Hjemmearbejde og egne enheder: hvad betyder det for penetrationstesten?

Når medarbejdere arbejder hjemmefra eller bruger egne telefoner og computere, begynder en del af adgangen til virksomhedens systemer et andet sted end på kontoret. Hvad det betyder for testen, afhænger af to forhold: hvilke adgangsveje virksomheden selv har åbnet, og hvilke enheder virksomheden har ret til at lade undersøge.

Det korte svar er, at testen bør rette sig mod de veje ind, som virksomheden stiller til rådighed, og mod de enheder, virksomheden ejer eller administrerer. Private enheder kræver en særskilt afklaring og indgår som udgangspunkt ikke. Det giver en test, der kan sige noget om hjemmearbejdet uden at bevæge sig ind i medarbejdernes privatliv.

Adgangen begynder nu flere steder

På kontoret kan virksomheden forholdsvis enkelt beskrive, hvor en bruger befinder sig, når ERP-systemet eller fildelingen tages i brug. Ved hjemmearbejde kommer der andre udgangspunkter til: et privat net, en offentlig forbindelse eller en telefon, der skifter mellem mobilnet og trådløse net i løbet af dagen.

Det ændrer spørgsmålet til testen. Det handler mindre om, hvad der sker inden for kontornettet, og mere om, hvad der står åbent udefra, og hvilke krav der stilles, før en bruger slipper ind. Fjernadgang, webmail, kundeportalen og systemer i skyen bliver centrale, fordi de er de døre, hjemmearbejdet bruger. → Fjernadgang og VPN i en penetrationstest

Tre slags enheder skal skilles ad

Før scope skrives, bør virksomheden sortere de enheder, der bruges til arbejde. Fordelingen afgør, hvad der kan aftales med testeren.

Virksomhedens egne enheder · computere og telefoner, som virksomheden ejer og administrerer. De kan indgå efter almindelig aftale.
Private enheder med virksomhedens adgang · medarbejderens egen telefon med arbejdsmail eller en privat computer med adgang til fildeling. Virksomheden kan styre adgangen, men ejer ikke enheden.
Private enheder uden særlig opsætning · enheder, hvor medarbejderen blot logger ind via en browser. Her er det login og systemet bag, der kan undersøges, ikke enheden.

Opdelingen gør det tydeligt, at testen af hjemmearbejde i praksis ofte bliver en test af de systemer, enhederne forbinder til. En vurdering af selve arbejdscomputeren er en selvstændig opgave. → Test af arbejdsstationer og klienter

Private enheder hører ikke med uden aftale

En privat telefon er ikke virksomhedens system, selv om den bruges til arbejde. At lade en tester undersøge den kræver medarbejderens udtrykkelige samtykke og en klar beskrivelse af, hvad der må ske, og hvad der ikke må. Virksomhedens tilladelse rækker ikke ud over det, virksomheden selv råder over.

Hvis virksomheden alligevel ønsker at vide, hvordan private enheder påvirker sikkerheden, kan spørgsmålet ofte stilles anderledes. Testeren kan undersøge, hvad der kræves for at få adgang, hvad systemet tillader fra en ukendt enhed, og hvad der sker, når en adgang skal lukkes. Det giver svar om virksomhedens egne regler uden at røre private data.

Personoplysninger kan også komme i spil, hvis testen berører enheder eller konti, som indeholder private oplysninger. Datatilsynets vejledning kan være relevant for den vurdering. Lovligheden af selve testen behandles i → Er en penetrationstest lovlig?

Spørgsmål, testen kan besvare

En test, der er afgrænset med omtanke, kan give virksomheden brugbare svar om hjemmearbejdet. Eksempler på spørgsmål, der kan skrives ind i bestillingen:

Kan en person uden gyldig konto komme ind via fjernadgangen eller webmailen?
Bliver tofaktorgodkendelse krævet de steder, virksomheden forventer?
Kan en almindelig bruger fra hjemmet nå systemer, som kun bør nås fra kontoret?
Bliver adgangen lukket, når en konto spærres eller en medarbejder stopper?

Spørgsmålene beskriver, hvad der ønskes afklaret, ikke hvordan testeren skal arbejde. De gør det også lettere at læse rapporten bagefter, fordi hvert fund kan kobles til et spørgsmål. → Scope i en penetrationstest

Når en enhed bliver væk eller en medarbejder stopper

Hjemmearbejde gør det mere sandsynligt, at en arbejdscomputer står et sted, hvor andre har adgang, eller at en telefon med arbejdsmail bliver glemt i toget. Spørgsmålet for virksomheden er da ikke kun, om enheden kan låses, men om adgangen til systemerne bag den kan lukkes hurtigt og fuldstændigt.

Det kan indgå i testen som et spørgsmål om virksomhedens egne procedurer. Testeren kan eksempelvis få en testkonto, som spærres undervejs efter aftale, så det kan konstateres, om forbindelsen til kundeportalen og fildelingen faktisk ophører. Resultatet siger noget om, hvordan systemerne reagerer, ikke om den enkelte medarbejders opførsel.

Samme logik gælder, når en medarbejder fratræder. Hvis den private telefon stadig har adgang til arbejdsmailen ugen efter, er det et forhold, virksomheden selv kan kontrollere. En test kan pege på, hvor procedurerne ikke slår igennem, men det er virksomheden, der skal eje rutinen bagefter.

Driftsleverandøren og skyen skal med i planen

Hjemmearbejde hviler ofte på løsninger, som driftsleverandøren har sat op, eller på tjenester hos en udbyder i skyen. Det betyder, at flere parter kan have noget at sige om, hvad der må testes. En adgangsløsning, som driftsleverandøren driver, kræver deres viden og typisk deres accept, før testen går i gang.

Afklar også, hvem der overvåger adgangen. Hvis driftsleverandøren ser usædvanlige forsøg på login midt i testperioden, skal der være aftalt, hvem de ringer til. Ellers kan testen blive stoppet af en velment reaktion. → Driftsleverandøren og penetrationstesten

Det skal I lade være med

At tage private enheder med uden samtykke · virksomhedens tilladelse dækker ikke medarbejderens ejendom.
At teste kontornettet og kalde det hjemmearbejde · hjemmearbejdets adgangsveje begynder uden for kontoret.
At glemme webmail og portaler · de bruges hjemmefra og bør stå i scope eller som bevidste fravalg.
At springe driftsleverandøren over · en adgangsløsning, de driver, kræver deres medvirken.
At lade medarbejderne opdage testen ved et tilfælde · aftal, hvem der kender til den, og hvad support skal svare.

Hvad kan og ikke kan konkluderes

En test kan vise, hvordan de undersøgte adgangsveje opførte sig i testperioden, og om virksomhedens krav til login og adgang blev håndhævet. Den kan ikke sige noget om enheder, der ikke var med, og heller ikke om den sikkerhed, medarbejderne har i deres private net derhjemme.

Et resultat uden alvorlige fund i fjernadgangen viser derfor ikke, at hjemmearbejdet samlet er sikret. Det viser, at de aftalte døre holdt under de beskrevne forhold. Hvis nye adgangsveje kommer til, eller reglerne for egne enheder ændres, er det et naturligt tidspunkt at overveje, om spørgsmålet skal stilles igen. Rapporten bør derfor angive, hvilke adgangsveje og enhedstyper der indgik.