En frist for at rette et fund er en beslutning, ikke en naturlov. Ingen enkelt frist dækker alle virksomheder og alle fund, og det er jer, der skal fastsætte dem ud fra jeres egen vurdering af risikoen, de krav, I er underlagt, og det arbejde, rettelsen kræver. En god frist er en, der kan begrundes, og som nogen faktisk følger op på.
Frister uden begrundelse har en tendens til at blive ignoreret eller flyttet uden diskussion. Frister med en klar forklaring er lettere at holde, og lettere at ændre på en ordentlig måde, når forholdene skifter.
Begynd med jeres egen risikovurdering
Fristen skal afspejle, hvor alvorligt fundet er for netop jer. Det er den samme vurdering, der ligger bag prioriteringen: hvor alvorlig er svagheden, hvilke oplysninger og funktioner berører den, og hvem kan nå den? Et fund i den del af kundeportalen, der er åben for alle, fortjener en kortere frist end et tilsvarende fund i et internt system uden følsomme data. → Prioritering af rettelser
Det kan være praktisk at knytte frister til grupper af fund frem for til hvert enkelt fund. Det fungerer, så længe grupperne bygger på jeres egen vurdering og ikke kun på rapportens kategori. Hvis I gør det, så beskriv grupperne og deres frister i en kort intern retningslinje, så de bruges ens fra test til test.
Husk, at rapportens alvorlighed beskriver svagheden, ikke jeres risiko. Fristen bør bygge på det sidste. → CVSS-score
Undersøg de krav, I allerede er underlagt
Nogle frister er ikke jeres egne. Kontrakter med kunder kan indeholde krav om, hvor hurtigt alvorlige sikkerhedsforhold skal håndteres. Standarder, som virksomheden er certificeret efter eller arbejder med, kan have egne krav til håndtering af sårbarheder. Forsikringsaftaler og branchekrav kan også spille ind.
Gennemgå de relevante aftaler og krav, før I fastsætter frister. Hvis et krav angiver en bestemt frist, er det den, der gælder for de berørte systemer, uanset hvad jeres egen retningslinje siger. Hvis kravet er formuleret generelt, er det jeres opgave at omsætte det til konkrete frister og kunne forklare hvordan. Teksten her er ikke juridisk rådgivning. → Kontraktkrav om sikkerhedstest
Tre slags frister for samme fund
Et alvorligt fund kan have brug for mere end én frist. Det giver et mere realistisk billede end én dato, der enten er umulig at nå eller for lang til at være tryg.
- Midlertidig beskyttelse · hvornår skal risikoen være dæmpet, fx ved at begrænse adgangen eller lukke en funktion?
- Rettelse · hvornår skal den egentlige løsning være gennemført i drift?
- Kontrol · hvornår skal rettelsen være efterprøvet, så fundet kan afsluttes?
Den første frist kan være kort, fordi den handler om at købe tid. Den anden afhænger af, hvad rettelsen kræver, og af leverandørens muligheder. Den tredje knytter sig til den retest eller kontrol, I har aftalt. → Retest efter penetrationstest
Inddrag dem, der skal rette
En frist, som den udførende part ikke kender eller ikke kan nå, holder ikke. Drøft fristerne med driftsleverandøren, softwareleverandøren eller de interne medarbejdere, der skal udføre arbejdet. Spørg, hvad rettelsen kræver, hvad den afhænger af, og hvornår den realistisk kan være klar.
Hvis leverandørens bud ligger langt fra den frist, risikoen taler for, er det en oplysning, ledelsen skal have. Der kan være behov for ekstra ressourcer, en midlertidig beskyttelse eller en bevidst beslutning om at leve med risikoen i en periode. → Hvem retter fundene?
Skriv de aftalte frister ind i den samlede oversigt over fund, så alle kan se dem. En frist i en mail bliver let glemt.
Når fristen ikke holder
Frister glipper. En leverandør bliver forsinket, en rettelse viser sig at være mere omfattende, eller en ny opgave tager ressourcerne. Det er ikke i sig selv et problem, men det skal håndteres åbent.
Når en frist ikke kan nås, skal fundets ejer tage stilling: kan fristen flyttes med en begrundelse, skal der indføres en midlertidig beskyttelse, eller skal sagen løftes til ledelsen? Notér den nye frist og årsagen til ændringen. Et fund, hvis frist er flyttet mange gange uden forklaring, er i praksis en risikoaccept, som ingen har truffet. → Risikoaccept
Følg op på fristerne med faste mellemrum, så glippede frister opdages, før de bliver til glemte fund. Opfølgningen kan være et fast punkt på et eksisterende møde mellem IT og ledelse.
Skriv fristerne ind i de næste aftaler
Det er lettere at holde frister, når de er aftalt, før fundene kommer. Når en aftale med en driftsleverandør eller softwareleverandør skal fornyes, så overvej at beskrive behandlingen af testfund: hvem der vurderer dem, hvordan fristerne fastsættes, og hvordan leverandøren melder tilbage. Aftalen behøver ikke angive faste datoer, men den bør gøre det klart, at fristerne fastsættes af jer ud fra risiko.
Beskriv også, hvad der sker, hvis leverandøren ikke kan overholde en frist: hvem skal have besked, og hvilke muligheder har I? Det giver en fælles forventning, så en glippet frist bliver en sag, der håndteres, og ikke en strid. → Driftsleverandøren og testen
Brug jeres interne retningslinje for frister som bilag eller henvisning, så leverandøren kender den. Når den ændres, så giv leverandørerne besked.
Det skal I lade være med
- At kopiere andres frister uden at vurdere dem. Fristerne skal passe til jeres systemer og krav.
- At sætte frister uden at spørge den, der retter. En urealistisk frist bliver ikke holdt.
- At bruge rapportens kategori som eneste grundlag. Fristen skal afspejle jeres risiko.
- At flytte frister i stilhed. Hver ændring skal have en begrundelse og en ny dato.
- At glemme kravene i kundeaftaler. De kan gå forud for jeres egen retningslinje.
Hvad kan og ikke kan konkluderes
Overholdte frister viser, at virksomheden har fulgt sin egen plan. De viser ikke, at fristerne var de rigtige, eller at rettelserne virker. Omvendt er en overskredet frist ikke nødvendigvis et tegn på, at sikkerheden er dårlig, hvis risikoen i mellemtiden er håndteret på anden måde og beslutningen er dokumenteret. Fristerne er et styringsredskab, ikke en målestok for sikkerheden.
En frist siger heller ikke noget om de svagheder, testen ikke fandt. Den gælder kun de fund, der står i rapporten, og den tilstand, systemerne havde, da de blev testet. Nye funktioner og ændringer kan give nye fund, som kræver deres egne frister.
Tjekliste til fristerne
- ☐ Bygger fristerne på jeres egen risikovurdering?
- ☐ Er krav i kundeaftaler og standarder gennemgået?
- ☐ Har alvorlige fund frister for beskyttelse, rettelse og kontrol?
- ☐ Er fristerne drøftet med dem, der skal rette?
- ☐ Står fristerne i den fælles oversigt?
- ☐ Er det aftalt, hvordan glippede frister håndteres?
- ☐ Er der en fast opfølgning på fristerne?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Risikoaccept · Hvem retter fundene?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
