Når virksomheden har fået sin anden eller tredje penetrationstest, kommer spørgsmålet, om det går den rigtige vej. Det er fristende at sammenligne antallet af fund, men tallene siger kun noget, hvis testene har undersøgt det samme på samme måde. Svaret hviler derfor på, hvor ens scope, metode og vurderingsskala har været, og på hvilke mål I vælger at følge.
Kort sagt kan to rapporter med forskelligt scope ikke sammenlignes tal for tal. Fremskridt kan i stedet vises gennem fund, der ikke går igen, hvor hurtigt alvorlige fund bliver håndteret, og om de samme typer svagheder bliver ved med at opstå.
Hvorfor antal fund narrer
Antallet af fund afhænger af mange forhold, der intet har med jeres sikkerhed at gøre. En test med flere systemer i scope finder flere fund. En test med login og flere brugerroller kommer længere ind end en test uden. En tester, der rapporterer mange mindre forhold, får en længere liste end en, der samler dem.
Hvis sidste års test fandt mange fund i webshoppen, og årets test fandt færre, kan det skyldes rettelser. Det kan også skyldes, at årets test havde en anden afgrænsning, kortere tid eller en anden tester. Uden at kende forskellene kan I ikke vide, hvilken forklaring der passer. → At måle testen på antallet af fund
Fire forhold, der skal ligne hinanden
Før I sammenligner to test, så tjek, om de har undersøgt det samme. Jo flere forskelle, jo mindre kan tallene bruges.
- Scope · samme systemer, funktioner og adresser.
- Udgangspunkt · samme position, adgang og brugerroller.
- Omfang · nogenlunde samme tid og dybde.
- Vurderingsskala · samme måde at klassificere alvorlighed på.
Den sidste er let at overse. Hvis den ene rapport bruger testerens egen skala og den anden bruger CVSS, kan et fund få forskellig vurdering uden at have ændret sig. Selv CVSS findes i flere versioner, og FIRST beskriver version 4.0 med andre metrikker end de tidligere versioner. Scorer fra forskellige versioner bør derfor ikke lægges direkte sammen. → CVSS-score
Mål, der kan vise fremskridt
Selv når testene ikke er ens, kan nogle mål sige noget om udviklingen. De handler mere om jeres håndtering af fund end om testerens resultat.
- Gentagne fund · forekommer de samme fund igen i de dele, der var med begge gange?
- Håndtering af alvorlige fund · blev de kritiske og høje fund rettet eller accepteret inden for jeres egne frister?
- Efterprøvede rettelser · hvor stor en del af rettelserne er kontrolleret og ikke kun meldt?
- Typer af årsager · skyldes fundene de samme forhold, for eksempel manglende opdateringer eller uklare roller?
Gentagne fund kan være det mest sigende mål. Hvis et fund, der blev meldt rettet efter sidste test, findes igen, er det en oplysning om jeres proces, uanset hvor mange andre fund der var. → Fund, der går igen fra test til test
Hvor hurtigt fund håndteres, er jeres egne data. De kommer fra handlingsplanen og ikke fra rapporten. Derfor kan de sammenlignes fra test til test, så længe I fører planen på samme måde. → Fra rapport til handlingsplan
Byg en fast kerne i testene
Hvis I vil kunne følge udviklingen over tid, så overvej at give testene en fast kerne. Det kan være de samme centrale systemer, for eksempel kundeportalen og fjernadgangen, testet med samme udgangspunkt hver gang. Andre dele kan skifte efter behov.
Beskriv kernen i opgavebeskrivelsen, så en ny tester ved, hvad der skal gentages. Bed om, at rapporten angiver, hvilke fund der hører til kernen, og hvilke der stammer fra nye områder. Så kan I sammenligne kernen og læse resten for sig. → Opgavebeskrivelsen til testeren
En fast kerne må ikke blive en grund til at undlade nye områder. Nye systemer og ændringer kræver også opmærksomhed, selv om de gør sammenligningen sværere.
Når testeren skifter
Et skift af tester kan give et friskt blik, men det gør sammenligningen sværere. Testere arbejder forskelligt, ser forskellige ting og skriver forskellige rapporter. Et fund, den ene tester har vurderet som middel, kan den næste vurdere anderledes.
Giv den nye tester sidste rapport eller i det mindste listen over tidligere fund, hvis det passer til opgaven. Bed om, at gentagne fund markeres, og at ændrede vurderinger forklares. Det gør det muligt at skelne mellem en reel forbedring og en anden måde at se på det samme. → Samme tester hvert år, eller skift?
Sådan fremlægger I udviklingen
Når I fortæller ledelsen eller bestyrelsen om udviklingen, så start med forskellene mellem testene. En kort beskrivelse af, hvad der var ens, og hvad der ikke var, gør det tydeligt, hvor meget tallene kan bære.
Fremlæg derefter de mål, der faktisk kan sammenlignes: gentagne fund i kernen, håndteringen af alvorlige fund og de typer årsager, der går igen. Undgå en kurve over antal fund, hvis scope har skiftet. Den vil blive læst som en udvikling i sikkerheden, selv om den mest viser forskelle i testene.
Husk også, at selve løsningen ændrer sig mellem testene. Hvis ERP-systemet har fået nye moduler, eller kundeportalen er bygget om, er det ikke de samme systemer, der er testet, selv om navnet er det samme. Nævn de væsentlige ændringer i løsningen sammen med forskellene i testene, så læseren kan se, hvad der kan have påvirket resultatet. En kort forklaring på forhånd sparer en lang diskussion om tallene bagefter.
Det skal I lade være med
- At sammenligne antal fund på tværs af forskelligt scope · Tallene beskriver forskellige undersøgelser.
- At blande vurderingsskalaer · Forskellige skalaer og CVSS-versioner kan ikke lægges sammen.
- At tolke færre fund som forbedring uden forklaring · Tjek først scope, tid og tester.
- At overse gentagne fund · De siger mere om processen end det samlede antal.
- At lade den faste kerne fortrænge nye områder · Ændringer kræver også opmærksomhed.
Hvad kan og ikke kan konkluderes
Sammenligninger kan vise, om de samme fund går igen, om alvorlige fund håndteres inden for jeres frister, og om de samme årsager bliver ved med at give fund. Med en fast kerne i testene kan de også give et rimeligt billede af udviklingen i de centrale systemer.
Sammenligninger kan ikke vise et samlet sikkerhedsniveau, der stiger eller falder. To test med forskelligt scope, udgangspunkt eller tester kan ikke uden forbehold bruges som målepunkter på samme skala.
Tjekliste før I sammenligner
- ☐ Er scope og udgangspunkt sammenlignelige?
- ☐ Er der brugt samme vurderingsskala og version?
- ☐ Er gentagne fund markeret i den nye rapport?
- ☐ Kommer data om håndtering fra en ensartet handlingsplan?
- ☐ Er der en fast kerne, der testes hver gang?
- ☐ Er forskellene beskrevet, før tallene fremlægges?
Kilder
- FIRST CVSS v4.0 Specification: beskrivelse af metrikker og scoring i version 4.0.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Rapportens alder · Scope i en penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
