Når hjemmesiden, webshoppen eller kundeportalen ligger hos et hostingfirma, er det nærliggende at tro, at firmaet også holder øje med sikkerheden i løsningen. Svaret afhænger af aftalen, og den dækker ikke nødvendigvis det, I forventer.
Et hostingfirma står for sin egen platform: de servere, net og den drift, firmaet leverer. Den løsning, I har lagt på platformen, med jeres kode, jeres brugere og jeres opsætning, er som udgangspunkt jeres eget ansvar, medmindre aftalen siger andet. At platformen er sikret, betyder ikke, at jeres løsning er testet.
Hvad et hostingfirma kan stå for
Hostingaftaler er forskellige. Nogle dækker kun plads på en server og en forbindelse til internettet. Andre omfatter drift af styresystemet, sikkerhedskopier, overvågning af, om tjenesten kører, og opdatering af de programmer, firmaet selv har installeret.
Det, hostingfirmaet står for, kan være godt beskyttet. Firmaet kan have adgangskontrol til sine datacentre, filtrering af trafik og rutiner for at holde platformen opdateret. Det er en reel del af sikkerheden, og den er værd at kende. Bed gerne om en beskrivelse af firmaets sikkerhedsarbejde, så I ved, hvad I kan bygge videre på, og hvad der er jeres opgave at dække.
Men platformens sikkerhed er ikke det samme som jeres løsnings sikkerhed. En velbeskyttet server kan stadig køre en webshop med en svag login-funktion eller en kundeportal, hvor kunder kan nå hinandens data.
Hvad der som udgangspunkt er jeres eget
Den del, I selv har valgt, sat op eller fået udviklet, ligger som udgangspunkt hos jer. Det gælder bl.a.:
- Selve løsningen · koden i webshoppen eller kundeportalen og de funktioner, den tilbyder.
- Udvidelser og tilføjelser · plugins og moduler, som I eller et webbureau har installeret. → Ny hjemmeside på WordPress
- Brugere og roller · hvem der har adgang til administrationen, og med hvilke rettigheder.
- Opsætning · de valg, der er truffet om login, deling af filer og adgang udefra.
- Data · hvad der gemmes, hvem der kan se det, og hvor længe det ligger.
Grænsen kan flytte sig, hvis hostingfirmaet også har påtaget sig at drive selve løsningen. Det skal i så fald stå i aftalen.
Scanning, overvågning og test er ikke det samme
Nogle hostingfirmaer tilbyder automatisk scanning efter kendte svagheder eller overvåger trafikken mod platformen. Det er nyttigt, men det er ikke en penetrationstest af jeres løsning.
En automatisk scanning kan finde kendte forhold, fx en forældet version af et program. Den kan ikke vurdere, om logikken i kundeportalen holder, om en kunde kan nå andres data, eller om en almindelig bruger kan gøre noget, der kun er beregnet til administratorer. Det kræver en tester, der forstår, hvad løsningen skal kunne. → Automatisk eller manuel penetrationstest
Overvågning reagerer på det, der sker. Den fortæller ikke, hvilke svagheder der findes, før nogen udnytter dem. Spørg derfor præcist, hvad hostingfirmaet gør, og hvad resultatet bruges til. Få også at vide, om I får besked om det, scanningen finder i jeres løsning, eller om resultatet kun bruges internt hos firmaet. Et fund, I aldrig hører om, kan I ikke rette.
Aftalen afgør, ikke antagelsen
Læs aftalen og den tilhørende servicebeskrivelse. Kig efter, hvad der står om sikkerhed, opdateringer, sikkerhedskopier og håndtering af hændelser. Kig også efter det, der ikke står. Hvis aftalen ikke nævner test af kundens løsning, er det sandsynligvis ikke en del af den.
Er ordlyden uklar, så spørg hostingfirmaet skriftligt. Et klart svar på, hvad firmaet tester, og hvad det ikke tester, er mere værd end en generel forsikring om, at sikkerheden er i orden. → Kontroller leverandørens sikkerhed
Samme princip gælder i cloud, hvor udbyderens og kundens ansvar også er delt. → Delt ansvar i cloud
Spørgsmål til hostingfirmaet
En kort liste kan gøre samtalen konkret:
- Hvilke dele af løsningen står I for, og hvilke står vi selv for?
- Tester I vores løsning, eller kun jeres egen platform?
- Hvis I scanner, hvad dækker scanningen, og får vi resultatet?
- Hvem opdaterer de programmer og udvidelser, vi selv har installeret?
- Hvad gør I, hvis I ser tegn på et angreb mod vores løsning, og hvordan får vi besked?
- Må vi selv få testet vores løsning, og hvad kræver I i så fald?
Svarene viser, hvor grænsen går, og hvad der skal dækkes på anden vis. Gem dem sammen med aftalen. Når hostingfirmaet senere skifter ejer, ændrer sin servicebeskrivelse, eller I selv skifter webbureau, er det nyttigt at kunne se, hvad der blev lovet, og hvem der dengang tog ansvaret for de enkelte dele. Gennemgå svarene igen, når løsningen ændres væsentligt.
Når I selv vil teste
Hvis I bestiller en penetrationstest af en løsning hos et hostingfirma, bør firmaet vide det. Aftalen kan kræve varsel eller godkendelse, før der testes mod platformen, og testen kan ellers blive opfattet som et angreb og blokeret. → Er en penetrationstest lovlig?
Aftal, hvornår testen foregår, hvorfra den udføres, og hvem hos hostingfirmaet der kan kontaktes undervejs. Afviser firmaet at godkende testen, siger afvisningen også noget. Overvej da, om aftalen passer til de krav, I har til løsningen. → Driftsleverandøren og testen
Det skal I lade være med
- At gå ud fra, at hosting omfatter test · læs aftalen, og spørg, hvis den er uklar.
- At sidestille scanning med en penetrationstest · en scanning finder kendte forhold, ikke fejl i løsningens logik.
- At glemme jeres egne udvidelser · plugins og moduler, I selv har installeret, er som udgangspunkt jeres ansvar.
- At teste uden at give hostingfirmaet besked · testen kan blive blokeret eller bryde aftalen.
- At nøjes med en generel forsikring · bed om et skriftligt svar på, hvad der testes.
Hvad kan og ikke kan konkluderes
At hostingfirmaet har god sikkerhed på sin platform, siger noget om platformen. Det siger ikke, om jeres løsning har svagheder. Den viden kræver en vurdering af selve løsningen.
Hvis hostingfirmaet faktisk tester jeres løsning, afhænger værdien af, hvad testen dækker, og om I får resultatet. En test, I ikke kender indholdet af, kan ikke bruges som dokumentation over for kunder eller andre.
Tjekliste til hostingaftalen
- ☐ Ved vi, hvilke dele hostingfirmaet står for, og hvilke vi selv står for?
- ☐ Står det i aftalen, om firmaet tester vores løsning?
- ☐ Ved vi, hvad en eventuel scanning dækker, og får vi resultatet?
- ☐ Er det klart, hvem der opdaterer vores egne udvidelser?
- ☐ Er der aftalt en vej for besked ved tegn på et angreb?
- ☐ Ved vi, hvad hostingfirmaet kræver, før vi selv får testet?
- ☐ Har vi et skriftligt svar på de uklare punkter?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Cloududbyderen har styr på sikkerheden · Leverandørens godkendelse mangler
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
