Testen har fundet en svaghed i et system, som en leverandør driver eller har udviklet, og leverandøren svarer, at det ikke er en fejl, ikke er et problem eller ikke er deres ansvar. Den situation bør have en fast fremgangsmåde, så den ikke afhænger af, hvem der tilfældigvis tager telefonen. Den hviler på tre ting: at forstå, hvad leverandøren præcis afviser, at få fakta på bordet fra både tester og leverandør, og at huske, at risikoen i sidste ende er jeres.
En afvisning er altså ikke slutningen på sagen. Den er starten på en afklaring, der skal ende med en beslutning, som I kan stå inde for: rettelse, et andet tiltag eller en bevidst accept.
Fire slags afvisninger
Når en leverandør afviser et fund, kan det dække over meget forskellige påstande. Skeln mellem dem, for de kræver forskellige svar.
- Fundet findes ikke · leverandøren mener, at testeren har taget fejl.
- Fundet er ikke en svaghed · forholdet findes, men leverandøren mener, at det er tilsigtet eller uden betydning.
- Alvorligheden er for høj · leverandøren anerkender fundet, men vurderer risikoen lavere.
- Det er ikke vores ansvar · leverandøren mener, at rettelsen hører hos jer eller en anden part.
Bed leverandøren om at sige, hvilken af dem det drejer sig om, og om at begrunde svaret skriftligt. Et kort svar om, at systemet er sikkert, er ikke en begrundelse.
Notér afvisningen i handlingsplanen med dato og leverandørens begrundelse. Fundet skal stå som åbent, indtil afklaringen har ført til en beslutning. Ellers kan en afvisning, der aldrig blev behandlet, ende med at ligne et lukket fund, når nogen senere kigger på listen.
Når leverandøren mener, at fundet er forkert
En tester kan tage fejl, og det er rimeligt, at leverandøren påpeger det. Send leverandørens begrundelse til testeren, og bed om en vurdering. Testeren kan forklare, hvad der blev observeret, og under hvilke forhold, uden at I selv skal være mellemmand for de tekniske detaljer. → Falsk positiv og falsk negativ
Hvis begge parter fastholder deres opfattelse, kan et kort møde med tester, leverandør og jer selv ofte afklare mere end en lang mailkorrespondance. Mødet skal handle om fakta: hvad blev observeret, i hvilket miljø og med hvilken adgang. Hvis forholdene er ændret siden testen, kan begge have ret, hver på sit tidspunkt. Så er det relevante spørgsmål ikke, hvem der havde ret, men om forholdet findes i dag, og om ændringen er kontrolleret.
Dokumentationen i rapporten er grundlaget for samtalen. Jo bedre et fund er dokumenteret, jo lettere er det at afgøre, om det holder. → Bevis for fundet
Når leverandøren mener, at det ikke er en svaghed
Nogle gange er forholdet tilsigtet. En funktion i ERP-systemet kan være bygget, så bestemte brugere har vide rettigheder, fordi det er sådan, produktet er designet. Det kan være rigtigt fra leverandørens side og stadig være en risiko for jer, hvis den måde, I bruger systemet på, gør rettighederne farlige.
Spørg derfor ikke kun, om det er en fejl i produktet, men også, om der er en indstilling, en anden opsætning eller en anbefalet praksis, som kan mindske risikoen. Leverandøren kender produktet bedst og kan have et forslag, selv om koden ikke ændres. Bed om forslaget skriftligt, så det kan indgå i jeres vurdering og i handlingsplanen. → Fund i tredjepartssoftware
Når uenigheden handler om alvorlighed
Uenighed om alvorlighed er en anden sag end en afvisning af selve fundet. Testerens vurdering bygger på, hvad der kan opnås, mens leverandøren kan kende forhold, der begrænser konsekvensen. Bed leverandøren om at beskrive de forhold konkret, og lad testeren vurdere, om de ændrer billedet.
I sidste ende er det jer, der fastsætter prioriteten i handlingsplanen. Noter testerens vurdering, leverandørens vurdering og jeres egen, så det er tydeligt, hvordan beslutningen er truffet. → Uenighed om et funds alvorlighed
Når det handler om ansvar
En afvisning af ansvar kræver, at I går tilbage til aftalen. Hvad har leverandøren påtaget sig om drift, opdateringer, sikkerhed og rettelse af fejl? Hvis aftalen er tydelig, kan I henvise til den. Hvis den er uklar, må ansvaret afklares, og det kan kræve en forhandling. → Hvem retter fundene?
Uanset hvem der har ansvaret for rettelsen, har I ansvaret for jeres egen risiko. Hvis fundet ligger i en grænseflade mellem to leverandører, og ingen vil påtage sig opgaven, er det jer, der må tage initiativ til en løsning. Saml i så fald begge leverandører om samme fund, og bed dem i fællesskab beskrive, hvor grænsen mellem deres ansvar går.
Eskalering, når dialogen går i stå
Hvis afklaringen ikke fører nogen vegne, så eskaler i trin. Hold det sagligt og skriftligt, og giv hvert trin en frist, så sagen ikke går i stå igen.
- Skriftlig anmodning · beskriv fundet, jeres krav og en frist for svar.
- Højere niveau hos leverandøren · kontakt den, der er ansvarlig for kundeforholdet eller for sikkerheden.
- Aftalens bestemmelser · henvis til de punkter i kontrakten, der handler om sikkerhed og fejlrettelse.
- Ledelsens beslutning · forelæg sagen for jeres egen ledelse med en vurdering af risikoen.
Ledelsens beslutning kan være at acceptere risikoen midlertidigt, at kompensere med egne tiltag eller at vurdere leverandørforholdet på ny. Det er en forretningsbeslutning, og den bør være dokumenteret. → Risikoaccept
Det skal I lade være med
- At acceptere et mundtligt nej · Bed om en skriftlig begrundelse for afvisningen.
- At være mellemmand for tekniske detaljer · Lad tester og leverandør tale direkte, når det er nødvendigt.
- At lukke fundet, fordi leverandøren afviser det · Status skal afspejle jeres beslutning.
- At glemme aftalen · Kontrakten afgør ofte, hvem der har ansvaret.
- At lade sagen ligge uden frist · Sæt frister for svar og for jeres egen beslutning.
- At gøre det til en personlig konflikt · Hold dialogen på fakta og dokumentation.
Hvad kan og ikke kan konkluderes
En grundig afklaring kan vise, om fundet holder, hvor alvorligt det er for jer, og hvem der skal handle. Den kan også dokumentere, at I har behandlet leverandørens indsigelse sagligt, hvis beslutningen senere skal forklares.
En afvisning fra leverandøren kan ikke i sig selv fjerne risikoen. Selv hvis leverandøren har ret i, at produktet virker som tiltænkt, kan risikoen bestå i jeres brug af det. Teksten er ikke juridisk rådgivning om aftaleforholdet.
Tjekliste, når leverandøren afviser
- ☐ Er det klart, hvilken slags afvisning der er tale om?
- ☐ Har leverandøren begrundet afvisningen skriftligt?
- ☐ Har testeren vurderet leverandørens begrundelse?
- ☐ Er aftalens bestemmelser om sikkerhed og fejlrettelse læst?
- ☐ Er alle tre vurderinger noteret i handlingsplanen?
- ☐ Er der en frist og en plan for eskalering?
- ☐ Er ledelsens beslutning dokumenteret, hvis sagen ikke kan løses?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Fra rapport til handlingsplan · Restrisiko
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
