Driftsleverandøren og testen: roller og forventninger

Når en ekstern leverandør driver jeres systemer, kan en penetrationstest gå i stå, fordi leverandøren ikke er orienteret, ikke har tid eller ikke ved, hvad der forventes. Samarbejdet hviler på, at leverandørens rolle er beskrevet for hver fase: før, under og efter testen.

Svaret på, hvilken rolle driftsleverandøren skal have, er derfor ikke ét ord. Før testen er leverandøren en kilde til viden og adgang. Under testen er leverandøren den, der kan reagere og hjælpe. Efter testen er leverandøren ofte den, der skal rette. Det er tre forskellige opgaver, og de bør aftales hver for sig.

Leverandøren er ikke testeren

En driftsleverandør, der også tester sine egne løsninger, kan have en interessekonflikt. Den kan også have en blind vinkel, fordi den kender systemerne fra drift og ikke fra en angribers side. Derfor bestilles en penetrationstest ofte hos en anden part end den, der driver systemerne. → Uafhængig penetrationstest

Det betyder ikke, at leverandøren skal holdes udenfor. Tværtimod er leverandørens samarbejde ofte nødvendigt for, at testen kan gennemføres. Pointen er, at rollerne skal være klare: testeren undersøger, leverandøren driver og retter, og I som kunde træffer beslutningerne. → Hostingfirmaet tester for os

Før testen: viden, adgang og tilladelse

Leverandøren kender ofte de tekniske forhold bedre end jer selv. Inddrag derfor leverandøren, når opgavebeskrivelsen skrives. Leverandøren kan oplyse, hvilke systemer der deler infrastruktur med andre kunder, hvor der er begrænsninger, og hvilke perioder der er planlagt vedligehold.

Leverandøren kan også være den, der skal oprette testkonti, åbne adgang eller give oplysninger om miljøet. Det tager tid og skal planlægges. Bed om en navngiven kontaktperson og en tidsplan for de opgaver, leverandøren skal løse før start. → Testkonti og testdata

Hvis systemerne ligger på infrastruktur, som leverandøren eller et hostingfirma råder over, kan der være behov for leverandørens tilladelse. Tjek kontrakten og leverandørens vilkår. Mangler tilladelsen, må testen afgrænses eller udskydes. → Leverandørens godkendelse mangler

Hvad leverandøren skal vide

Leverandøren skal kende testperioden, testerens udgangspunkt og den kontakt hos jer, der har ansvaret. Hvis testen kan udløse alarmer i leverandørens overvågning, skal det aftales, hvordan de håndteres. En leverandør, der ikke ved, at der testes, kan med god grund spærre for aktiviteten eller starte en hændelseshåndtering.

Om leverandøren skal vide alt, eller om dens reaktion selv skal belyses, er et valg. Hvis I vil vide, om leverandøren opdager og reagerer, skal det aftales med en person hos leverandøren, der kan holde det i en lille kreds. → Skal overvågningen eller SOC’en have besked?

Under testen: tilgængelighed og stop

Under testen skal leverandøren kunne træffes i det aftalte testvindue. Det gælder især, hvis testen ligger uden for normal arbejdstid. Afklar, om leverandørens almindelige support dækker behovet, eller om der skal en særlig aftale til. Leverandørens tid kan koste ekstra, og det bør stå klart, før testen begynder.

Leverandøren skal også vide, hvordan den melder en forstyrrelse til jer og til testeren, og hvem der kan beslutte at stoppe. Leverandøren bør ikke selv stoppe en aftalt test uden at kontakte jer, medmindre driften er i fare. Hvis det sker, skal det meldes med det samme. → Hvis noget går ned under testen

Opstår der et alvorligt fund undervejs, kan leverandøren være den, der skal handle hurtigt. Aftal på forhånd, hvordan sådanne fund formidles, og hvem der beslutter, om der skal rettes straks.

En kort daglig status mellem tester, leverandør og jeres kontaktperson kan være en hjælp ved længere opgaver. Den behøver ikke tage mange minutter, men den gør det muligt at fange misforståelser, før de bliver til problemer, og at planlægge næste dags arbejde efter driftens behov.

Efter testen: rettelser og ansvar

Når rapporten kommer, er det ofte leverandøren, der skal rette en stor del af fundene. Leverandøren bør derfor have adgang til de relevante dele af rapporten. Det betyder ikke nødvendigvis hele rapporten, men nok til at forstå og løse de fund, der vedrører leverandørens ansvar.

Det skal være klart, hvilke fund der hører under leverandørens aftale, og hvilke der er jeres ansvar eller kræver en ny opgave. Kontrakten med leverandøren afgør det. Hvis ansvaret er uklart, er det bedre at afklare det tidligt end at lade fund ligge. → Hvem retter fundene?

Bed leverandøren om en tidsplan for rettelserne og en melding, når de er gennemført. En melding om, at noget er rettet, er ikke det samme som en kontrol af rettelsen. Hvis I har brug for dokumentation, skal rettelserne efterprøves.

Når der er flere leverandører

Mange driftsforhold består af flere led. Driftsleverandøren kan bruge et hostingfirma til servere, en anden part til netværk og en tredje til backup. Webshoppen kan være udviklet af ét firma og drevet af et andet. Hver part kan have sine egne vilkår, sin egen overvågning og sine egne kontaktpersoner.

Lav derfor en oversigt over, hvilke leverandører der berøres af testen, og hvem der koordinerer dem. Ofte er det mest praktisk, at jeres driftsleverandør tager kontakten til sine underleverandører, men det skal være aftalt. Ellers kan en underleverandør, ingen har orienteret, blive den, der stopper testen.

Oversigten er også nyttig efter testen. Når fundene skal fordeles, er det lettere at sende det rette fund til den rette part, hvis ansvarsfordelingen allerede er skrevet ned. Det mindsker risikoen for, at et fund bliver liggende, fordi hver leverandør regner med, at det er en andens opgave.

Det skal I lade være med

At orientere leverandøren dagen før · leverandøren skal have tid til at forberede adgang og bemanding.
At antage, at leverandøren må give tilladelse til alt · underleverandører og hostingfirmaer kan have egne vilkår.
At lade leverandøren teste sig selv som eneste kontrol · det giver ikke et uafhængigt billede.
At glemme leverandørens overvågning · uaftalte alarmer kan stoppe testen.
At sende hele rapporten uden overvejelse · del det, leverandøren skal bruge.
At tage en melding om rettelse for en kontrol · dokumentation kræver efterprøvning.

Hvad kan og ikke kan konkluderes

Et godt samarbejde med driftsleverandøren gør testen lettere og rettelserne hurtigere. Det siger ikke noget om leverandørens samlede sikkerhed, og testen er ikke en vurdering af leverandøren som helhed, medmindre det er en del af opgaven.

Hvis leverandøren begrænsede testen, for eksempel ved at undtage dele af miljøet, skal det fremgå af rapporten. Ellers kan læseren tro, at testen dækkede mere, end den gjorde.