En penetrationstest kan blive forsinket eller give et mangelfuldt resultat, hvis tilladelser, adgang og kontaktpersoner mangler ved start. Forberedelsen bygger på en godkendt opgavebeskrivelse og klare aftaler med dem, der råder over systemerne og driver dem.
En kundeportal kan være klar til test, mens hostingfirmaets tilladelse stadig mangler. Et ERP-system kan have de rigtige testkonti, men ingen kontakt hos driftsleverandøren i testperioden. Gennemgå derfor forberedelsen med både testeren og de ansvarlige for systemerne, før I giver startbesked.
Udpeg en ansvarlig for bestillingen
Udpeg en person, som følger forberedelsen fra bestilling til start. Ved en test af kundeportalen kan det være den IT-ansvarlige, der samler svar fra systemejer, hostingfirma og tester. Personen skal vide, hvem der kan afgøre spørgsmål om adgang, drift og udvidelser af opgaven.
Formålet skal stå klart fra begyndelsen. Hvis en kunde kræver en rapport om portalen, skal kunden have mulighed for at præcisere forventningerne til omfang og dokumentation. Skriv også, hvem der skal modtage rapporten, og hvornår den skal være klar. → Derfor får virksomheder lavet en penetrationstest
En leveringsdato er ikke nødvendigvis en brugbar deadline. Skal salgsafdelingen sende rapporten til en kunde, bør der også være tid til at gennemgå fundene og forklare eventuelle begrænsninger. Læg den gennemgang ind i planen, før testperioden bliver låst.
Saml aftalen i en godkendt version
Saml mål, systemer, periode, undtagelser og leverancer i den version, begge parter har godkendt. Ved en webshop skal den version eksempelvis vise, om betalingen ligger uden for opgaven. Brug samme dokument, når driftsleverandøren skal tage stilling til testperioden. → Scope i en penetrationstest
Grænserne for påvirkning skal også være tydelige. En webshop kan have perioder, hvor driften er særligt vigtig. Skriv, hvad der er udelukket, hvilke tidsrum der gælder, og hvordan alvorlige fund skal meldes, før slutrapporten kommer. Lad ikke hensynet til driften blive en mundtlig sidebemærkning.
Ændringer undervejs kræver en fast vej til godkendelse. Hvis endnu en del af kundeportalen ønskes med, skal det stå klart, hvem der må sige ja, og hvad det betyder for tid og leverance. Gem godkendelsen sammen med aftalen. Et ønske i en mail er ikke i sig selv en godkendt udvidelse.
Hvis adgang til ERP-systemet mangler på startdagen, skal begge parter vide, om den del udsættes eller udgår. Beskriv den løsning, I vælger. Så bliver en forsinkelse ikke til et skjult hul i rapportens dækning.
Afklar tilladelsen for hvert område
En bestilling fra virksomheden afklarer ikke automatisk alle rettigheder hos andre. En kundeportal kan ligge på en platform, som hostingfirmaet råder over. Beskriv derfor, hvilke ressourcer virksomheden selv kan godkende test af, og hvor leverandørens vilkår eller særskilte samtykke skal afklares.
NIST SP 800-115, afsnit 6.5 og 6.6 behandler tredjepartssamtykke og juridiske forhold før testen. For kundeportalen betyder det, at afklaringen skal omfatte både de berørte systemer og de relevante aftaler. Gem tilladelser og henvisninger til udbyderens testpolitik med dato.
Microsoft kræver ikke forhåndsgodkendelse af test af egne Azure-ressourcer. De gældende testregler skal stadig følges, og en tredjepart skal have udtrykkelig skriftlig tilladelse fra ressourceejeren. For en kundeportal i Azure skal begge dele være afklaret. Se Microsofts vejledning om penetrationstest. Reglerne gælder ikke automatisk andre tjenester eller udbydere.
Hvis driftsleverandøren afventer svar fra hostingfirmaet, bør I lade spørgsmålet stå åbent og følge det til dørs før start. → Det påtager vi os ikke
Aftal kontakt og ret til at stoppe
Udpeg en primær kontakt og en stedfortræder hos både virksomhed og tester. Ligger ERP-driften hos en leverandør, skal leverandørens kontaktvej også med. Skriv telefonnumre og tilgængelighed for testperioden. Et navn i aftalen hjælper ikke, hvis personen har fri, når testen foregår.
Stop og genoptagelse skal være afklaret på forhånd. Hvis kundeportalen bliver ustabil, skal testeren vide, hvem der kan kræve arbejdet standset. Virksomheden skal vide, hvem der kan godkende genoptagelsen. Beskriv også, hvad der sker ved tvivl om tilladelse eller tegn på en samtidig sikkerhedshændelse.
Prøv kontaktvejen med en almindelig bekræftelse før start. Ved aftentest af webshoppen kan driftsleverandøren eksempelvis bekræfte, hvem der tager telefonen. Sørg for, at stedfortræderen kender opgaven og kan træffe de nødvendige beslutninger. En generel supportadresse er ikke altid tilstrækkelig til en hurtig afklaring.
Beslut, hvem der skal informeres
Systemejer, servicedesk, drift og overvågning kan have forskellige behov for viden om testen. Ved en test af kontornettet skal servicedesk måske kunne forklare en forventet forstyrrelse, mens overvågningen skal kende perioden og vejen til den ansvarlige kontakt. Skriv, hvem der orienterer de enkelte modtagere.
Hvis formålet også er at vurdere driftsleverandørens reaktion, kan informationsniveauet være anderledes. Det skal være et bevidst valg med en ansvarlig kontakt, der kender testen. En manglende orientering bør ikke ved et tilfælde gøre testen af kundeportalen til en beredskabsøvelse. → Sårbarhedsscanning, sikkerhedstjek eller penetrationstest?
Ledelsen bør kende formålet med en begrænset orientering. Ved testen af webshoppen skal det være klart, om opdagelse og håndtering bliver vurderet, eller om rapporten alene handler om tekniske fund. Flere overvejelser for ledelsen findes på sikkerhedstesten.dk.
Gør drift og adgang klar
Gennemgå perioden med dem, der bruger de berørte systemer. Økonomiafdelingen kan have lønkørsel, mens webshoppen har en kampagne. Notér de relevante hensyn og planlagte driftsændringer. Hvis perioden ændres, skal aftale, adgang og tilgængelighed følge med.
Testkonti skal have de roller, opgaven kræver. Til kundeportalen kan det være forskellige kundetyper; til ERP-systemet kan det være afdelingsbestemte roller. Kontrollér, at kontiene virker, og udpeg den, der lukker dem efter testen. → Black box, grey box og white box
Et testmiljø kan afvige fra produktionen. Ved en webshop bør forskelle i funktioner, adgang og forbindelser til andre systemer derfor fremgå. Ellers kan rapporten blive brugt til en beslutning om et miljø, den ikke beskriver. Kontrollér også testens udgangspunkt. → Ekstern eller intern penetrationstest
Aftal fortrolighed og aflevering
Beslut, hvordan oplysninger og rapport skal deles og opbevares. En rapport om kundeportalen kan indeholde følsomme detaljer om kundedata og adgang. Fastlæg modtagere, opbevaringsperiode og afsluttende sletning eller tilbagelevering. Brug en aftalt kanal til materialet frem for en bred mailtråd.
Dokumentationen skal være tilstrækkelig til at forstå fundene. Det betyder ikke, at alle oplysninger fra ERP-systemet skal med i rapporten. Afklar, hvad der må dokumenteres, og hvordan følsomme bilag afleveres. En fortrolighedsaftale bør følges af praktiske beslutninger om håndteringen. → Uafhængig penetrationstest
Rapportdeling skal også passe til modtageren. En kunde kan kræve dokumentation om webshoppen, mens driftsleverandøren har brug for oplysninger til at rette. Afklar retten til deling og ansvar for opfølgning, og reservér tid til at gennemgå rapporten. → Sådan læser I en pentestrapport
Det skal I lade være med
- At bruge mødeindkaldelsen som tilladelse. Test af kundeportalen kræver et godkendt grundlag og relevante leverandørafklaringer.
- At antage, at udbydere har samme regler. Hostingfirmaets vilkår kan være anderledes end reglerne for en cloudtjeneste.
- At nøjes med et kontaktnavn. Ved aftentest af webshoppen skal tilgængelighed og stedfortræder være bekræftet.
- At udvide opgaven mundtligt. En ekstra del af ERP-systemet skal godkendes og fremgå af aftalen.
- At finde rapportmodtagere til sidst. Adgangen til følsomme fund om kundeportalen skal være besluttet før afleveringen.
Hvad kan og ikke kan konkluderes
En afsluttet forberedelse viser, at aftalerne er på plads. Den viser ikke, at webshoppen er sikker, eller at testen bliver uden påvirkning. Der kan stadig opstå forhold, som kræver en pause eller en ny beslutning. Derfor skal kontakt og stopregler kunne bruges i praksis.
Manglende adgang skal kunne ses i resultatet. Hvis økonomiafdelingens rolle i ERP-systemet ikke kunne testes, skal rapporten sige det og forklare betydningen. Et aftalt punkt er ikke det samme som et gennemført punkt, selv om forberedelsen oprindeligt var på plads.
Aflevering er heller ikke dokumentation for rettelser. En modtaget rapport om kundeportalen kræver stadig prioritering og opfølgning. Beslut, om kontrol af rettelser indgår eller skal bestilles særskilt. → Hvor ofte skal I teste?
Tjekliste før startbeskeden
- ☐ Saml mål, systemer og spilleregler i den godkendte version.
- ☐ Afklar nødvendige tilladelser og udbyderregler, eksempelvis for kundeportalen.
- ☐ Bekræft kontaktpersoner, stedfortrædere og tilgængelighed.
- ☐ Beskriv stop, genoptagelse og en samtidig sikkerhedshændelse.
- ☐ Orientér de aftalte personer hos drift, overvågning og ledelse.
- ☐ Kontrollér testkonti og hensyn til eksempelvis ERP-drift og webshop.
- ☐ Beslut, hvordan materiale beskyttes, afleveres og afsluttes.
- ☐ Udpeg rapportmodtagere og ansvarlige for opfølgningen.
Kilder
- NIST SP 800-115, afsnit 6.5 om testplan og tredjepartssamtykke, afsnit 6.6 om juridiske forhold, afsnit 7.4 om datahåndtering samt bilag B om spilleregler.
- Microsoft Learn: Penetration testing: Azure-regler og skriftlig tilladelse til tredjepart.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Spørgsmål og svar · Hvad er en penetrationstest?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
