ISO 27001‑certificering: hvor passer penetrationstesten ind?

En virksomhed på vej mod certificering efter ISO/IEC 27001 kan blive spurgt, om der skal laves en penetrationstest. Svaret afhænger af, hvad testen skal bruges til i forløbet: som input til risikovurderingen, som afprøvning af udvalgte tekniske kontroller eller som grundlag for den løbende forbedring.

Standarden stiller krav til et ledelsessystem for informationssikkerhed, og testen er et af flere mulige redskaber i det system. Den er hverken en forudsætning for certificering i sig selv eller en genvej til den. Hvad standardens kontrol om tekniske sårbarheder siger, er beskrevet i → Penetrationstest og standarder. Her er spørgsmålet, hvornår i forløbet testen giver mest værdi.

Forløbet har flere faser

Vejen mod certificering kan groft deles i faser: virksomheden kortlægger, hvor den står, vurderer risici, vælger og indfører kontroller, gennemfører intern audit og ledelsens gennemgang og bliver til sidst auditeret af et certificeringsorgan. Bagefter følger løbende opfølgning.

En penetrationstest kan bidrage i flere af faserne, men med forskellige formål. Det er værd at beslutte formålet, før testen bestilles, fordi det påvirker både afgrænsning, tidspunkt og den måde, resultatet skal dokumenteres på.

Læg også mærke til ledelsessystemets anvendelsesområde, altså den del af virksomheden, som certificeringen skal gælde. Hvis anvendelsesområdet omfatter kundeportalen og driften af den, men ikke produktionen, giver det mening at lade testens afgrænsning følge samme linje. En test af systemer uden for anvendelsesområdet kan være nyttig, men den bidrager ikke direkte til certificeringen.

Testen som input til risikovurderingen

Tidligt i forløbet skal virksomheden identificere og vurdere risici for informationssikkerheden. Her kan en test give et konkret billede af, hvor de tekniske svagheder ligger i de systemer, der betyder mest. Et fund i kundeportalen eller i adgangen til ERP-systemet kan være med til at begrunde, hvilke risici der prioriteres.

Brugt på denne måde er testen en kilde til viden, ikke en kontrol. Den skal ikke dække alt, men de områder, hvor virksomheden er mest usikker. Resultatet kan indgå i risikoregistret og bidrage til valget af kontroller i anvendelighedserklæringen. → Den første penetrationstest

Testen som afprøvning af valgte kontroller

Når kontrollerne er indført, kan en test bruges til at se, om de virker som tilsigtet. Har virksomheden besluttet, at gæstenettet skal være adskilt fra kontornettet, eller at fjernadgang kræver tofaktorgodkendelse, kan testen afprøve netop det.

Her bliver koblingen til ledelsessystemet tydelig. Testens spørgsmål kan formuleres ud fra de kontroller, virksomheden har valgt, og rapporten kan bruges som dokumentation for, at kontrollerne er afprøvet. Det kræver, at afgrænsningen svarer til kontrollerne, og at fundene bliver behandlet i virksomhedens egne processer. → Scope i en penetrationstest

Et fund i denne fase er ikke et nederlag. Det viser, at en kontrol ikke virker som beskrevet, og giver virksomheden mulighed for at rette den, før den skal forklares over for en auditor. Det er netop den slags opdagelse, et ledelsessystem er bygget til at fange og følge op på.

Tidspunktet før certificeringsauditten

Hvis testen skal indgå som dokumentation ved certificeringen, bør den ligge så tidligt, at fundene kan nå at blive håndteret. En rapport med alvorlige fund, der endnu ikke er behandlet, kan give spørgsmål ved auditten. En rapport, hvor fundene er vurderet, prioriteret og fulgt op, viser derimod, at processen fungerer.

Planlæg derfor baglæns fra auditdatoen. Der skal være tid til selve testen, til rapporten, til at rette eller acceptere fund og eventuelt til en efterprøvning af de vigtigste rettelser. Hvor lang tid det kræver, afhænger af omfanget og af, hvem der skal rette. → Retest efter penetrationstest

Certificeringen er ikke slutpunktet. Ledelsessystemet skal vedligeholdes, og certificeringsorganet vender tilbage til opfølgende audits. En test, der gentages, når systemer eller risici ændrer sig, kan vise, at virksomheden fortsat afprøver sine kontroller og lærer af resultatet. Det er en del af den løbende forbedring, standarden lægger vægt på.

Det, testen ikke erstatter

En penetrationstest er ikke en intern audit. Den interne audit vurderer, om ledelsessystemet lever op til standardens krav og virksomhedens egne regler. En test afprøver tekniske forhold i en afgrænset del af miljøet. De to supplerer hinanden, men den ene kan ikke stå i stedet for den anden. En intern audit kan godt se på, om testene bliver bestilt, gennemført og fulgt op som beskrevet. Det er en vurdering af processen omkring testen, ikke en gentagelse af selve testen.

Testen erstatter heller ikke risikovurderingen eller ledelsens stillingtagen. Hvis et fund ikke rettes, skal beslutningen om at acceptere risikoen træffes og dokumenteres af virksomheden selv. → Risikoaccept

Forskellen mellem en test og en gennemgang af processer og dokumentation er beskrevet i → Pentest eller audit?

Afklar forventningerne med certificeringsorganet

Certificeringsorganets auditor vurderer, om virksomhedens ledelsessystem lever op til standarden. Hvilken dokumentation auditoren forventer for tekniske kontroller, kan variere. Spørg tidligt, om en testrapport vil indgå i vurderingen, og i hvilken form den skal foreligge.

Det kan for eksempel være relevant at vide, om et resumé er tilstrækkeligt, eller om auditoren ønsker at se, hvordan konkrete fund er fulgt op. Svaret kan spare virksomheden for at bestille en test, der ikke passer til formålet. Notér svaret, så det kan genfindes, når testen bestilles, og når rapporten senere skal fremlægges ved auditten. Teksten er ikke en gengivelse af certificeringskrav, og den konkrete vurdering ligger hos certificeringsorganet.

Det skal I lade være med

At kalde testen en intern audit · de to har forskellige formål og kan ikke erstatte hinanden.
At teste lige før auditten · uden tid til opfølgning bliver fundene stående som åbne spørgsmål.
At skrive ISO kræver pentest i bestillingen · beskriv i stedet den kontrol eller risiko, testen skal belyse.
At lade rapporten ligge uden for ledelsessystemet · fund skal ind i de processer, virksomheden har beskrevet.
At acceptere fund uden dokumenteret beslutning · risikoaccept er ledelsens valg og skal kunne genfindes.

Hvad kan og ikke kan konkluderes

En penetrationstest kan underbygge, at udvalgte tekniske kontroller er afprøvet, og vise, hvordan virksomheden håndterer fund. Den kan bidrage til risikovurderingen og til dokumentationen ved auditten. Den kan ikke vise, at ledelsessystemet lever op til standarden, og den kan ikke love et bestemt udfald af certificeringen.

Rapporten gælder de systemer og den periode, testen omfattede. Den skal læses sammen med virksomhedens risikovurdering, de valgte kontroller og den dokumenterede håndtering af fundene, før den siger noget om ledelsessystemet.