En rapport med alvorlige fund rejser hurtigt spørgsmålet om, hvornår der skal testes igen. Svaret afhænger af, hvad den næste test skal vise: at bestemte fund er rettet, eller at systemet som helhed nu holder bedre.
Det første kræver en retest, når de aftalte rettelser er på plads. Det andet kræver en ny test, når rettelserne er gennemført, og når de ændringer, der fulgte af dem, er faldet til ro. Der findes ingen fast frist, der passer til alle. Tidspunktet bestemmes af jeres rettelser, jeres ændringer og de krav, I eventuelt skal opfylde over for kunder eller andre.
Retest og ny test svarer på forskellige spørgsmål
En retest er afgrænset til de fund, der allerede er beskrevet. Den undersøger, om de konkrete forhold stadig kan påvises efter rettelsen. Den siger ikke noget om forhold, der ikke var med i den første rapport. → Retest efter penetrationstest
En ny test har sit eget scope og kan finde nye forhold. Den er relevant, når virksomheden har brug for et nyt samlet billede, fx fordi de alvorlige fund tydede på bredere svagheder, eller fordi systemet er ændret meget under rettelserne.
Der kan være brug for begge dele. Først en retest af de alvorligste fund for at få bekræftet, at de er håndteret. Senere en ny test, når der er gået så lang tid, og der er sket så meget, at det giver mening at se på helheden igen.
Først rettelserne, så testen
En ny test, der ligger før rettelserne, finder blot de samme forhold igen. Det giver ingen ny viden og bruger tid, der kunne være gået til selve arbejdet. Vent derfor, til de vigtigste rettelser er gennemført og meldt klar af dem, der har udført dem.
Tag udgangspunkt i handlingsplanen. Når de opgaver, der knytter sig til de alvorlige fund, er afsluttet, kan retesten planlægges. Hvis nogle opgaver tager længere tid, kan retesten deles op, så de færdige rettelser kontrolleres først. → Kritiske fund i rapporten: de første skridt
Brug også ventetiden til at forberede den næste test. Notér undervejs, hvad der er ændret, og hvorfor. Det gør det lettere for testeren at forstå, hvad der skal kontrolleres, og det gør rapporten mere præcis.
Når fundet peger på mere end sig selv
Nogle alvorlige fund er isolerede fejl i en enkelt funktion. Andre tyder på, at noget grundlæggende ikke er på plads, fx at adskillelsen mellem kunder i kundeportalen ikke er tænkt ind i løsningen, eller at adgangsstyringen på kontornettet ikke følger en fast rutine.
I det sidste tilfælde er en retest af det konkrete fund ikke nok. Hvis den samme svaghed kan findes i funktioner, der ikke var med i testen, skal en ny test have et bredere scope end den første. Overvej, om opgavebeskrivelsen skal udvides til de dele af systemet, der bygger på samme løsning. → Scope i en penetrationstest
Hvis de alvorlige fund går igen fra tidligere tests, er det også et tegn på, at årsagen ligger dybere. Så bør den næste test planlægges sammen med en ændring af den måde, arbejdet udføres på. → Fund, der går igen fra test til test
Hvad der skal til, før en ny test giver mening
En ny test er mest værdifuld, når den kan svare på et nyt spørgsmål. Det kan være, om den nye løsning i kundeportalen holder, om de ændrede adgange til ERP-systemet virker efter hensigten, eller om de tiltag, der er gjort på kontornettet, har lukket de veje, testeren brugte.
Formulér spørgsmålet, før testen bestilles. Det hjælper med at vælge scope og testtype og gør det lettere at vurdere resultatet. Et uklart spørgsmål som “er vi sikre nu?” kan ingen test besvare.
Tænk også over, hvem der skal bruge svaret. Ledelsen vil måske vide, om de alvorlige forhold er håndteret. En kunde vil måske have dokumentation for, at kundeportalen er testet efter ændringerne. IT-afdelingen vil vide, om de nye løsninger holder. De tre behov kan kræve forskellige leverancer, og de bør afklares, før opgaven sendes ud.
Ændringer efter testen tæller med
Rettelser kan i sig selv ændre systemet. En ny adgangsstyring, en ny integration eller en ny opsætning af gæstenettet kan løse ét problem og skabe andre. Jo større ændringerne er, desto mere taler for en ny test frem for en ren retest.
Det gælder også ændringer, der ikke har med fundene at gøre. Hvis webshoppen har fået nye funktioner, eller driftsleverandøren er skiftet, siden testen blev lavet, beskriver den første rapport et system, der ikke længere findes i samme form. → Penetrationstesten er et øjebliksbillede
Vent ikke blindt på den faste dato
Har virksomheden en fast plan for, hvornår der testes, kan et alvorligt resultat være en grund til at rykke den næste test frem eller til at ændre dens indhold. Omvendt kan en planlagt test komme for tidligt, hvis rettelserne ikke er færdige.
Se på planen igen, når rapporten er læst. Skal den næste faste test dække de samme områder, eller skal den rettes mod det, der viste sig at være svagt? → Den årlige test
Kunder og samarbejdspartnere kan også have krav om, hvornår der skal foreligge dokumentation. Afklar dem, før tidspunktet lægges fast.
Det skal I lade være med
- At bestille en ny test, før rettelserne er færdige · den finder blot de samme forhold igen.
- At nøjes med en retest, når fundet peger bredere · en systematisk svaghed kræver et bredere scope.
- At lade den faste plan styre alene · et alvorligt resultat kan kræve en anden rækkefølge.
- At glemme ændringerne fra selve rettelserne · nye løsninger kan rumme nye svagheder.
- At bestille uden et konkret spørgsmål · formulér, hvad den næste test skal vise.
Hvad kan og ikke kan konkluderes
En retest kan vise, om bestemte alvorlige fund stadig kan påvises efter rettelsen. Den kan ikke vise, at systemet nu er uden andre svagheder. En ny test kan give et nyt billede inden for sit scope, men den beskriver også kun systemet, som det så ud i testperioden.
At næste test finder færre alvorlige forhold, kan tyde på forbedring. Det kan også skyldes et andet scope eller en anden tilgang, så sammenligningen skal læses med forsigtighed.
Tjekliste før næste test bestilles
- ☐ Er det afgjort, om der er brug for retest, ny test eller begge dele?
- ☐ Er de rettelser, der knytter sig til de alvorlige fund, gennemført?
- ☐ Er det vurderet, om fundene peger på bredere svagheder?
- ☐ Er ændringer siden testen noteret?
- ☐ Er spørgsmålet til den næste test formuleret?
- ☐ Er den faste testplan vurderet igen?
- ☐ Er kunders eller andres krav til tidspunktet afklaret?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Hvor ofte skal I teste? · Fremskridt fra test til test
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
