Hvornår på året skal penetrationstesten ligge?

Et dårligt valgt tidspunkt kan give en rapport, som ingen har tid til at læse, eller en test, hvor de vigtige kontaktpersoner er på ferie. Det rigtige tidspunkt afhænger af tre ting: hvornår resultatet skal bruges, hvornår de rigtige folk er til stede, og hvornår der er plads til at rette.

Der findes ikke en måned, der passer alle. Kort sagt bør testen ligge, så der er tid til opfølgning, før den beslutning eller frist, rapporten skal understøtte. Regn derfor baglæns fra den dato, hvor I skal bruge resultatet, og læg testen tidligt nok til, at fund kan nå at blive håndteret.

Begynd med den dato, resultatet skal bruges

Den vigtigste dato er sjældent selve testperioden. Det er den dag, hvor nogen skal bruge resultatet: en kunde, der har bedt om dokumentation inden kontraktfornyelse, en lancering af kundeportalen, eller et bestyrelsesmøde, hvor sikkerheden står på dagsordenen.

Fra den dato kan I regne tilbage. Der skal være tid til selve testen, til rapportskrivning, til et afslutningsmøde og til at rette det, der skal rettes, før resultatet præsenteres. Hvis rettelserne skal kontrolleres, kommer der endnu et led i kæden. Hvor lang tid hvert led tager, afhænger af opgaven og bør aftales med testeren. → Hvor lang tid tager en penetrationstest?

En test lagt for tæt på fristen giver typisk en rapport med åbne fund og ingen tid til at lukke dem. Det kan være ærligt, men det er sjældent det, modtageren havde håbet på.

Hvis der ikke er en ydre frist, kan I selv sætte en. Vælg et tidspunkt, hvor ledelsen alligevel gennemgår risici eller planer, så rapporten får en naturlig plads i en beslutning. En test uden en dato for brugen har en tendens til at blive udskudt, og resultatet risikerer at blive læst, når det allerede er for gammelt til at være nyttigt.

Ferier og fravær

Sommerferie, juleferie og skoleferier er ikke forbudte perioder for en penetrationstest. Men de kræver, at kontaktpersoner, driftsleverandør og beslutningstagere faktisk er til stede. En test af ERP-systemet er svær at gennemføre, hvis den eneste, der kan godkende en ændring, er væk i tre uger.

Ferieperioder kan til gengæld være praktiske, hvis systemet bruges mindre, og driften er rolig. Det kræver, at der er bemanding til at reagere, hvis noget opfører sig uventet. Afklar derfor ferieplanen hos både jer, testeren og driftsleverandøren, før perioden låses. → Hvem skal involveres internt før testen?

Tænk også på perioden efter testen. Kommer rapporten lige før en lang ferie, kan den blive liggende, mens de fund, der burde have været prioriteret, venter.

Travle perioder i forretningen

I har sandsynligvis perioder, hvor bestemte systemer er særligt vigtige. Webshoppen kan have kampagner og højsæson. Økonomiafdelingen kan have månedsafslutning, lønkørsel eller årsregnskab i ERP-systemet. Det er perioder, hvor selv en lille forstyrrelse koster mere end ellers.

Det betyder ikke, at testen nødvendigvis skal undgå dem helt. Hvis det netop er højsæsonen, der skal holde, kan det være relevant at teste kort forinden. Men selve testarbejdet bør som udgangspunkt ikke lægges oven i de dage, hvor systemet bærer forretningen. Spørg de afdelinger, der bruger systemerne, om deres kalender, og skriv de følsomme perioder ind i opgavebeskrivelsen. → Opgavebeskrivelsen

Regnskab, budget og revision

Budgetåret kan styre, hvornår der er midler til en test og til rettelserne bagefter. En test i slutningen af budgetåret kan give fund, som der først er penge til at rette i det næste. Det er værd at tage med i planen, så rapporten ikke venter på et nyt budget.

Revision og certificering kan også give faste tidspunkter. Hvis en revisor eller en certificering forventer dokumentation for sikkerhedstest, er det den dato, der styrer. Hvilke krav der stilles, afhænger af den konkrete aftale eller standard og bør afklares med den, der stiller kravet. → Revisor og sikkerhedstest

Ændringer i systemerne

Det kan give god mening at lægge testen efter en større ændring frem for før. En ny version af kundeportalen, et skift af hostingfirma eller en flytning til cloud ændrer det, der skal testes. En test kort før ændringen kan hurtigt beskrive et system, der ikke længere findes.

Omvendt bør testen ligge, før en ny løsning åbnes for kunder, hvis formålet er at finde problemer i tide. Det kræver, at løsningen er færdig nok til at blive testet, men ikke så tæt på åbningen, at der ikke er tid til rettelser. Tal med projektlederen om, hvornår løsningen er stabil. → Pentest efter opdatering

Gentagne test over året

Hvis I tester jævnligt, kan det betale sig at lægge testen på nogenlunde samme tid hvert år. Det gør det lettere at planlægge budget og ressourcer og at sammenligne resultater over tid. Men en fast måned må ikke blive vigtigere end anledningen. Sker der store ændringer, kan en ekstra test være mere relevant end at vente på den faste dato. → Hvor ofte skal I teste?

Har I flere systemer, kan det også give mening at sprede testene over året frem for at samle dem. Så bliver opfølgningen fordelt, og de samme personer skal ikke håndtere flere rapporter på én gang.

Det skal I lade være med

At vælge datoen ud fra testerens første ledige tid · tidspunktet skal passe til jeres brug af resultatet.
At lægge testen lige før en frist · uden tid til rettelser bliver rapporten et billede af åbne fund.
At glemme driftsleverandørens ferie · en kontakt, der ikke kan træffes, kan stoppe testen.
At teste midt i højsæsonen uden aftale · de vigtigste systemer bør ikke forstyrres, når de bærer forretningen.
At teste en løsning, der skal udskiftes om kort tid · rapporten kan blive forældet, før den er læst.
At lade budgetåret afgøre alene · rettelserne skal også have plads i planen.

Hvad kan og ikke kan konkluderes

Et godt valgt tidspunkt giver de bedste vilkår for at bruge resultatet. Det ændrer ikke på, hvad testen kan finde, og det siger intet om sikkerheden på andre tidspunkter af året. En test beskriver systemerne, som de var i testperioden.

Der er heller ikke nogen sæson, der i sig selv giver et mere retvisende resultat. Det afgørende er, at det testede miljø ligner det, I vil træffe beslutning om, og at der er folk til stede til at handle på fundene.