Hvem skal involveres internt før testen?

En penetrationstest, som kun IT kender til, kan løbe ind i spørgsmål, som ingen i rummet har mandat til at besvare. Den interne kreds afhænger af, hvilke systemer der testes, hvem der bruger dem, og hvem der skal træffe beslutninger om resultatet.

Kort sagt skal fire slags roller være med: en, der ejer opgaven, dem der ejer og driver systemerne, dem der kan blive berørt under testen, og dem der skal bruge resultatet. Hvor mange personer det bliver, afhænger af virksomhedens størrelse. I en lille virksomhed kan én person have flere roller, men rollerne bør stadig være tænkt igennem.

Rollerne frem for organisationsdiagrammet

Det er fristende at starte med en liste over afdelinger. Men det, der betyder noget, er de opgaver, der skal løses: nogen skal godkende, nogen skal give adgang, nogen skal kunne svare, og nogen skal handle bagefter. Start med opgaverne, og find derefter de personer, der kan løse dem.

En enkel oversigt kan hjælpe. Skriv hver rolle på en linje med navn, stedfortræder og hvad personen skal bidrage med: godkende, oplyse, være til rådighed eller modtage resultatet. Oversigten kan bruges på opstartsmødet og sendes til testeren, så det er tydeligt, hvem der svarer på hvad. I en mindre virksomhed, hvor direktøren også er systemejer for ERP-systemet, er det stadig nyttigt at skrive rollerne hver for sig, så intet bliver glemt.

Den praktiske forberedelse med tilladelser, kontakter og testkonti er beskrevet særskilt. Her handler det om at finde de rigtige mennesker, før forberedelsen går i gang. → Før penetrationstesten

Opgavens ejer og ledelsen

En person skal eje opgaven fra bestilling til afslutning. Det er den, der samler svar, holder styr på aftalen og sørger for, at rapporten bliver brugt. Uden en ejer bliver testen let en række løse tråde mellem IT, leverandører og ledelse.

Ledelsen skal kende formålet og være med til at beslutte, hvad resultatet skal bruges til. Det gælder især, hvis testen skal dokumentere noget over for en kunde, eller hvis fundene kan kræve investeringer. En ledelse, der først hører om testen, når rapporten kommer, kan have svært ved at prioritere rettelserne. Inddrag den derfor, før opgaven er låst.

Det er også ledelsen eller en person med mandat derfra, der bør godkende opgavebeskrivelsen. → Opgavebeskrivelsen

Systemejere og IT-drift

For hvert system i opgaven bør der være en systemejer. Det er den person, der kender funktionerne, brugerne og forretningens behov. For webshoppen kan det være e-handelsansvarlig, for ERP-systemet økonomichefen eller en forretningsansvarlig. Systemejeren kan svare på, hvilke roller og funktioner der er vigtigst, og hvilke perioder der er følsomme.

IT-drift, internt eller hos en leverandør, skal kende testperioden og kunne reagere, hvis noget opfører sig uventet. Drift skal også kunne oprette testkonti og vurdere, om der er tekniske forhold, testeren bør kende. Ligger driften hos en ekstern part, skal den person hos jer, der styrer leverandøren, også være med. → Driftsleverandøren og testen

Dem, der kan mærke testen

Servicedesk eller den, der tager imod henvendelser fra brugere, skal vide, at der testes, hvis brugerne kan opleve noget usædvanligt. Ellers kan en henvendelse om en langsom kundeportal sætte en unødig fejlsøgning i gang.

Overvågningen og en eventuel SOC er en særlig gruppe. Om og hvor meget de skal vide, afhænger af formålet med testen. Det er en beslutning, der bør træffes bevidst og ikke ved et tilfælde. → Skal overvågningen eller SOC’en have besked?

Hvis testen omfatter kontakt til medarbejdere, som ved en phishingtest, skal HR og eventuelt medarbejderrepræsentanter med i overvejelserne. Det samme gælder ved fysisk adgang til lokaler, hvor facility eller den, der står for adgangskontrol, skal kende rammerne. → Skal medarbejderne vide, at der testes?

Persondata, jura og indkøb

Hvis testen kan berøre personoplysninger, for eksempel kunders data i kundeportalen, bør den person, der har ansvaret for databeskyttelse hos jer, være orienteret. Det kan påvirke valget mellem testdata og rigtige data og håndteringen af materiale under og efter testen. → Testkonti og testdata

Den, der står for kontrakter og indkøb, skal være med, når aftalen og eventuelle fortrolighedsaftaler skal på plads. Hvis I har juridisk bistand, kan den vurdere de aftalemæssige spørgsmål. Spørgsmålet om tilladelse fra leverandører og hostingfirmaer kan også kræve hjælp fra den, der kender jeres kontrakter.

Økonomi kan være relevant, hvis testen udløser omkostninger hos driftsleverandøren, eller hvis rettelserne kræver midler, der ikke er budgetteret. Det er lettere at få plads til rettelserne, når den, der styrer budgettet, har kendt til testen fra begyndelsen og ikke først hører om den, når regningen for en større ændring kommer.

Dem, der skal bruge resultatet

Rapporten skal læses af nogen, der kan handle på den. Det er typisk systemejere, drift og dem, der skal rette. Hvis resultatet skal videre til en kunde, skal salg eller kundeansvarlige vide, hvornår det kommer, og hvad de må dele. → Kunde beder om pentestrapport

Tænk også over, hvem der skal være med til afslutningsmødet. Det er her, fundene forklares, og prioriteringen begynder. Hvis de personer, der skal rette, ikke er med, går en del af forklaringen tabt.

Aftal også, hvem der ejer opfølgningen, når mødet er slut. Det kan være opgavens ejer eller en anden, men det skal være én navngiven person, der holder øje med, at fundene bliver fordelt, rettet og eventuelt kontrolleret igen.

Det skal I lade være med

At lade testen være et rent IT-projekt · ledelse og systemejere skal kende formål og resultat.
At glemme servicedesk · en uforberedt servicedesk kan starte unødig fejlsøgning.
At involvere HR for sent ved test af medarbejdere · kontakt til ansatte kræver egne overvejelser.
At inddrage alle i alt · for bred orientering kan gøre fortrolige oplysninger mindre fortrolige.
At udpege en ejer uden mandat · ejeren skal kunne træffe beslutninger eller nå den, der kan.
At vente med modtagerne af rapporten · de skal kende tidsplanen fra starten.

Hvad kan og ikke kan konkluderes

En gennemtænkt intern kreds gør testen lettere at gennemføre og resultatet lettere at bruge. Den ændrer ikke på, hvad testen finder. Den mindsker heller ikke behovet for klare aftaler med testeren og leverandørerne.

Hvem der skal involveres, kan ikke fastlægges én gang for alle. En ny test med andre systemer eller et andet formål kan kræve en anden kreds. Gennemgå derfor listen hver gang.