Budgettet rækker til én test: hvad skal den dække?

Når der kun er råd til én penetrationstest, bliver valget af område den vigtigste beslutning i hele forløbet. Det bedste valg hviler på den beslutning, resultatet skal støtte, og på hvilket system en svaghed ville gøre mest skade.

Svaret er derfor sjældent at sprede testen ud over så meget som muligt. En smal test af det system, der betyder mest, giver som regel et mere brugbart resultat end en bred test, der kun når at kradse i overfladen alle steder. Det kræver, at virksomheden tør vælge fra og skriver fravalget ned.

Start med beslutningen, ikke med systemlisten

En systemliste fører let til spørgsmålet om, hvor meget der kan nås. Et bedre udgangspunkt er spørgsmålet om, hvad virksomheden skal beslutte bagefter. Skal kundeportalen åbnes for flere kunder? Skal en kunde have dokumentation? Skal ledelsen vide, om fjernadgangen holder?

Når beslutningen er klar, bliver det lettere at se, hvilket system testen skal handle om. Et resultat, der ikke kan bruges til noget bestemt, er dyrt, uanset hvad det kostede. → Den første penetrationstest

Inddrag gerne den, der skal træffe beslutningen, når området vælges. En IT-chef kan have én opfattelse af, hvad der er vigtigst, mens ledelsen eller den kundeansvarlige har en anden. Hvis de ikke er enige på forhånd, risikerer rapporten at besvare et spørgsmål, som modtageren ikke har stillet.

Tre måder at prioritere på

Når flere systemer konkurrerer om den samme test, kan valget træffes ud fra forskellige hensyn. De kan kombineres, men det hjælper at vide, hvilket hensyn der vejer tungest.

Konsekvens · hvilket system ville gøre størst skade, hvis det blev misbrugt? Det kan være ERP-systemet med økonomi og ordrer eller kundeportalen med kundernes oplysninger.
Eksponering · hvilket system kan nås af flest udefra? Webshoppen og fjernadgangen er synlige for alle på internettet.
Krav · hvilket system har en kunde, en kontrakt eller en standard spurgt til? Her er der en ekstern grund til at have dokumentationen.

Hvis et system scorer højt på alle tre, er valget nemt. Hvis to systemer står lige, kan det tale for det system, hvor en svaghed ville være sværest at opdage bagefter, eller hvor en rettelse tager længst tid at gennemføre. Hvis ikke, må ledelsen tage stilling til, hvilket hensyn der skal have forrang. → Flere systemer: hvad testes først?

Gør testen smal og dyb

En afgrænset test giver testeren tid til at gå i dybden med det, der betyder noget. For kundeportalen kan det være at undersøge adskillelsen mellem kunder grundigt frem for at tjekke alle sider overfladisk. For webshoppen kan det være kundekonti og betalingsforløbet frem for hele kataloget.

En smal test kræver en præcis beskrivelse. Hvilke funktioner, roller og miljøer indgår? Hvad er bevidst udeladt? Jo bedre beskrivelsen er, jo mindre tid bruger testeren på at finde rundt, og jo mere tid bliver der til det, testen skal besvare. → Scope i en penetrationstest

Et begrænset budget kan også fordeles over tid. Hvis kundeportalen testes i år, kan fjernadgangen komme næste år, så flere områder bliver dækket i løbet af en periode. Det kræver en plan, der er skrevet ned, så rækkefølgen ikke bliver glemt, når budgettet skal lægges igen.

Forberedelse forlænger budgettet

Tid, testeren bruger på at vente på adgang eller finde frem til oplysninger, er tid, der ikke bruges på selve testen. God forberedelse er derfor en direkte måde at få mere ud af et begrænset budget.

Sørg for, at testkonti er klar, at driftsleverandøren er orienteret, og at der er en kontaktperson, der kan svare hurtigt. Overvej også at give testeren dokumentation og forhåndsviden om systemet. Det kan gøre det muligt at nå længere på samme tid, men det ændrer også, hvad testen svarer på. → Black box, grey box og white box

Det, I kan gøre uden en test

Ikke alle spørgsmål kræver en penetrationstest. Nogle forhold kan virksomheden selv afklare, før testeren kommer: Er alle systemer opdateret? Er gamle konti lukket? Kræver fjernadgang tofaktorgodkendelse? Er der en liste over, hvad der er synligt fra internettet?

Hvis de grundlæggende ting er i orden, bruger testen ikke tid på at påpege dem. Så kan budgettet gå til de spørgsmål, som kun en test kan besvare. En automatisk scanning kan også være et supplement, men den er ikke det samme som en penetrationstest, og dens resultat kræver stadig, at nogen vurderer og følger op på det. → Automatisk eller manuel penetrationstest

Skriv fravalget ned

Når én test vælges, bliver andre systemer valgt fra. Det er en legitim beslutning, men den bør kunne genfindes. Skriv ned, hvilke systemer der ikke blev testet, hvorfor, og hvornår spørgsmålet skal tages op igen. En kort note i referatet fra det møde, hvor testen blev besluttet, er tilstrækkelig, når den er til at finde.

Fravalget er nyttigt i flere sammenhænge. Det viser ledelsen, hvilken risiko der stadig står åben, og det giver et udgangspunkt for næste års budget. Hvis en kunde spørger, kan virksomheden forklare, hvorfor testen dækker det, den gør. Hvad der påvirker omfanget, og dermed hvad en opgave kræver, er beskrevet i → Hvad påvirker omfanget og prisen?. Mere om prissætningen findes under pris og tilbud.

Det skal I lade være med

At sprede testen tyndt over alt · en overfladisk gennemgang af mange systemer svarer sjældent på noget bestemt.
At vælge efter, hvad der er lettest at teste · vælg efter konsekvens, eksponering eller krav.
At bruge testtid på grundlæggende forhold · ret det, I selv kan finde, før testen begynder.
At skære i forberedelsen · ventetid hos testeren tager tid fra selve undersøgelsen.
At glemme fravalget · de systemer, der ikke blev testet, skal stå et sted, ledelsen kan se dem.

Hvad kan og ikke kan konkluderes

En afgrænset test kan give et grundigt svar om det system, der blev valgt. Den kan ikke sige noget om de systemer, der blev valgt fra, og et godt resultat i kundeportalen betyder ikke, at ERP-systemet er i samme stand. Rapporten bør vise afgrænsningen tydeligt, så resultatet ikke bliver læst bredere, end det er.

Et resultat med få fund i en smal test er heller ikke et tegn på, at pengene var givet dårligt ud. Det kan være netop det svar, beslutningen havde brug for.