Derfor får virksomheder lavet en penetrationstest

De fleste penetrationstest bliver bestilt, fordi nogen spørger: en kunde, en revisor, et tilsyn eller ledelsen selv. Bag spørgsmålet ligger det samme behov, nemlig at vide om sikkerheden holder, og ikke kun tro det.

Sammenlign med et cykeldæk, der taber luft. Man finder ikke hullet ved at kigge på det. Man trykker det ned i vand og ser, hvor boblerne kommer. En penetrationstest gør det samme med systemerne.

Kunden kræver det

Større kunder beder i stigende grad leverandører om dokumentation for, at sikkerheden er testet. Det sker typisk i forbindelse med udbud, kontraktfornyelse eller en leverandørvurdering. En frisk rapport er hurtigere at sende end et langt spørgeskema. Softwarehuse i den situation finder mere på pentestrapport.dk.

Kravet kommer ned gennem kæden

NIS2-direktivet kræver, at omfattede virksomheder har politikker og procedurer for at vurdere, om deres sikkerhedsforanstaltninger virker (artikel 21, stk. 2, litra f). Mange sender kravet videre til deres leverandører. nis2-pentest.dk

Standarder

Nogle standarder kræver test direkte. PCI DSS for betalingskort kræver intern og ekstern penetrationstest mindst hver 12. måned og efter væsentlige ændringer (krav 11.4). ISO/IEC 27001 kræver håndtering af tekniske sårbarheder (bilag A 8.8), og en penetrationstest bruges ofte som dokumentation for det.

Efter ændringer

Ny webapplikation, nyt netværk, skift af IT-leverandør eller flytning til cloud. Hver ændring kan åbne noget, der før var lukket. En test efter ændringen viser, om den nye opsætning er så sikker som forventet.

For at efterprøve leverandøren

Mange virksomheder har overladt driften til en leverandør, der siger, at alt er i orden. En uafhængig test giver et grundlag for samtalen, som ikke kommer fra leverandøren selv.

Det, der typisk findes

Det er sjældent det spektakulære. Ofte er det:

• Systemer, der ikke er opdateret · for eksempel en hjemmeside med et gammelt CMS eller gamle plugins.
• Glemte systemer · testmiljøer og tjenester, ingen huskede at lukke.
• Netværk uden adskillelse · et gæstenet, der giver adgang til mere end internettet.
• Arbejdsdata på private enheder · en arbejdsmail på en privat telefon, der også bruges til alt andet.

Mere end teknik

En test skal munde ud i anbefalinger, der kan bruges. Nogle er tekniske, som opdateringer og ændret opsætning. Andre handler om, hvordan systemerne bruges, for eksempel regler for adgangskoder. → Artikler om penetrationstest

Hvad testen ikke er

En penetrationstest er ikke en garanti. Den viser, hvad der blev fundet i det, der blev testet, i den periode, testen kørte. → Scope i en penetrationstest

→ Hvad er en penetrationstest? · Hvor ofte skal I teste? · Penetrationstest hos Nielco IT