Når rapporten er afleveret, dukker et spørgsmål op, som ingen nåede at stille før testen: hvem skal egentlig rette fundene? Svaret afhænger af, hvem der driver og udvikler de berørte systemer, og af hvad aftalerne med leverandørerne siger. Ansvaret for at fundene bliver håndteret, ligger dog altid hos virksomheden selv, også når selve arbejdet udføres af andre.
Det lyder enkelt, men en løsning har ofte flere parter: en driftsleverandør til servere og netværk, en softwareleverandør til kundeportalen, et hostingfirma til webshoppen og en producent bag standardsystemet. Et fund kan ligge præcis i grænsen mellem dem.
Ansvaret for opfølgningen kan ikke overdrages
Virksomheden kan aftale, at en leverandør udfører rettelser, men den kan ikke aftale sig fra at sørge for, at de bliver udført. Det er virksomheden, der ejer systemet, behandler oplysningerne og har aftalerne med kunderne. Hvis et fund bliver liggende, er det virksomheden, der må stå til ansvar over for dem.
Skeln derfor mellem to roller for hvert fund: den, der ejer opfølgningen, og den, der udfører rettelsen. Ejeren sidder hos jer. Udføreren kan sidde hos jer eller hos en leverandør.
Ejeren behøver ikke have teknisk indsigt i rettelsen. Opgaven er at sikre, at fundet bliver forstået, at nogen påtager sig arbejdet, at der er en plan, og at resultatet bliver kontrolleret. For webshoppen kan ejeren være e-handelschefen, for kontornettet den IT-ansvarlige. Det afgørende er, at ejeren har mandat til at kræve svar fra leverandøren og til at gå til ledelsen, hvis arbejdet går i stå. → Interne roller i en penetrationstest
Typiske fordelinger
Hvem der retter hvad, følger som regel arbejdsdelingen i den daglige drift. Det er et udgangspunkt, ikke en regel, for aftalerne kan være skruet sammen på mange måder.
- Driftsleverandøren · opdateringer, indstillinger og adgang på servere, netværk og arbejdspladser, som leverandøren driver.
- Softwareleverandøren · fejl i den kode, leverandøren har udviklet til jer, fx i kundeportalen.
- Hostingfirmaet · den platform, webshoppen kører på, i det omfang aftalen omfatter platformens sikkerhed.
- Producenten af standardsoftware · fejl i selve produktet, som kun producenten kan rette i en ny udgave.
- Virksomheden selv · egne indstillinger, brugere, rettigheder, processer og de valg, kun I kan træffe.
Den sidste gruppe overses ofte. Et fund om for brede rettigheder i ERP-systemet kan være et spørgsmål om, hvem I har givet adgang, ikke om en fejl i systemet. Så er det jeres egen opgave, selv om leverandøren kan hjælpe. → Driftsleverandøren og testen
Aftalen afgør, hvad der er inkluderet
Om en rettelse er en del af den løbende aftale eller en ekstra opgave, står i kontrakten med leverandøren, eller også står det der ikke. Læs aftalen for hvert berørt system, før fundene fordeles. Se efter, hvad der står om opdateringer, sikkerhed, fejlretning og reaktionstid.
Hvis aftalen er uklar, så afklar det med leverandøren skriftligt, før arbejdet går i gang. En uenighed om betaling, der dukker op midt i rettelsen, forsinker mere end en afklaring på forhånd. Teksten her er ikke juridisk rådgivning, og ved væsentlig uenighed om aftalens rækkevidde kan det være nødvendigt at inddrage en rådgiver.
Brug erfaringen til de næste aftaler. Skriv ind, hvordan fund fra sikkerhedstest skal håndteres, hvem der retter, inden for hvilken ramme, og hvordan rettelsen meldes tilbage. → Kontraktkrav om sikkerhedstest
Fund i grænselandet
Nogle fund passer ikke ind i én leverandørs område. En svaghed i forbindelsen mellem kundeportalen og ERP-systemet kan kræve ændringer hos begge leverandører. Et fund om en udløbet opdatering kan ligge hos driftsleverandøren, men kræve, at softwareleverandøren først godkender den nye udgave.
Saml de berørte parter, når et fund ligger i grænsen. Ejeren hos jer leder samtalen og sørger for, at der kommer en aftale ud af den: hvem gør hvad, i hvilken rækkefølge, og hvem melder tilbage. Uden en sådan aftale kan hver leverandør vente på den anden. → Integrationer mellem systemer
Når leverandøren ikke vil eller kan rette
En leverandør kan afvise et fund, mene at det ligger uden for aftalen, eller være ude af stand til at rette det, fx fordi produktet ikke længere udvikles. Hver situation kræver sin egen håndtering. Ved en faglig uenighed om fundet er det relevant at få testerens og leverandørens begrundelser frem side om side. → Når leverandøren afviser et fund
Hvis fundet ligger i standardsoftware, er det producenten, der kan levere en rettelse. Indtil da kan virksomheden og driftsleverandøren se på midlertidige tiltag. → Fund i tredjepartssoftware
Hvis ingen kan rette fundet inden for en rimelig tid, står virksomheden med et valg: leve med det, begrænse brugen af systemet eller skifte løsning. Det er en ledelsesbeslutning, og den bør dokumenteres.
Hold styr på fordelingen
Lav en oversigt over fundene med ejer, udfører, aftalegrundlag og status. Den behøver ikke være avanceret, men den skal være ét sted, så alle kan se, hvem der har hvilken opgave. Oversigten bliver grundlaget for opfølgning, retest og den næste samtale med leverandørerne.
Bed hver leverandør om at melde tilbage, når en rettelse er gennemført, og om at beskrive, hvad der er ændret. En melding er ikke en efterprøvning, men den er nødvendig for at vide, hvad der skal kontrolleres.
Opdatér oversigten, når en leverandør skiftes, eller når et system overgår til en anden part. Et fund, der var aftalt med den gamle driftsleverandør, forsvinder ikke ved skiftet, men det kan let falde mellem to stole. Gør de åbne fund til et punkt i overdragelsen.
Det skal I lade være med
- At give hver leverandør den fulde rapport. Del kun de fund, den enkelte skal handle på.
- At gå ud fra, at rettelser er inkluderet i aftalen. Læs kontrakten, før arbejdet bestilles.
- At lade grænsefund ligge. Saml parterne, og få en aftale om fordelingen.
- At glemme jeres egne fund. Rettigheder, brugere og processer er jeres opgave.
- At overlade opfølgningen til leverandøren. Ejeren af fundet sidder hos jer.
Hvad kan og ikke kan konkluderes
En klar fordeling viser, at hvert fund har en udfører og en ejer. Den siger ikke, at rettelserne er gennemført eller virker. Rapporten kan pege på, hvor et fund ligger, men den afgør ikke, hvem der kontraktligt skal betale for at rette det. Det afgøres af aftalerne mellem virksomheden og leverandørerne.
Tjekliste til fordelingen
- ☐ Har hvert fund en ejer hos jer?
- ☐ Er det klart, hvem der udfører hver rettelse?
- ☐ Er aftalegrundlaget kontrolleret for hvert system?
- ☐ Er grænsefund drøftet med alle berørte parter?
- ☐ Har leverandørerne fået de relevante dele af rapporten?
- ☐ Er det aftalt, hvordan rettelser meldes tilbage?
- ☐ Findes der én samlet oversigt over fordelingen?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Fra rapport til handlingsplan · Retest efter penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
