Pentestrapporten er et af de mest følsomme dokumenter, en virksomhed har om sine egne systemer, fordi den beskriver, hvor de er svage. Alligevel skal den bruges af flere personer og parter for at få fundene rettet. Svaret på, hvem der må se den, hviler på to principper: hver modtager får den del, der er nødvendig for modtagerens opgave, og ejeren af rapporten træffer beslutningen.
I praksis betyder det, at få personer har adgang til hele rapporten, mens andre får uddrag, et resumé eller en erklæring. Delingen bør besluttes, før rapporten lander, ikke når den første forespørgsel kommer.
Udnævn en ejer af rapporten
Nogen skal have ansvaret for, hvem der får rapporten. Det er typisk den, der har bestilt testen, eller den, der har det overordnede ansvar for informationssikkerheden. Ejeren beslutter, hvem der får adgang, og fører en liste over, hvem der har fået hvad.
Uden en ejer spreder rapporten sig gennem videresendte mails. Den, der modtog den for at rette et enkelt fund, sender den videre til en kollega, som sender den til en leverandør. Til sidst ved ingen, hvor mange kopier der findes. → Hvem skal involveres internt?
Udpeg også en stedfortræder. Hvis ejeren er på ferie eller fratræder, skal en anden kunne svare på en henvendelse fra en kunde eller en leverandør uden at gætte på, hvad der tidligere er aftalt.
Fire niveauer af indsigt
Det hjælper at tænke i niveauer i stedet for at beslutte ja eller nej til hele rapporten for hver modtager.
- Hele rapporten med bilag · til de få, der skal forstå alle fund og den tekniske dokumentation.
- Uddrag med de relevante fund · til dem, der skal rette en bestemt del.
- Resumé og handlingsplan · til ledelse og bestyrelse, der skal beslutte og følge op.
- Erklæring · til kunder og andre eksterne, der skal vide, at testen er udført.
Niveauerne gør det lettere at svare hurtigt, når nogen beder om rapporten. Spørgsmålet bliver, hvilket niveau modtageren har brug for, ikke om modtageren må få det hele.
Internt: efter opgave, ikke efter titel
Inden for virksomheden bør adgangen følge opgaven. Den IT-ansvarlige og den, der koordinerer opfølgningen, har typisk brug for hele rapporten. Systemejeren for ERP-systemet har brug for fundene i ERP-systemet, men ikke nødvendigvis for fundene på gæstenettet.
Ledelsen har sjældent brug for de tekniske detaljer. Den har brug for at forstå det samlede billede, de væsentligste risici og de beslutninger, der skal træffes. Resuméet og handlingsplanen er det rette niveau. → Resuméet i pentestrapporten
Medarbejdere generelt bør ikke have adgang til rapporten, men kan godt få at vide, at en test er gennemført, og hvad den betyder for dem. → Kommunikation til medarbejderne efter testen
Leverandører: kun deres del
Driftsleverandøren, hostingfirmaet og softwareleverandøren skal ofte bruge oplysninger fra rapporten for at rette fund. Giv dem de fund, der vedrører deres ansvarsområde, med den tekniske dokumentation, der skal til. Hostingfirmaet bag webshoppen har ikke brug for fundene i kontornettet. Hvis et fund kræver samarbejde mellem to leverandører, så del det samme uddrag med begge og hold resten af rapporten tilbage, så ingen af dem får mere end opgaven kræver.
Før I deler, så tjek, at aftalen med leverandøren dækker fortrolighed. Hvis den ikke gør, kan en fortrolighedsaftale være et naturligt første skridt. Aftal også, hvad leverandøren må gøre med oplysningerne, og hvornår de skal slettes. → Hvem retter fundene?
En leverandør, der leverer samme software til andre kunder, kan have brug for at vide, at fundet findes i produktet. Det er en anden situation end en rettelse hos jer alene, og den kræver sin egen dialog. → Fund i tredjepartssoftware
Kunder, revisorer og forsikring
Eksterne modtagere har typisk brug for at vide, at testen er udført, hvad den omfattede, og hvordan alvorlige fund håndteres. En erklæring eller et resumé dækker ofte behovet. Den fulde rapport bør kun deles efter en bevidst beslutning og med fortrolighed aftalt skriftligt. → Testerklæring til kunder
Revisorer og forsikringsselskaber kan have egne krav til dokumentation. Spørg, hvad de konkret skal bruge, før I sender noget. Måske kan de se rapporten på et møde eller i et adgangsstyret dokumentrum i stedet for at modtage en kopi.
Spørg desuden, om modtageren vil dele materialet videre. En kunde kan have sin egen revisor eller sine egne leverandører, som skal se dokumentationen. Aftal, om det er tilladt, og på hvilket niveau, så jeres beslutning om deling ikke ophører ved første modtager.
Rapporten kan også indeholde personoplysninger, for eksempel brugernavne eller skærmbilleder med kundedata. Overvej, om de dele kan udelades eller sløres i uddrag til eksterne. → Bevis for fundet
Sådan deler I i praksis
Beslutningen om, hvem der må se rapporten, skal følges af en forsvarlig måde at dele den på. Det kræver ikke særlige værktøjer, men nogle enkle vaner.
- Ét sted · læg rapporten et sted med adgangsstyring i stedet for at sende den som vedhæftet fil.
- Navngivne modtagere · giv adgang til personer, ikke til fællespostkasser.
- Mærkning · markér rapporten som fortrolig, så modtageren ved, hvordan den skal behandles.
- Udløb · fjern adgang, når opgaven er løst, eller samarbejdet slutter.
- Liste · notér, hvem der har fået hvilket niveau og hvornår.
Hvordan rapporten opbevares og slettes på længere sigt, er beskrevet i → Opbevaring og sletning af rapport og testdata
Det skal I lade være med
- At sende hele rapporten, fordi det er nemmest · Vælg det niveau, modtageren har brug for.
- At lade rapporten cirkulere uden ejer · Én person skal styre adgangen.
- At give leverandører alle fund · De skal have det, der vedrører deres ansvar.
- At dele uden aftalt fortrolighed · Afklar fortrolighed, før rapporten forlader huset.
- At glemme at fjerne adgang · Adgang, der ikke længere er brug for, skal lukkes.
- At bruge fællespostkasser · Navngivne modtagere gør det muligt at følge delingen.
Hvad kan og ikke kan konkluderes
En klar beslutning om deling kan begrænse, hvor mange der har detaljeret viden om jeres svagheder, og gøre det muligt at følge, hvor rapporten er. Det gør det lettere at svare kunder og leverandører hurtigt og ens.
Reglerne kan ikke garantere, at en modtager behandler rapporten korrekt. Fortrolighedsaftaler og adgangsstyring mindsker risikoen, men den forsvinder ikke. Teksten er ikke juridisk rådgivning om aftalerne.
Tjekliste til deling af rapporten
- ☐ Er der udpeget en ejer af rapporten?
- ☐ Er niveauerne af indsigt besluttet?
- ☐ Har hver intern modtager kun den del, opgaven kræver?
- ☐ Har leverandører fået deres egne fund og ikke flere?
- ☐ Er fortrolighed aftalt med eksterne modtagere?
- ☐ Ligger rapporten et sted med adgangsstyring?
- ☐ Føres der en liste over modtagere og niveauer?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Tekniske bilag · Fra rapport til handlingsplan
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
