Krav til penetrationstesteren: erfaring, metode og certificeringer

En imponerende profil fortæller ikke nødvendigvis, om testeren kan løse virksomhedens konkrete opgave. Vurderingen bør hvile på relevant erfaring, en forståelig arbejdsform, brugbar dokumentation og klare rammer for fortrolighed.

Køberen behøver ikke kunne bedømme tekniske detaljer i en prøve. Det er mere nyttigt at stille spørgsmål, som gør sammenhængen mellem person, opgave og leverance synlig. Svarene skal kunne kontrolleres i tilbuddet, et anonymiseret rapporteksempel og samtalen med den person, der faktisk skal udføre arbejdet.

Kravene bør tilpasses systemet. Erfaring fra en kundeportal kan være relevant for en webshop med beslægtede brugerroller, mens en opgave om kontornettet kræver et andet erfaringsgrundlag. Et generelt antal år kan derfor ikke stå alene.

Relevant erfaring skal ligne opgaven

Bed leverandøren beskrive erfaring med den type system og den beslutning, testen skal støtte. For kundeportalen kan det være erfaring med brugerroller, adgang til kundedata og integrationer. For ERP-systemet kan det være forståelse for komplekse rettigheder og afhængigheder til andre interne løsninger.

Et svar bør være konkret uden at afsløre andre kunders fortrolige oplysninger. Testeren kan eksempelvis forklare, hvilke typer funktioner der tidligere er arbejdet med, hvordan afgrænsninger blev håndteret, og hvilken form for dokumentation der blev afleveret. Kundenavne er ikke nødvendige for at gøre erfaringen relevant.

Bed om at få erfaringen opdelt efter opgave. En person kan have lang sikkerhedserfaring, men kun begrænset erfaring med den systemtype, I vil undersøge. Omvendt kan en kortere, meget relevant erfaring være værdifuld. Virksomheden bør notere sin begrundelse i stedet for at bruge anciennitet som eneste mål.

Spørg også, om den person, I møder før købet, skal udføre opgaven. Hvis andre medarbejdere skal deltage, bør deres roller og relevante erfaring fremgå. Det gør bemandingen lettere at holde op mod opgavebeskrivelsen. → Sammenlign tilbud på penetrationstest

Metoden skal kunne forklares uden tekniske tricks

En tester bør kunne forklare arbejdsformen på et niveau, som projektlederen kan bruge. Forklaringen kan omfatte planlægning, prioritering af de aftalte områder, vurdering af observationer, intern faglig kontrol og aflevering. Der er ikke behov for en trinvis teknisk vejledning for at forstå strukturen.

Spørg, hvordan metoden tilpasses jeres scope. En standardiseret tilgang kan give orden, men kundeportalens vigtigste funktioner skal stadig være synlige. Hvis leverandøren henviser til en faglig guide, bør tilbuddet angive, hvilke dele der er relevante, og hvilke der ikke er med.

Afklar også hvordan ændringer håndteres. Hvis webshoppen får en ny funktion umiddelbart før start, bør testeren kunne forklare, om den kan indgå, kræver en ny afgrænsning eller må vente. Svaret viser, om metoden kan bevare en tydelig opgave, når projektet bevæger sig.

NIST SP 800-115 beskriver kompetencer, planlægning og dokumentation som forhold i et testforløb. Den er en ældre amerikansk vejledning og ikke et dansk kvalitetsstempel. Brug den som baggrund for spørgsmål, ikke som bevis for leverandørens faktiske arbejde. → Penetrationstest fra start til slut

Spørg hvordan observationer bliver til fund

Rå resultater er ikke det samme som færdige fund. Bed testeren forklare, hvordan mulige forhold bliver vurderet, hvordan dubletter og fejlmarkeringer behandles, og hvordan et fund forbindes med en funktion i løsningen. Svaret bør kunne gives uden at afsløre angrebsteknikker.

For webshoppen kan processen beskrives gennem et anonymiseret eksempel: en observation bliver kontrolleret, dens rækkevidde bliver afgrænset, og den mulige betydning for den aftalte funktion bliver skrevet ind i rapporten. Eksemplet er kun en redaktionel model; den konkrete leverandør skal selv forklare sin praksis.

Hvis automatiske kontroller indgår, så spørg hvor den menneskelige vurdering ligger. Et værktøj eller en platform er ikke i sig selv en metodebeskrivelse. → Automatisk eller manuel penetrationstest

Rapporteksemplet viser om arbejdet kan bruges

Bed om et anonymiseret eksempel, der ligner den forventede levering. Se efter et forståeligt scope, synlige begrænsninger, et ledelsesresumé og fund, som kan overdrages til de ansvarlige for rettelser. Et flot layout kan ikke kompensere for manglende forklaring.

Rapporten bør også vise forskellen mellem teknisk observation, vurdering og anbefaling. Hvis en alvorlighedsbetegnelse anvendes, skal grundlaget kunne forstås. Projektlederen skal kunne se, hvad konklusionen gælder, mens den tekniske modtager skal kunne arbejde videre med dokumentationen.

Se også efter, om eksemplet kan læses af flere modtagere uden at udlevere alle detaljer til alle. En ledelse har brug for beslutningsgrundlaget, mens den ansvarlige leverandør kan have brug for mere dokumentation. Testeren bør kunne forklare, hvordan de behov mødes i afleveringen.

Spørg hvem der fagligt gennemgår rapporten inden aflevering. En intern kontrol kan være relevant, men dens indhold bør ikke antages. Bed leverandøren forklare rollen og ansvaret. Læs mere om modtagelsen i → Sådan læser I en pentestrapport, og se rapportens anvendelse på pentestrapport.dk.

Fortrolighed skal være en del af opgaven

En penetrationstest kan skabe materiale om systemernes opbygning, brugerroller og fund. Spørg derfor, hvem der får adgang til oplysningerne, hvor kommunikationen foregår, og hvordan afleveringer håndteres. Det er køberspørgsmål, ikke en påstand om én bestemt teknisk løsning.

Afklar også brugen af underleverandører. Hvis en anden part skal udføre eller gennemgå dele af testen, bør virksomheden kende rollen og adgangen. Det samme gælder opbevaring efter afslutning og eventuel returnering eller sletning af udleveret materiale.

En fortrolighedsaftale kan dokumentere nogle af rammerne, men den erstatter ikke et afgrænset scope og en gyldig tilladelse. De praktiske aftaler om adgang og kontakt hører til → Før penetrationstesten.

Certificeringer er ét tegn blandt flere

En relevant certificering kan vise, at en person på et bestemt tidspunkt har opfyldt en ordnings beskrevne krav. Den kan være nyttig dokumentation, men fortæller ikke alene, om erfaringen passer til jeres kundeportal, eller om rapporten bliver anvendelig for jeres organisation.

Kontrollér også om dokumentationen er aktuel efter ordningens egne regler, hvis certificeringen indgår som et formelt krav. Det er en administrativ kontrol, ikke en vurdering af personens samlede evner. Resultatet bør ses sammen med erfaringen og det aftalte faglige ansvar.

Spørg hvad certificeringen gælder, hvem der har den, og om den er relevant for opgaven. Et firmalogo eller en generel henvisning kan ikke uden forklaring knyttes til den tester, som skal udføre arbejdet. Undgå også at opstille en tilfældig liste, hvis kravene ikke kan begrundes i behovet.

Erfaring, metode, kommunikation og tidligere leverancetype bør veje sammen med eventuelle certificeringer. På købersiden er certificeringen derfor ét dokumenteret tegn blandt flere.

Kommunikation og dømmekraft viser sig før start

Læg mærke til, om testeren kan stille afklarende spørgsmål om systemets formål og virksomhedens beslutning. En god forklaring bør være præcis uden at gøre alle problemer tekniske. Det gør det lettere for drift, ledelse og leverandører at arbejde ud fra samme opgave.

Spørg hvordan uventede forhold kommunikeres under forløbet. En kritisk observation, en ændret forudsætning eller påvirkning af driften kan kræve en hurtig beslutning. Kontaktvejen og grænsen for testerens eget mandat skal stå i spillereglerne.

Dømmekraft kan ikke bevises fuldt ud i et tilbud. Men uklare svar, manglende spørgsmål eller en uvilje mod at beskrive begrænsninger er oplysninger, køberen kan tage med i sin vurdering. Uafhængighed og mulige interessekonflikter behandles i → Uafhængig penetrationstest.

Det skal I lade være med

At købe en profil i stedet for en opgave · Kravene skal hænge sammen med de systemer og funktioner, der undersøges.
At kræve certifikater uden formål · Bed om relevansen for den konkrete tester og den konkrete levering.
At acceptere en metode som et navn · Leverandøren bør forklare faser, vurdering og dokumentation i almindeligt sprog.
At nøjes med en pæn forside · Et rapporteksempel skal vise scope, begrænsninger og brugbare fund.
At overse hvem der faktisk tester · Salgsmødet og den udførende bemanding kan være forskellige.
At lade fortrolighed være underforstået · Modtagere, underleverandører og håndtering af materiale skal afklares.

Et bredt kompetenceudsagn bør altid føres tilbage til det aftalte spørgsmål. Opgavens type vælges i → Typer af penetrationstest.

Hvad kan og ikke kan konkluderes

Relevant erfaring, en forklaret metode og et brugbart rapporteksempel kan give et bedre grundlag for at vælge tester. Materialet kan dog ikke dokumentere præcis, hvordan en kommende opgave bliver udført. Det kræver, at den aftalte bemanding og proces faktisk anvendes.

En certificering kan underbygge et bestemt kompetenceområde efter ordningens egne kriterier. Den dokumenterer ikke i sig selv kendskab til virksomhedens ERP-system, god kommunikation eller kvaliteten af den endelige rapport. Fravær af et bestemt certifikat er heller ikke alene bevis for manglende evne.

Køberens kontrol er derfor en samlet vurdering med synlige begrundelser. CREST offentliggør indkøbsvejledninger, der kan bruges som supplerende inspiration til spørgsmål om levering og leverandør. De gør ikke en konkret leverandør egnet uden den opgavespecifikke vurdering.

Tjekliste før valg af tester

☐ Er den udførende testers erfaring relevant for jeres type system og spørgsmål?
☐ Kan arbejdsformen forklares uden slogans og tekniske anvisninger?
☐ Fremgår det, hvordan mulige observationer bliver vurderede fund?
☐ Har I set et anonymiseret rapporteksempel med synlige begrænsninger?
☐ Ved I, hvem der udfører og fagligt gennemgår opgaven?
☐ Er fortrolighed, underleverandører og håndtering af materiale afklaret?
☐ Er eventuelle certificeringers ejer og relevans forklaret?
☐ Er kontakt, eskalation og testerens mandat aftalt?

Kilder

NIST SP 800-115, afsnit 6.4.1 og 6.5: kompetencer, planlægning og dokumentation af opgaven.
CREST: Implementation & Procurement Guides: købervejledninger om valg, levering og afslutning af sikkerhedsydelser.

Senest gennemgået: oktober 2026.