Fildeling er stedet, hvor virksomhedens dokumenter bliver delt med kolleger, kunder og samarbejdspartnere, ofte uden at IT-afdelingen er involveret i den enkelte beslutning. En test af området bør derfor spørge til to ting: hvad der er delt udadtil, og om rettighederne indadtil svarer til, hvem der skal kunne se hvad.
Samarbejdsværktøjerne gør det let at dele. Det er hele formålet. Men hver deling er en lille beslutning om adgang, og efter nogle år ligger der mange af dem, som ingen har overblik over. Testens værdi er at gøre de beslutninger synlige og sammenholde dem med virksomhedens egne regler.
Deling er en række små beslutninger
I et almindeligt filsystem på kontornettet var det typisk IT, der tildelte adgang til mapper. I moderne samarbejdsværktøjer kan den enkelte medarbejder ofte dele en fil eller en mappe direkte med en person uden for virksomheden, oprette et link eller invitere en gæst ind i et projektrum.
Det betyder, at adgangen ikke længere kun bestemmes af en central opsætning. Den er summen af virksomhedens indstillinger og alle de delinger, medarbejderne har lavet. En bestilling, der kun nævner fildeling, siger ikke, om testen skal se på indstillingerne, på delingerne eller på begge.
Mange virksomheder har fildelingen som en del af en større kontorpakke i skyen. Den tekniske gennemgang af sådanne pakker hører til et andet sted, men bestillingen kan kort angive, hvilke spørgsmål der ønskes besvaret. → Microsoft 365 og testen
Deling udadtil
Det første spørgsmål handler om, hvad en udenforstående kan få adgang til. Bestillingen kan spørge:
- Åbne links · findes der links, som giver adgang til filer uden login, og er det tilladt efter virksomhedens regler?
- Gæster · hvilke eksterne brugere har adgang, og har de stadig brug for den?
- Udløb · ophører delinger og gæsteadgange efter en periode, eller står de åbne, til nogen lukker dem?
- Tidligere samarbejdspartnere · har leverandører eller kunder fra afsluttede projekter fortsat adgang?
Svarene afhænger af virksomhedens egne regler. Hvis det er tilladt at dele med åbne links, er et åbent link ikke i sig selv et fund. Det bliver først et fund, når det strider mod reglerne, eller når indholdet er af en art, der ikke burde være delt sådan.
Bed derfor om, at rapporten skelner mellem delinger, der strider mod reglerne, og delinger, der er tilladte, men som virksomheden måske bør se på igen. Den første slags kræver rettelse. Den anden kræver en beslutning om, hvorvidt reglerne er de rigtige.
Rettigheder indadtil
Det andet spørgsmål handler om medarbejderne. Kan en ny medarbejder i salg se lønoplysninger? Kan alle i virksomheden læse ledelsens mappe? Er mapper med personoplysninger begrænset til dem, der arbejder med dem?
Rettigheder arves ofte fra en overordnet mappe, og en enkelt bred tildeling kan give adgang til langt mere, end nogen har tænkt sig. Testen kan sammenholde de faktiske rettigheder med virksomhedens beskrivelse af, hvem der skal have adgang til hvad. Uden den beskrivelse kan testeren påvise bred adgang, men ikke afgøre, om den er tilsigtet.
Spørgsmålet ligner det, der stilles i en kundeportal, hvor kunders oplysninger skal holdes adskilt. Forskellen er, at det her er virksomhedens egne medarbejdere, der skal adskilles fra hinanden. → Kunders oplysninger skal holdes adskilt
Når testeren ser indholdet
En test af fildeling indebærer næsten altid, at testeren kan se filnavne og nogle gange indholdet af filer. Det er netop det, der skal undersøges, men det kræver en aftale om, hvordan testeren håndterer det, der dukker op.
Aftal, at testeren kun åbner filer i det omfang, det er nødvendigt for at dokumentere et fund, og at indhold ikke kopieres ud. Aftal også, hvordan fund beskrives i rapporten. En henvisning til en mappe og en filtype kan ofte være nok, uden at rapporten gengiver fortrolige oplysninger. Rapporten bliver i modsat fald selv et følsomt dokument. → Opbevaring af rapporten
Hvis testeren støder på oplysninger, der kræver handling med det samme, eksempelvis adgangsoplysninger i et delt dokument, bør det være aftalt, hvem testeren kontakter.
Testkonti, der ligner rigtige brugere
For at undersøge rettighederne indadtil skal testeren have en eller flere testbrugere, der er placeret som rigtige medarbejdere. En testbruger, der er oprettet uden for de almindelige grupper, ser ikke det samme som en medarbejder i salg eller økonomi.
Vælg de roller, der er mest interessante for spørgsmålet, og opret testbrugere i de rigtige grupper. Til deling udadtil kan det være relevant med en ekstern testbruger, der optræder som gæst. Testbrugere skal lukkes, når testen er slut. → Testkonti og testdata
Fildeling bruges også fra private enheder og hjemmefra. Hvis spørgsmålet er, om adgang kan opnås fra en ukendt enhed, hører det sammen med → Hjemmearbejde og egne enheder.
Gennemgang eller test?
En del af spørgsmålene om fildeling kan besvares ved at gennemgå indstillinger og lister over delinger, uden at nogen forsøger at komme ind. Det er en gennemgang af konfigurationen og ikke nødvendigvis en penetrationstest.
Penetrationstesten giver mening, når spørgsmålet er, hvad en bestemt bruger faktisk kan nå, eller om en kombination af rettigheder giver mere adgang end forventet. Skriv i bestillingen, hvilken form virksomheden ønsker, så tilbuddene kan sammenlignes. → Pentest eller audit
Det skal I lade være med
- At skrive fildeling uden at afgrænse · vælg, om testen gælder indstillinger, delinger udadtil, rettigheder indadtil eller flere af dem.
- At teste uden egne regler · uden en beskrivelse af, hvem der må se hvad, kan resultatet ikke vurderes.
- At glemme gæster fra afsluttede projekter · de har ofte stadig adgang.
- At lade testeren kopiere indhold · fund kan dokumenteres uden at fortrolige filer følger med.
- At teste med en bruger uden for de rigtige grupper · så ser testen ikke det, medarbejderne ser.
- At efterlade testbrugere · luk både interne og eksterne testkonti, når testen er afsluttet.
Hvad kan og ikke kan konkluderes
En test kan vise, hvad de udvalgte testbrugere kunne nå, og hvilke delinger udadtil der fandtes på testtidspunktet. Den kan pege på mapper og indstillinger, der ikke svarer til virksomhedens regler.
Den kan ikke vise, hvad medarbejderne deler i morgen. Delinger opstår løbende, og resultatet er et øjebliksbillede. Den siger heller ikke noget om filer, der er sendt som vedhæftninger eller gemt uden for de værktøjer, der indgik.
Tjekliste til fildeling i bestillingen
- ☐ Er det besluttet, om testen gælder indstillinger, delinger eller rettigheder?
- ☐ Findes der en beskrivelse af, hvem der skal have adgang til hvad?
- ☐ Er testbrugere oprettet i de rigtige grupper, også som gæst?
- ☐ Er det aftalt, hvordan testeren håndterer indhold i filer?
- ☐ Er der en kontakt, hvis testeren finder noget, der kræver handling straks?
- ☐ Er lukning af testbrugere planlagt?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Opbevaring af rapporten · Scope i en penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
