Når et fund, der blev rettet sidste år, står i den nye rapport igen, er det fristende at rette det endnu en gang og gå videre. Et gentaget fund er dog sjældent bare uheld. Det peger som regel på en årsag uden for selve fundet: en rettelse, der ikke blev gennemført helt, en proces, der mangler, eller et ansvar, ingen har. Løsningen er derfor at finde årsagen, ikke kun at gentage rettelsen.
Første skridt er at fastslå, om det faktisk er det samme fund. Det lyder banalt, men to rapporter kan beskrive forskellige forhold med samme overskrift, og omvendt kan samme svaghed være beskrevet på to forskellige måder.
Er det virkelig det samme fund?
Læg de to rapporter ved siden af hinanden. Sammenlign det berørte system, den funktion eller adresse, fundet gælder, og beskrivelsen af konsekvensen. Hvis det er samme svaghed på samme sted, er det et gentaget fund. Hvis det er samme type svaghed på et nyt sted, er det et mønster, og det er lige så vigtigt.
Vær opmærksom på forskelle i scope. Hvis den første test kun omfattede webshoppen, og den anden også kundeportalen, kan et fund i portalen være nyt for rapporten, men ikke nyt for systemet. Det har bare ikke været undersøgt før. Sammenligninger mellem test kræver, at man kender forskellene i, hvad der blev testet. → Fremskridt fra test til test
Spørg gerne testeren. Hvis det er samme tester, kan vedkommende måske selv se sammenhængen. Hvis det er en ny tester, så giv adgang til den tidligere rapport eller de relevante dele af den, hvis aftalen tillader det. → Samme tester hvert år?
Typiske årsager
Et fund kan komme igen af flere grunde. Det hjælper at kende dem, så I ved, hvad I skal kigge efter:
- Rettelsen blev aldrig gennemført · fundet blev meldt rettet, men ændringen nåede ikke ud i drift.
- Kun symptomet blev rettet · én forekomst blev lukket, men årsagen findes stadig andre steder.
- Rettelsen blev rullet tilbage · en senere opdatering eller gendannelse bragte den gamle tilstand tilbage.
- Nye systemer med samme fejl · den samme opsætning eller komponent er brugt igen i et nyt projekt.
- Ingen ejer · ingen har ansvaret for den type forhold, så det glider, når opmærksomheden flytter.
- Bevidst accept · fundet blev accepteret sidst og er derfor ikke rettet.
Den sidste årsag er ikke et problem, hvis accepten er dokumenteret og stadig gyldig. Så skal den bare fremgå, når den nye rapport gennemgås. → Risikoaccept
Kontrol af rettelsen var for snæver eller manglede
Hvis fundet blev meldt rettet uden at blive efterprøvet, ved ingen, om rettelsen virkede. Det er en af de enkleste forklaringer på, at et fund dukker op igen. En efterprøvning af rettelsen, kort efter den er gennemført, kunne have fanget det.
Hvis rettelsen blev efterprøvet, så se på, hvad kontrollen omfattede. Den kan have dækket én server, men ikke de andre med samme opsætning. Eller den kan have dækket testmiljøet, mens produktionen aldrig blev ændret. Skriv erfaringen ind i den næste aftale om efterprøvning. → Retest efter penetrationstest
Ret årsagen, ikke kun fundet
Når årsagen er fundet, er den rettelse, der virker, ofte en anden end den, der blev lavet sidst. Hvis fundet skyldes manglende opdateringer, er løsningen en fast proces for opdateringer med en ansvarlig, ikke en enkelt opdatering. Hvis det skyldes, at nye systemer opsættes efter en gammel skabelon, er løsningen at rette skabelonen.
Den slags rettelser ligger ofte i processer og ansvar, ikke i teknik. De kræver derfor, at ledelsen eller den, der ejer processen, er med. En IT-medarbejder kan rette en server, men kan ikke alene beslutte, at alle nye projekter skal følge en ny standard. → Fund og processer
Ret samtidig det konkrete fund, så det ikke står åbent, mens processen ændres. De to opgaver supplerer hinanden. → Prioritering af rettelser
Hold fast i det, I har lært
Et gentaget fund er en anledning til at se på, hvordan fund generelt følges op. Har alle fund fra sidste rapport en status? Blev de efterprøvet? Er der nogen, der ejer oversigten mellem testene? Svarene siger mere om opfølgningen end det enkelte fund.
Gør den samlede oversigt over fund til et levende dokument, der ikke kun opdateres, når en ny rapport kommer. Lad den indeholde både rettede, åbne og accepterede fund, og noter for hvert rettet fund, hvordan rettelsen blev kontrolleret. Når næste test bestilles, kan oversigten gives til testeren som baggrund, så gentagelser opdages hurtigt. → Sårbarhedsstyring og penetrationstest
Overvej også, om nye projekter skal have en kort gennemgang af tidligere fund, før de sættes i drift. Det er en enkel måde at undgå, at kendte fejl flytter med over i den næste løsning.
Fortæl om gentagelsen
Et gentaget fund bør nævnes, når resultatet præsenteres for ledelsen. Det er en vigtigere oplysning end et nyt fund med samme alvorlighed, fordi det siger noget om, hvordan virksomheden følger op. Ledelsen skal vide, at fundet er gået igen, hvad årsagen er, og hvad der gøres for at bryde mønsteret.
Over for kunder eller revisorer, der har set den tidligere rapport, er det også bedre at forklare gentagelsen åbent end at håbe, at den ikke bliver opdaget. En forklaring med en årsag og en plan er lettere at forholde sig til end et fund, der bare står der igen.
Det skal I lade være med
- At rette det samme fund igen uden at spørge hvorfor. Gentagelsen er selve oplysningen.
- At sammenligne rapporter uden at se på scope. Forskelle i, hvad der blev testet, kan ligne gentagelser.
- At lade meldt rettet være nok. Uden efterprøvning ved ingen, om rettelsen holdt.
- At skjule gentagelsen for ledelsen. Den siger noget om opfølgningen, som ledelsen skal kende.
- At glemme accepterede fund. Et accepteret fund skal fremgå som accepteret, ikke som nyt.
Hvad kan og ikke kan konkluderes
Et gentaget fund viser, at et forhold fandtes ved to test. Det viser ikke i sig selv, om det har været åbent hele perioden imellem, eller om det er rettet og senere genopstået. Fravær af gentagne fund betyder heller ikke, at opfølgningen fungerer overalt, hvis den nye test havde et andet scope end den forrige. Sammenligningen er kun så god som overensstemmelsen mellem de to test.
Tjekliste til gentagne fund
- ☐ Er det bekræftet, at det er samme fund på samme sted?
- ☐ Er forskelle i scope mellem testene kendt?
- ☐ Er årsagen til gentagelsen fundet?
- ☐ Blev den tidligere rettelse efterprøvet, og hvad omfattede kontrollen?
- ☐ Er der en rettelse af årsagen, ikke kun af fundet?
- ☐ Har årsagen en ejer?
- ☐ Er ledelsen informeret om gentagelsen?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Fremskridt fra test til test · Sårbarhedsstyring og penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
