Kontrakten med en kunde kræver sikkerhedstest: hvad skal I afklare?

En klausul om sikkerhedstest i en kundekontrakt kan være kort, men den forpligter. Hvad den kræver af jer, afhænger af ordlyden: hvilken test der nævnes, hvad den skal omfatte, hvor ofte den skal gentages, og hvilken dokumentation kunden skal have.

Svaret på, hvad I skal gøre, er derfor først at læse kravet ord for ord og dernæst afklare de punkter, der er uklare, med kunden. Først derefter giver det mening at bestille en test. En test, der bestilles på en løs fortolkning, kan ende med at besvare et andet spørgsmål end det, kunden stillede.

Find den præcise ordlyd

Kravet kan stå i selve kontrakten, i et bilag om informationssikkerhed, i en leverandørpolitik eller i et spørgeskema, der er gjort til en del af aftalen. Saml de steder, hvor test, sikkerhedsvurdering eller dokumentation nævnes, så hele kravet kan læses i sammenhæng.

Læg mærke til de ord, der er brugt. Penetrationstest, sårbarhedsscanning, sikkerhedsvurdering og audit er ikke det samme, og kunden kan have valgt ordet bevidst. Hvis kontrakten siger penetrationstest, opfylder en automatisk scanning næppe kravet. Hvis den siger sikkerhedsvurdering, kan der være mere frihed, men også mere uklarhed. → Sårbarhedsscanning, sikkerhedstjek eller penetrationstest?

De spørgsmål, kravet skal besvare

Når ordlyden er fundet, kan den holdes op mod en række spørgsmål. Hvor kontrakten ikke svarer, er der noget at afklare med kunden.

Hvad skal testes · hele virksomheden, den løsning kunden bruger, eller en bestemt del som kundeportalen.
Hvor ofte · en enkelt gang før idriftsættelse, ved større ændringer eller med faste mellemrum.
Hvem må teste · om kunden stiller krav til testerens uafhængighed, kvalifikationer eller certificeringer.
Hvad skal afleveres · hele rapporten, et resumé, en erklæring eller kun en bekræftelse af, at testen er gennemført.
Hvad sker der med fund · om alvorlige fund skal meddeles kunden, og inden for hvilken ramme de skal være håndteret.
Hvem betaler · om kunden eller I bærer udgiften, og om kunden selv kan vælge at lade teste.

Svarene former bestillingen. Uden dem er det svært at skrive et scope, der rammer kravet. → Scope i en penetrationstest

Afklar det uklare med kunden

En uklar klausul behøver ikke blive et problem, hvis den afklares tidligt. Skriv til kontaktpersonen hos kunden og spørg konkret: Er det løsningen til jer eller hele vores miljø, der skal testes? Er et resumé tilstrækkeligt, eller ønsker I hele rapporten? Gælder kravet før opstart eller løbende?

Få svaret på skrift, og læg det sammen med kontrakten. Det beskytter begge parter, hvis der senere opstår tvivl om, hvad der var aftalt. Hvis kunden henviser til en standard, så bed om den konkrete kravtekst, og læs den i sammenhæng. → Penetrationstest og standarder

Før kontrakten underskrives

Den bedste forhandlingsposition har I, mens kontrakten endnu er et udkast. Her kan I foreslå formuleringer, som er til at opfylde og til at dokumentere. Det kan være at præcisere, hvilken løsning testen gælder, at et resumé eller en erklæring er den aftalte leverance, og at fund håndteres efter en aftalt prioritering frem for en fast tidsgrænse for alle.

Undgå at acceptere formuleringer, der lover et udfald, som ingen test kan levere, for eksempel at løsningen er fri for sårbarheder. En test kan dokumentere en afgrænset undersøgelse på et bestemt tidspunkt. Teksten er ikke juridisk rådgivning, og den endelige formulering bør vurderes af den, der normalt varetager virksomhedens kontrakter.

Dokumentationen skal kunne deles

En pentestrapport kan indeholde oplysninger, som ikke bør sendes rundt. Hvis kunden skal have dokumentation, bør det besluttes, hvilken del der deles, med hvem, og på hvilke vilkår. Et resumé, der beskriver omfang, tidspunkt, overordnede resultater og håndtering af alvorlige fund, kan opfylde kundens behov uden at udlevere tekniske detaljer.

Hvis kunden insisterer på hele rapporten, kan en fortrolighedsaftale være et rimeligt vilkår. Overvej også, hvordan rapporten sendes og opbevares hos kunden. → Deling af pentestrapporten

Når kunden er en virksomhed, der selv sælger software eller drives som SaaS, kan kravene være mere detaljerede. Den vinkel er beskrevet nærmere på pentestrapport.dk.

Gentagne krav og en ansvarlig ejer

En kontrakt kan løbe over flere år. Et krav om løbende test betyder, at spørgsmålet kommer igen, og at kunden kan forvente at se udviklingen. Planlæg derfor testene, så de kan sammenlignes, og gem den dokumentation, der blev afleveret sidst.

Hvis løsningen har ændret sig væsentligt siden sidste test, bør scope følge med. En test af den gamle afgrænsning opfylder måske kravets ordlyd, men ikke dets formål. → Når kunden beder om pentestrapporten

Et kontraktkrav om test kan også falde mellem to stole. Salg eller ledelse har forhandlet kontrakten, mens IT skal få testen gennemført. Hvis ingen har ansvaret for, at kravet bliver opfyldt og dokumenteret, opdages det måske først, når kunden spørger.

Udpeg derfor en person, som ejer kravet. Den person skal kende ordlyden, holde øje med fristen, bestille testen og sørge for, at dokumentationen bliver sendt i den aftalte form. Det kan være projektlederen på kundeforholdet eller den, der i forvejen har ansvar for informationssikkerheden.

Ejeren bør også vide, hvem hos kunden der modtager dokumentationen, og hvem der kan svare på spørgsmål om kravet. Det sparer tid, når der opstår tvivl undervejs, og det gør det lettere at holde kunden orienteret, hvis testen bliver forsinket af forhold i jeres eget miljø.

Det skal I lade være med

At bestille ud fra en løs fortolkning · læs ordlyden, og afklar det uklare med kunden først.
At lade scanning erstatte en krævet penetrationstest · kunden har valgt ordet, og det har betydning.
At acceptere krav om fejlfrihed · ingen test kan dokumentere, at en løsning er uden svagheder.
At sende hele rapporten uden overvejelse · beslut, hvilken del kunden har brug for.
At glemme fristen · notér, hvornår dokumentationen skal foreligge, og planlæg testen derefter.

Hvad kan og ikke kan konkluderes

En gennemført test kan dokumentere, at den aftalte del af løsningen er undersøgt på et bestemt tidspunkt, og hvordan fundene er håndteret. Den kan ikke i sig selv afgøre, om kontraktens krav er opfyldt. Det afhænger af ordlyden og af kundens vurdering.

En test, der er bestilt med kravet for øje og afleveret i den form, kunden har bedt om, står stærkere end en test, der blot er gennemført.