En pentestrapport beskriver svagheder, men den fortæller ikke, hvem der gør hvad i jeres virksomhed, og hvornår det skal være sket. Den oversættelse er handlingsplanen, og den hviler på tre oplysninger pr. fund: en konkret opgave, en navngiven ejer og en frist, som I selv har sat ud fra risikoen.
Kort sagt er handlingsplanen det dokument, I styrer efter, når rapporten er læst. Rapporten forbliver kilden til, hvad der blev fundet. Planen viser, hvad I har besluttet at gøre ved det, og hvor langt I er nået.
Hvorfor rapporten ikke selv er planen
Testeren skriver rapporten ud fra det, testen viste. Testeren kender ikke jeres budget, jeres leverandøraftaler eller de projekter, der allerede ligger i kø. Derfor kan rapportens rækkefølge og anbefalinger ikke overføres direkte til en opgaveliste.
En anbefaling som at stramme adgangen til en administrativ funktion i kundeportalen kan dække over flere opgaver hos flere parter. Udvikleren skal ændre koden, driftsleverandøren skal måske ændre en opsætning, og systemejeren skal godkende, at en brugergruppe mister en mulighed. Handlingsplanen deler anbefalingen op, så hver del har en ansvarlig. → Anbefalingerne i rapporten
Begynd planen kort efter, at rapporten er afleveret, mens detaljerne fra afslutningsmødet stadig er friske. Spørgsmål til testeren om et fund er lettest at stille, før opgaven er fordelt.
Én linje pr. fund
Det enkleste format er en liste, hvor hvert fund har sin egen linje med faste felter. Formatet kan være et regneark, en opgavetavle eller jeres eksisterende sagssystem. Det vigtige er, at alle bruger samme sted.
- Fundets betegnelse · nøjagtig som i rapporten, så ingen er i tvivl om, hvilket forhold der menes.
- Alvorlighed i rapporten · testerens vurdering, uændret.
- Jeres vurdering · betydningen for jeres forretning, hvis den afviger.
- Opgave · hvad der konkret skal ændres, skrevet så den ansvarlige kan gå i gang.
- Ejer · én person, ikke en afdeling.
- Frist · en dato, som I har fastsat.
- Status · åben, i gang, meldt rettet, efterprøvet eller accepteret.
- Henvisning · til sag, ændring eller beslutning, der dokumenterer forløbet.
Hold testerens alvorlighed og jeres egen vurdering i hver sin kolonne. Så kan en læser senere se, at en ændret prioritet var et valg og ikke en fejlskrivning. → Prioritering af rettelser efter testen
Ejeren skal være en person
En opgave, der står på IT-afdelingen eller på leverandøren, ender let hos ingen. Skriv navnet på den, der har ansvaret for, at opgaven bliver løst, også selv om arbejdet udføres af andre. For webshoppen kan ejeren være den interne projektleder, selv om rettelsen laves af hostingfirmaet.
Når en leverandør skal udføre arbejdet, bør planen også vise, hvem hos jer der har bestilt det, og hvornår leverandøren har bekræftet opgaven. En mail med rapporten vedhæftet er ikke en bestilling. Fordelingen mellem jer og leverandørerne er beskrevet nærmere i → Hvem retter fundene?
Frister ud fra jeres egen risiko
Der findes ingen frist, der passer til alle fund i alle virksomheder. Fristen bør afspejle, hvor alvorligt fundet er for jer, hvor udsat systemet er, og hvor meget arbejde rettelsen kræver. Et kritisk fund i en internetvendt løsning får typisk en kortere frist end et mindre forhold på et internt system, men datoen er jeres beslutning.
Hvis en kunde, en kontrakt eller en standard stiller krav til frister, skal planen respektere dem. Skriv kilden til kravet i linjen, så det er tydeligt, hvorfor netop den dato er valgt. → Frister for rettelser
Nogle fund kan ikke rettes inden for en rimelig tid. Så kan planen indeholde et midlertidigt tiltag med egen frist og en senere, varig løsning. Begge dele skal stå i planen, så det midlertidige ikke bliver permanent af glemsel.
Fund, der ikke skal rettes
Et fund kan blive accepteret, fordi rettelsen er for dyr, systemet skal udfases, eller risikoen vurderes som lav. Det hører med i handlingsplanen med status accepteret, navnet på den, der har besluttet det, begrundelsen og en dato for ny vurdering. Uden de oplysninger ligner en accept en glemt opgave. → Risikoaccept
Planen skal holdes i live
En handlingsplan, der kun opdateres op til næste test, giver et forkert billede det meste af tiden. Aftal et fast tidspunkt for gennemgang, hvor ejerne melder status, og hvor nye beslutninger skrives ind. Mødet kan være kort, hvis planen er opdateret på forhånd.
Skeln mellem meldt rettet og efterprøvet. Når leverandøren melder en rettelse i ERP-systemet, er status meldt rettet. Først når ændringen er kontrolleret, kan fundet markeres som efterprøvet. Hvordan en kontrol afgrænses, står i → Retest efter penetrationstest
Ledelsen har som regel brug for et kort overblik og ikke hele planen: hvor mange alvorlige fund der er åbne, hvilke frister der er overskredet, og hvilke beslutninger der venter.
Når en frist ikke holder, skal den ikke bare flyttes. Skriv den nye dato ved siden af den gamle sammen med årsagen og navnet på den, der har godkendt ændringen. En plan, hvor datoerne glider uden spor, kan ikke bruges til at vise, at opfølgningen er styret.
Planen kan også afsløre mønstre. Hvis mange opgaver ligger hos samme leverandør eller venter på samme beslutning, er det en oplysning til ledelsen i sig selv. Det kan pege på en flaskehals, som ingen enkelt rettelse løser.
Det skal I lade være med
- At bruge rapporten som opgaveliste · Rapporten beskriver fund. Planen beskriver jeres beslutninger.
- At skrive en afdeling som ejer · Én person skal kunne svare på status.
- At sætte frister uden begrundelse · Skriv, om datoen kommer fra jeres risikovurdering eller et eksternt krav.
- At ændre testerens alvorlighed i stilhed · Jeres vurdering står ved siden af, ikke i stedet for.
- At slette accepterede fund fra planen · De skal stå med beslutning og dato for ny vurdering.
- At lukke fund på en melding · Meldt rettet og efterprøvet er to forskellige statusser.
Hvad kan og ikke kan konkluderes
En opdateret handlingsplan kan vise, hvad I har besluttet, hvem der har ansvaret, og hvor langt opfølgningen er nået. Den kan bruges over for ledelse, kunder og revisorer som dokumentation for, at fundene håndteres.
Planen kan ikke i sig selv vise, at rettelserne virker, eller at der ikke er opstået nye svagheder. Det kræver kontrol af de konkrete rettelser og på et tidspunkt en ny test.
Tjekliste til handlingsplanen
- ☐ Har hvert fund sin egen linje med rapportens betegnelse?
- ☐ Er der én navngiven ejer pr. opgave?
- ☐ Har hver opgave en frist med begrundelse?
- ☐ Står testerens og jeres egen vurdering hver for sig?
- ☐ Er midlertidige tiltag og varige løsninger adskilt?
- ☐ Er accepterede fund registreret med beslutningstager og dato?
- ☐ Er der aftalt et fast tidspunkt for statusgennemgang?
Kilder
- NIST SP 800-115, kapitel 8: aktiviteter efter testen, herunder afhjælpning og opfølgning på fund.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Restrisiko · Fund, der går igen fra test til test
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
