Leverandørens godkendelse mangler: udskyd, afgræns eller vent?

Startdatoen nærmer sig, testeren er booket, men hostingfirmaet eller driftsleverandøren har ikke givet grønt lys. Den situation har tre ærlige udveje: at udskyde testen, at afgrænse den til de dele, I selv råder over, eller at gå i gang med resten og vente med den berørte del, til godkendelsen foreligger.

Det, der ikke er en udvej, er at gå i gang og håbe på det bedste. En godkendelse fra den, der råder over systemet, er en forudsætning og ikke en formalitet. Hvem der kan give den, og hvorfor betaling eller administratoradgang ikke gør det ud for en tilladelse, er gennemgået i → Er en penetrationstest lovlig?. Her handler det om den praktiske beslutning, når svaret mangler.

Find ud af, hvad der præcis mangler

Manglende godkendelse dækker over flere forskellige situationer, og de kræver hver sin reaktion. Start med at finde ud af, hvilken af dem I står i.

Intet svar · henvendelsen er ikke nået frem, ligger hos en forkert person eller er ikke prioriteret.
Betingelser · leverandøren vil gerne, men kræver varsel, testvindue, navngivne testere eller en kontaktperson.
Delvis godkendelse · nogle dele må testes, andre ikke, fx den delte platform under webshoppen.
Afslag · leverandøren tillader ikke test af sin løsning.

Et manglende svar kan ofte løses ved at finde den rette modtager. Spørg jeres kontaktperson hos leverandøren, hvem der behandler anmodninger om sikkerhedstest, og send en præcis beskrivelse af, hvad der skal testes, hvornår og af hvem. En vag anmodning risikerer at blive liggende, fordi modtageren ikke kan vurdere den.

Tre veje frem

Når det står klart, at godkendelsen ikke når frem før start, er der tre muligheder.

Udskyd hele testen · relevant, når den berørte del er kernen i det spørgsmål, testen skal besvare.
Afgræns opgaven · relevant, når den berørte del er en mindre del af helheden, og resten giver et brugbart svar alene.
Start med resten og vent med den berørte del · relevant, når godkendelsen er på vej, og testeren kan vende tilbage til den senere i perioden.

Valget afhænger af formålet. Skal rapporten om kundeportalen bruges over for en kunde, og ligger portalens platform hos hostingfirmaet, er en test uden platformen måske ikke det, kunden spørger efter. Skal testen derimod give IT-afdelingen et billede af kontornettet, kan en enkelt ekstern tjeneste udgå uden at ændre meget.

Den tredje vej kræver en klar frist. Kommer godkendelsen ikke inden for testperioden, skal der være truffet beslutning om, hvad der så sker. Fortæl også dem, der venter på rapporten, at en del er usikker. En ledelse, der regner med et samlet svar om kundeportalen på en bestemt dato, bør vide i god tid, at svaret kan komme i to dele eller blive mindre end planlagt. → Ændringer i opgaven undervejs

Når leverandøren stiller betingelser

Betingelser er ofte rimelige. Et hostingfirma, der driver platforme for mange kunder, har brug for at vide, hvornår en test foregår, og hvem der står bag. Det er både for at kunne reagere på uventet aktivitet og for at beskytte andre kunder på samme platform.

Afstem betingelserne med testeren og med jeres tidsplan. Krav om et bestemt testvindue kan betyde, at testen skal flyttes. Krav om navngivne testere betyder, at alle, der deltager, skal oplyses. Krav om varsel betyder, at godkendelsen skal være på plads i god tid. Skriv betingelserne ind i spillereglerne, så de følger med under testen. → Driftsleverandøren og testen

Store cloududbydere offentliggør egne regler for, hvad kunder må teste i deres egne ressourcer. Microsoft og AWS beskriver deres regler på hver deres side. Reglerne gælder kundens egne ressourcer og ikke udbyderens underliggende infrastruktur, og de kan ændre sig, så de skal læses i den aktuelle udgave.

Når svaret er nej

Et afslag betyder, at den pågældende del ikke kan indgå i testen. Det betyder ikke, at spørgsmålet om dens sikkerhed er afklaret. Der er andre måder at få indsigt på.

Bed leverandøren om dokumentation for egen sikkerhedstest. En leverandør kan have fået sin løsning testet og kan måske dele en erklæring eller et resumé. Vurdér, hvad dokumentationen dækker, og hvor gammel den er. → Testerklæring til kunder

Overvej også, om testen kan rettes mod jeres egen brug af løsningen frem for løsningen selv. Jeres egne brugerroller, opsætning og integrationer kan ofte undersøges inden for rammerne af det, I råder over, hvis leverandørens vilkår tillader det. Afklar det med leverandøren, før I antager det.

Et gentaget afslag kan være en oplysning i sig selv. Hvis en leverandør hverken vil lade jer teste eller dokumentere egen test, er det et forhold, ledelsen bør kende til ved næste kontraktforhandling. → Leverandøren siger, at alt er sikkert

Rapporten skal vise det, der blev holdt ude

Uanset hvilken vej I vælger, skal rapporten vise det. En del, der udgik på grund af manglende godkendelse, skal stå som ikke testet med begrundelsen. Det beskytter mod, at rapporten læses som et bredere svar, end den kan bære.

Det gælder særligt, når rapporten deles uden for virksomheden. En kunde, der modtager en rapport om webshoppen, skal kunne se, at hostingplatformen ikke indgik, og hvorfor.

Notér også forløbet i jeres egne papirer: hvornår anmodningen blev sendt, hvad leverandøren svarede, og hvilken beslutning I traf. Det gør det lettere at planlægge næste test, hvor godkendelsen kan søges i bedre tid, og det giver et grundlag, hvis spørgsmålet om leverandørens vilkår senere skal tages op.

Det skal I lade være med

At starte uden godkendelse · Den berørte del må vente, til tilladelsen er på plads.
At regne tavshed for accept · Et manglende svar er ikke et ja.
At sende en vag anmodning · Beskriv systemer, tidsrum og testere præcist.
At overse betingelserne · Leverandørens krav skal ind i spillereglerne.
At lade et afslag stå uden opfølgning · Spørg efter leverandørens egen dokumentation.
At skjule det udeladte · Rapporten skal vise, hvad der ikke blev testet.

Hvad kan og ikke kan konkluderes

En test uden den del, leverandøren ikke godkendte, kan stadig give et brugbart svar om resten. Den kan ikke sige noget om den udeladte del, og den kan ikke bruges som dokumentation for helheden. En leverandørs egen testerklæring kan supplere billedet, men den er udarbejdet efter leverandørens scope og ikke jeres.

Tjekliste, når godkendelsen mangler

☐ Ved I, om problemet er manglende svar, betingelser, delvis godkendelse eller afslag?
☐ Er anmodningen sendt til den rette person med en præcis beskrivelse?
☐ Er det besluttet, om testen udskydes, afgrænses eller deles?
☐ Er der en frist for den del, der venter?
☐ Er leverandørens betingelser skrevet ind i spillereglerne?
☐ Har I bedt om leverandørens egen dokumentation ved afslag?
☐ Viser rapporten, hvad der blev holdt ude og hvorfor?

Kilder

Microsoft Learn: Penetration testing: Microsofts regler for kunders test af egne ressourcer i Azure.
AWS: Penetration testing: AWS’ politik for kunders sikkerhedstest.

Senest gennemgået: oktober 2026.