Når en penetrationstest er slut, ved nogle medarbejdere, at den har fundet sted, mens andre undrer sig over, hvad der skete. Hvad der kan siges, afhænger af to forhold: om fundene er rettet, og om oplysningerne kan hjælpe en udefrakommende, hvis de slipper ud.
Formål, forløb og de ændringer, medarbejderne selv vil mærke, kan som udgangspunkt deles bredt. Konkrete fund, systemnavne og svagheder, der endnu ikke er rettet, hører til en lille kreds. Beskeden før og under testen er et andet spørgsmål. → Skal medarbejderne vide, at der testes?
Fra bred besked til lukket kreds
Det hjælper at sortere oplysningerne, før der skrives noget. Et enkelt skel er, hvem der har brug for hvad for at kunne gøre sit arbejde.
- Alle medarbejdere · at testen er gennemført, hvorfor den blev lavet, og hvad der ændres i deres hverdag.
- Ledere og nøglepersoner · de overordnede resultater, de beslutninger, der skal træffes, og hvad der kræver deres afdelings indsats.
- De ansvarlige for rettelserne · de konkrete fund med den detaljegrad, opgaven kræver.
Skellet følger ikke stillingsbetegnelser. En medarbejder i kundeservice kan have brug for at kende en ændring i kundeportalen, mens en leder uden for projektet ikke behøver at vide, hvilken funktion fundet lå i.
Det, alle kan få at vide
En kort besked til alle kan fortælle, at virksomheden har fået testet udvalgte systemer, at testen er slut, og at resultatet bliver brugt til forbedringer. Det giver en forklaring, hvis nogen har bemærket usædvanlig aktivitet, og det viser, at testen havde et formål.
Beskeden bør også nævne de ændringer, medarbejderne vil møde. Måske skal alle logge ind på en ny måde i fjernadgangen, eller gæstenettet bliver adskilt fra kontornettet. Forklar kort hvorfor uden at beskrive den svaghed, der lå bag. En sætning som “vi skærper adgangen til fjernarbejde” siger nok.
Undgå at give et samlet indtryk, der ikke holder. En besked om, at alt så fint ud, er svær at trække tilbage, hvis der senere kommer opgaver, som kræver medarbejdernes hjælp. Det er mere holdbart at sige, at testen gav punkter til forbedring, og at de bliver fulgt op.
Det, der bliver i en lille kreds
Konkrete fund er følsomme, så længe de ikke er rettet. En beskrivelse af, hvor svagheden findes, og hvad den giver adgang til, er nyttig for den, der skal rette den, og for den, der vil misbruge den. Derfor bør detaljerne kun ligge hos dem, der arbejder med rettelserne.
Det gælder også mundtligt. En bemærkning på et fællesmøde om, at ERP-systemet havde et alvorligt problem med adgangskontrollen, kan nå længere end tænkt. Hold samtalen på niveauet “der er rettelser i gang”.
Tænk særligt på de kolleger, hvis arbejde fundene handler om. En IT-medarbejder, der har sat kontornettet op, kan læse et fund som kritik af sin indsats. Tag den samtale direkte og i en lille kreds, før en bredere besked sendes. Gør det klart, at testen skulle finde svagheder, og at den har gjort netop det. Det er lettere at få hjælp til rettelserne fra en medarbejder, der er blevet inddraget, end fra en, der har hørt om fundene på gangen.
Rapporten selv bør ikke ligge på et fælles drev eller sendes rundt som vedhæftet fil. Beslut, hvilke personer der må læse den, og hvor den skal ligge. → Deling af pentestrapporten: hvem må se den? · → Opbevaring og sletning af rapport og testdata
Når medarbejdere selv indgik i testen
Hvis testen omfattede medarbejdernes adfærd, fx reaktionen på en falsk mail eller en fremmed ved døren, er kommunikationen bagefter en del af selve formålet. Medarbejderne skal vide, hvad testen gik ud på, hvorfor den blev lavet uden varsel, og hvad virksomheden lærer af den.
Resultatet bør præsenteres samlet. Navne på enkeltpersoner, der klikkede eller lukkede nogen ind, hører ikke hjemme i en bred besked. Formålet er at forbedre rutiner, ikke at pege på nogen, og det gør det lettere at gennemføre en lignende øvelse senere. → Phishing-test
Giv gerne en konkret vej frem: hvem man kontakter, hvis en mail virker mistænkelig, og hvad man gør, hvis en ukendt person beder om adgang til lokalerne.
Tidspunktet hænger sammen med rettelserne
Den brede besked kan komme kort efter testen, fordi den ikke indeholder detaljer. Mere konkrete oplysninger kan vente, til de vigtigste fund er rettet. Når en svaghed er lukket, er det mindre følsomt at fortælle, at der var et problem i et bestemt område.
Nogle fund rettes hurtigt, andre tager længere tid. Kommunikationen kan derfor komme i trin: først beskeden om, at testen er slut, senere en orientering om de ændringer, der er gennemført. Planlæg trinene sammen med handlingsplanen, så beskederne ikke løber foran rettelserne. → Fra rapport til handlingsplan
Hvem siger det, og hvordan?
Beskeden bør komme fra en person, medarbejderne kender og har tillid til, fx en leder eller den IT-ansvarlige. Hvis testen blev udført af en ekstern tester, kan det nævnes, men det er virksomheden, der står bag beslutningen og opfølgningen.
Brug den kanal, I plejer at bruge til vigtige beskeder. En kort skriftlig besked kan suppleres med et punkt på et møde, hvor der er plads til spørgsmål. Forbered svar på dem, der kan komme, fx om kundedata var i fare. Hvis svaret er usikkert, er det bedre at sige, at det undersøges, end at gætte.
Tænk også på kolleger uden for huset. Driftsleverandøren og hostingfirmaet skal have de oplysninger, der vedrører deres opgaver, og ikke mere.
Det skal I lade være med
- At fortælle om fund, der ikke er rettet · detaljer om åbne svagheder bliver i den lille kreds.
- At nævne enkeltpersoner · resultater om medarbejdernes adfærd præsenteres samlet.
- At love, at alt er sikkert · testen dækkede et afgrænset område i en bestemt periode.
- At lægge rapporten frit tilgængeligt · adgangen aftales, og opbevaringen styres.
- At tie helt · uden forklaring opstår der rygter, og ingen ser, hvad testen førte til.
Hvad kan og ikke kan konkluderes
En klar besked efter testen kan give medarbejderne forståelse for ændringerne og gøre dem mere villige til at hjælpe. Den kan ikke erstatte selve rettelserne, og den kan ikke vise, at virksomheden er sikker.
At medarbejderne er orienteret, siger heller ikke noget om, hvor godt rutinerne virker. Det kan kun en senere test eller en anden form for opfølgning belyse.
Tjekliste før beskeden sendes
- ☐ Er oplysningerne sorteret efter, hvem der har brug for dem?
- ☐ Rummer den brede besked kun formål, forløb og ændringer?
- ☐ Er detaljer om åbne fund holdt ude?
- ☐ Er resultater om medarbejdernes adfærd gjort anonyme?
- ☐ Er tidspunktet afstemt med rettelserne?
- ☐ Kommer beskeden fra en person, medarbejderne kender?
- ☐ Er svar på de oplagte spørgsmål forberedt?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Social engineering i en sikkerhedstest · Afslutningsmødet efter penetrationstesten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
