Når rapporten markerer et fund som kritisk, er presset for at gøre noget med det samme stort. De første skridt bør alligevel være beslutninger frem for rettelser: forstå, hvad fundet betyder for jer, giv det en ejer, vælg en midlertidig beskyttelse, hvis den findes, og tag stilling til, om svagheden kan være brugt af andre. Selve rettelsen kommer bedst efter de beslutninger, ikke før.
Hvis fundet blev meldt, mens testen stadig var i gang, er nogle af beslutningerne måske allerede truffet. Situationen under testen er beskrevet i → Kritisk fund midt i testen. Her handler det om dagene efter, at den samlede rapport er afleveret.
Forstå fundet, før I handler
Læs fundets beskrivelse sammen med den, der skal rette. Spørgsmålet er ikke kun, hvad svagheden er, men hvad den giver adgang til i netop jeres løsning. Et kritisk fund i webshoppen kan berøre kundernes betalingsoplysninger eller kun en afgrænset funktion, og forskellen har betydning for, hvor hurtigt og bredt I skal handle.
Kontroller også, om fundet er påvist eller vurderet. Har testeren faktisk dokumenteret konsekvensen, eller er den sandsynlig ud fra det, testeren så? Begge dele kan være alvorlige, men de kræver forskellig opfølgning. Hvis noget er uklart, så kontakt testeren hurtigt og skriftligt. → Dokumentation af fund
Skeln mellem alvorlighedsgraden i rapporten og jeres egen vurdering af betydningen. Kategorien kritisk bygger ofte på en score, der beskriver svagheden. Jeres opgave er at vurdere, hvad den betyder for de oplysninger og funktioner, I har ansvar for. → CVSS-score
Giv fundet en ejer med det samme
Et kritisk fund uden ejer bliver liggende mellem IT, leverandøren og ledelsen. Peg på én navngiven person, som skal sørge for, at fundet bliver håndteret. Det behøver ikke være den, der retter, men den, der følger op og kan træffe eller hente beslutninger.
For kundeportalen kan ejeren være den forretningsansvarlige, mens softwareleverandøren står for selve rettelsen. For kontornettet kan det være den IT-ansvarlige, der har aftalen med driftsleverandøren. Det vigtige er, at alle ved, hvem der har bolden. → Hvem retter fundene?
Informér den nærmeste leder, hvis fundet berører kundedata, drift eller aftaler med kunder. Ledelsen behøver ikke detaljerne, men den skal vide, at der er et forhold, som kan kræve ressourcer eller beslutninger.
Midlertidig beskyttelse, mens rettelsen forberedes
En rigtig rettelse kan tage tid, især hvis den skal laves af en leverandør eller testes, før den sættes i drift. I mellemtiden kan det være muligt at begrænse risikoen. Rapporten nævner ofte sådanne muligheder, og ellers kan testeren eller leverandøren spørges.
Midlertidige tiltag kan være at lukke en funktion, begrænse adgangen til bestemte brugere eller adresser eller øge overvågningen af det berørte system. De har en pris: en lukket funktion i webshoppen kan betyde tabt salg, og en begrænset adgang kan forsinke medarbejdere. Afvejningen hører hos fundets ejer, gerne sammen med ledelsen.
Skriv ned, hvilket tiltag der blev valgt, hvornår, og hvem der besluttede det. Et midlertidigt tiltag har en tendens til at blive permanent, hvis ingen husker, hvorfor det blev indført.
Kan svagheden være brugt?
Et kritisk fund rejser et spørgsmål, som testen ikke besvarer: har andre fundet og brugt svagheden, før testeren gjorde? Testeren har undersøgt, om svagheden findes, ikke om den er udnyttet. Det er to forskellige opgaver.
Vurder, om der er grund til at undersøge det nærmere. Hvis svagheden har været tilgængelig fra internettet, og den giver adgang til følsomme oplysninger, kan det være relevant at gennemgå logfiler og adgange. Den opgave kræver de rette kompetencer og bør bestilles som sin egen undersøgelse. → Hændelse opdaget under testen
Hvis personoplysninger kan være berørt, skal virksomheden vurdere, om reglerne om brud på persondatasikkerheden er relevante. Datatilsynet har vejledning om brud. Teksten her er ikke juridisk rådgivning.
Hvem skal vide hvad?
Et kritisk fund er en fortrolig oplysning, så længe det ikke er rettet. Begræns kredsen, der kender detaljerne, til dem, der skal handle på dem: fundets ejer, den, der retter, og den leder, der skal træffe beslutninger. Del kun de dele af rapporten, som hver part har brug for.
Overvej samtidig, om andre har krav på at få besked. Det kan være en kunde, som har en aftale om underretning ved alvorlige sikkerhedsforhold, en forsikring med oplysningspligt eller en samarbejdspartner, hvis systemer er forbundet med jeres. Læs de relevante aftaler, før I beslutter, hvad der skal siges, og hvornår. → Kommunikation til medarbejderne efter testen
Notér, hvem der fik hvilke oplysninger og hvornår. Det gør det lettere at svare på spørgsmål senere og at holde styr på, hvem der skal have besked, når fundet er lukket.
Fra første skridt til plan
Når fundet er forstået, har en ejer og eventuelt er dæmpet midlertidigt, kan selve rettelsen planlægges. Den bør indgå i en samlet plan sammen med rapportens øvrige fund, så ressourcerne ikke alle går til ét forhold, mens andre glemmes. → Prioritering af rettelser
Aftal, hvordan rettelsen skal kontrolleres, når den er gennemført. En melding om, at fundet er lukket, er ikke det samme som en efterprøvning, og et kritisk fund er ofte netop det, en kunde eller en revisor vil spørge til.
Det skal I lade være med
- At rette i panik uden at forstå fundet. En hastig ændring kan skabe nye fejl eller kun dække en del af problemet.
- At lade fundet ligge uden ejer. Kritiske fund kræver én person, der følger op.
- At gå ud fra, at ingen har brugt svagheden. Testen besvarer ikke det spørgsmål.
- At glemme de midlertidige tiltag. Skriv dem ned, og sæt en dato for at fjerne eller erstatte dem.
- At holde ledelsen uden for. Et kritisk fund kan kræve beslutninger, som IT ikke kan træffe alene.
Hvad kan og ikke kan konkluderes
Et kritisk fund viser, at testeren fandt en alvorlig svaghed i det, der blev undersøgt. Det betyder ikke i sig selv, at der er sket et brud, og det betyder heller ikke, at resten af løsningen er i orden. Når fundet er rettet, kan en efterprøvning vise, om netop det forhold er løst. Den kan ikke sige, om svagheden blev brugt, før den blev lukket.
De første beslutninger er heller ikke et bevis for, at fundet er håndteret. De er et udgangspunkt, som skal følges op med rettelse, kontrol og en afslutning, der kan dokumenteres over for dem, der senere spørger.
Tjekliste de første dage
- ☐ Er fundet læst og forstået af den, der skal rette?
- ☐ Er det klart, om konsekvensen er påvist eller vurderet?
- ☐ Har fundet en navngiven ejer?
- ☐ Er ledelsen informeret?
- ☐ Er midlertidige tiltag vurderet og noteret?
- ☐ Er det vurderet, om svagheden kan være brugt?
- ☐ Er det aftalt, hvordan rettelsen efterprøves?
Kilder
- Datatilsynet: vejledning om brud på persondatasikkerheden.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Fra rapport til handlingsplan · Frister for rettelser
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
