Bevis for fundet: hvor meget dokumentation skal rapporten have?

Et fund uden tilstrækkeligt bevis kan ikke rettes med sikkerhed, og et fund med for meget bevis kan selv blive et sikkerhedsproblem. Det rette niveau bygger på, hvad modtageren skal kunne gøre med fundet: forstå det, genskabe det på en kontrolleret måde, vurdere konsekvensen og senere efterprøve rettelsen.

Svaret er derfor ikke et bestemt antal skærmbilleder eller sider. Dokumentationen skal være nok til, at systemejeren og den, der retter, kan handle uden at gætte, og den skal holde sig fra oplysninger, ingen har brug for.

Hvad dokumentationen skal kunne bære

Tænk på fundets dokumentation som et grundlag for fire beslutninger. Systemejeren skal kunne forstå, hvad problemet er, og hvorfor det betyder noget. Den, der retter, skal kunne finde stedet og se betingelserne. Ledelsen skal kunne vurdere, om konsekvensen er påvist eller blot mulig. Og den, der senere efterprøver, skal kunne gentage kontrollen under samme forhold.

I praksis betyder det, at et fund bør angive system, funktion, rolle og tidspunkt. Ved kundeportalen er det forskel på, om problemet blev set med en almindelig kundekonto eller med en administrativ rolle. Ved ERP-systemet kan det være afgørende, hvilket modul og hvilket miljø observationen stammer fra.

Tidspunktet er mere end en formalitet. Hvis driftsleverandøren ændrede en opsætning dagen efter observationen, skal det kunne afgøres, om fundet gjaldt den gamle eller den nye tilstand. Uden dato og klokkeslæt bliver den samtale hurtigt et spørgsmål om, hvem der husker bedst.

Dokumentationen skal også gøre det muligt at skelne mellem selve fejlen og de følger, testeren vurderer, den kunne få. → Sådan læser I en pentestrapport

Påvist, sandsynligt eller mistænkt

Ikke alle fund har samme styrke. Nogle er påvist, fordi testeren faktisk opnåede den adgang eller den handling, fundet beskriver. Andre bygger på tegn, der peger i en retning, men hvor testeren efter aftale stoppede, før konsekvensen blev afprøvet. Atter andre er observationer, der kræver jeres egen afklaring.

Bed om, at rapporten viser, hvilken kategori hvert fund tilhører. Det har betydning for prioriteringen og for den videre dialog med driftsleverandøren. Et mistænkt forhold i webshoppen skal ikke behandles, som om det var bekræftet, og et påvist forhold skal ikke svækkes til en mulighed.

Det er ofte et bevidst valg, at testeren stopper før den fulde konsekvens. Hvis et fund i ERP-systemet kunne føre til ændring af betalingsoplysninger, er det sjældent ønskeligt, at testeren faktisk ændrer dem i produktionen. Rapporten bør da forklare, hvor grænsen gik, og hvorfor. Så kan I selv vurdere, om den manglende afprøvning ændrer jeres prioritering, eller om det dokumenterede er nok til at handle.

Hvis en automatisk scanning ligger bag et fund, bør det fremgå, om testeren har efterprøvet resultatet manuelt. Uden den oplysning kan I bruge tid på forhold, der ikke holder. → Falsk positiv og falsk negativ

Skærmbilleder og uddrag med persondata

Skærmbilleder og uddrag er ofte den mest overbevisende dokumentation. De kan samtidig indeholde navne, adresser, ordrer eller andre personoplysninger fra rigtige kunder. Her gælder det at vise nok til at bevise fundet og ikke mere.

Aftal på forhånd, at oplysninger, der ikke er nødvendige for at forstå fundet, maskeres eller udelades. Et uddrag, der viser, at en kunde kunne se en anden kundes ordrenummer, behøver ikke vise ordrens indhold. Databeskyttelsesreglernes princip om dataminimering peger i samme retning, og Datatilsynet har vejledning om behandling af personoplysninger.

Det samme gælder adgangsoplysninger. Hvis testeren har fået adgang til konti eller nøgler, bør rapporten beskrive, at adgangen var mulig, uden at gengive værdierne. De berørte konti bør i stedet skiftes som en del af opfølgningen. Notér skiftet i handlingsplanen, så det kan dokumenteres bagefter.

Genskabelse uden at skrive en opskrift til andre

Den, der retter, har brug for præcise oplysninger om betingelser og trin. En bredere læserkreds har ikke. Derfor placerer mange rapporter de detaljerede oplysninger i et teknisk bilag, mens hovedteksten beskriver fundet og konsekvensen i almindeligt sprog. → Tekniske bilag

Opdelingen gør det lettere at dele resuméet med ledelsen eller en kunde uden samtidig at udlevere en vejledning. Bilaget bør behandles med samme fortrolighed som de systemer, det beskriver, og I bør vide, hvor det opbevares, og hvem der har adgang. → Opbevaring og sletning af rapport og testdata

Genskabelsen er også grundlaget for en senere retest. Hvis dokumentationen er for tynd, kan den, der efterprøver, ikke vide, om kontrollen svarer til det oprindelige fund. → Retest efter penetrationstest

Aftal niveauet i bestillingen

Niveauet for dokumentation bør stå i opgavebeskrivelsen, så det kan sammenlignes på tværs af tilbud. Spørg, hvordan påviste og mistænkte fund adskilles, hvordan persondata behandles i rapporten, og hvordan tekniske detaljer placeres. Bed gerne om et anonymiseret eksempel på et fund fra en tidligere rapport, så I kan se formen uden at se en anden kundes oplysninger.

Aftal også, hvem der modtager råmateriale som logfiler og noter, hvis det overhovedet udleveres. Råmateriale kan være nyttigt for driftsleverandøren, men det øger mængden af følsomme oplysninger, der skal styres. Det er et valg, ikke en selvfølge. → Sammenlign tilbud på penetrationstest

Det skal I lade være med

At måle kvalitet på antallet af skærmbilleder · Mængden siger intet om, hvorvidt fundet kan forstås og efterprøves.
At acceptere fund uden betingelser · System, rolle, miljø og tidspunkt skal kunne genfindes.
At lade rigtige kundedata stå umaskeret · Vis det, der beviser fundet, og udelad resten.
At sende det tekniske bilag bredt · Detaljerne er beregnet til dem, der retter.
At lade mistænkte fund fremstå som påviste · Styrken af beviset skal være synlig for læseren.
At glemme konti og nøgler, der blev afdækket · De skal skiftes, ikke blot nævnes.

Hvad kan og ikke kan konkluderes

God dokumentation kan vise, at et fund er reelt under de beskrevne forhold, og give et sikkert grundlag for rettelse og retest. Den kan også gøre en uenighed om alvorlighed lettere at afklare, fordi begge parter ser på det samme materiale. → Uenighed om et funds alvorlighed

Dokumentationen kan ikke sige noget om forhold, der ikke blev undersøgt, og et velbelyst fund er ikke nødvendigvis det vigtigste. Prioriteringen skal stadig bygge på betydningen for virksomheden.

Tjekliste til dokumentation af fund

☐ Angiver hvert fund system, funktion, rolle, miljø og tidspunkt?
☐ Er det tydeligt, om fundet er påvist, sandsynligt eller mistænkt?
☐ Er manuelt efterprøvede og automatisk fundne forhold adskilt?
☐ Er personoplysninger og adgangsoplysninger maskeret eller udeladt?
☐ Ligger tekniske detaljer i et bilag med begrænset adgang?
☐ Er dokumentationen tilstrækkelig til en senere retest?
☐ Er det aftalt, om råmateriale udleveres, og til hvem?

Kilder

NIST SP 800-115, kapitel 8: rapportering og håndtering af testresultater.
OWASP Web Security Testing Guide: afsnittet om rapportering af fund fra webtest.
Datatilsynet: vejledning om behandling af personoplysninger.

Senest gennemgået: oktober 2026.