninger, fx én til servere og én til mail og dokumenter i cloud, bør det fremgå, hvilke der indgik. En test af den ene siger ikke noget om den anden.
Det skal I lade være med
- At tage en penetrationstest som bevis for, at gendannelsen virker · testen undersøger adgangen, ikke indholdet.
- At lade testeren slette noget for at bevise et fund · påvist adgang er normalt tilstrækkeligt.
- At teste uden at kende backupens tilstand · kontrollér, at der findes en intakt kopi før start.
- At glemme leverandørens del · backup hos driftsleverandøren eller i cloud kræver deres medvirken.
- At udelade backup fra en intern test · den er ofte det, der skal holde, når alt andet svigter.
Hvad kan og ikke kan konkluderes
En penetrationstest kan vise, om backup kunne nås, ændres eller slettes fra de udgangspunkter og med de konti, der indgik, på testtidspunktet. Den kan ikke sige, om de rigtige data findes i backup, eller om de kan gendannes. Det spørgsmål besvares kun af en gendannelsestest.
En rapport uden fund om backup er en oplysning om adgangen. Den er ikke en erklæring om, at virksomheden kan komme sig efter et nedbrud.
Tjekliste til backup i testen
- ☐ Er det besluttet, om backup skal være et mål i testen?
- ☐ Er det aftalt, at testen påviser adgang uden at slette noget?
- ☐ Findes der en intakt backup, før testen begynder?
- ☐ Er driftsleverandørens og cloudtjenestens del afklaret?
- ☐ Er gendannelsestest planlagt som en særskilt opgave?
- ☐ Er det aftalt, hvordan et fund i backup varsles?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Netværkssegmentering · Driftsleverandøren og testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
