Fortrolighedsaftale før penetrationstesten

En penetrationstest giver testeren indsigt i jeres systemer, svagheder og ofte også data, som ikke må komme videre. En fortrolighedsaftale, også kaldet NDA, fastlægger, hvad testeren må bruge oplysningerne til, hvem der må se dem, og hvad der sker med dem bagefter.

Svaret på, om I skal have en NDA, er som udgangspunkt ja, hvis aftalen om testen ikke allerede dækker fortroligheden tilstrækkeligt. Det vigtige er ikke dokumentets titel, men at de oplysninger, der opstår under en test, er dækket. Teksten er ikke juridisk rådgivning; lad den, der står for jeres aftaler, vurdere den konkrete formulering.

NDA eller kontraktens fortrolighedsafsnit

Fortrolighed kan aftales i en særskilt NDA eller som et afsnit i kontrakten om testen. En særskilt NDA er praktisk, hvis I skal dele oplysninger, før kontrakten er på plads, for eksempel når flere leverandører skal give tilbud ud fra en detaljeret opgavebeskrivelse. → Opgavebeskrivelsen

Når kontrakten senere underskrives, bør det være klart, hvordan de to dokumenter hænger sammen. Gælder NDA’en fortsat, eller erstattes den af kontraktens bestemmelser? Uklarhed om det kan give tvivl, hvis der senere opstår uenighed. → Kontrakten om penetrationstesten

Spørg testeren tidligt, om en NDA kan underskrives, og hvem der skal underskrive. Hvis I selv har en standardaftale, så tjek, om den er skrevet til en opgave, hvor modparten får adgang til jeres systemer. En aftale, der er beregnet til almindelige forhandlinger, nævner sjældent adgangsoplysninger, fund eller arbejdsmateriale.

Nielco IT underskriver fortrolighedsaftale på forespørgsel.

Hvad der skal være fortroligt

Aftalen bør beskrive, hvilke oplysninger der er omfattet. Ved en penetrationstest er det typisk mere end almindelige forretningsoplysninger:

Opgavebeskrivelsen · systemer, adresser, roller og forhold om driften.
Adgangsoplysninger · testkonti, adgangskoder og andre midler til adgang.
Fund · svagheder, der er fundet, også dem der ikke kommer med i rapporten.
Data · oplysninger, testeren har set eller hentet som dokumentation.
Rapporten · selve leverancen og eventuelle bilag.
Arbejdsmateriale · noter, skærmbilleder og logfiler fra testen.

Fund og arbejdsmateriale er særligt vigtige. De beskriver præcis, hvor jeres systemer er sårbare, og kan være mere følsomme end selve rapporten. → Testkonti og testdata

Formål og videregivelse

Oplysningerne bør kun måtte bruges til den aftalte opgave. Det udelukker ikke, at testeren kan bruge generel faglig erfaring fra opgaven, men konkrete oplysninger om jeres systemer må ikke bruges i andre sammenhænge, for eksempel i præsentationer eller over for andre kunder.

Aftalen bør også sige, hvem hos testeren der må få adgang. Hvis testeren bruger underleverandører eller tilknyttede konsulenter, skal de være omfattet af samme forpligtelser. Bed om at få oplyst, hvem der faktisk udfører arbejdet. → Krav til en penetrationstester

Der kan være situationer, hvor testeren er forpligtet til at videregive oplysninger, for eksempel efter lov eller påbud fra en myndighed. Aftalen kan indeholde en undtagelse for sådanne tilfælde, gerne med pligt til at orientere jer, hvor det er muligt.

Opbevaring, sletning og varighed

Aftalen bør beskrive, hvordan materiale opbevares under testen, og hvad der sker bagefter. Skal testeren slette alt arbejdsmateriale, når rapporten er afleveret, eller beholde en kopi i en periode for at kunne besvare spørgsmål og gennemføre en kontrol af rettelser? Begge dele kan være fornuftigt, men det skal være aftalt.

Skriv også, hvordan sletning bekræftes. En kort skriftlig bekræftelse fra testeren er nok i mange tilfælde. Ved opgaver med særligt følsomme data kan der være behov for mere. → Opbevaring af rapporten

Fortroligheden bør gælde ud over selve testperioden. Hvor længe, er en aftale mellem parterne og bør passe til, hvor længe oplysningerne er følsomme. Svagheder, der ikke er rettet, kan være følsomme i lang tid. Selv rettede svagheder kan sige noget om, hvordan jeres systemer er bygget, og hvor I tidligere har haft problemer.

Personoplysninger og jeres egne forpligtelser

Hvis testeren kan komme i kontakt med personoplysninger, rækker en NDA ikke nødvendigvis til at opfylde jeres forpligtelser efter databeskyttelsesreglerne. Det er en særskilt vurdering, som den, der har ansvaret for databeskyttelse hos jer, bør foretage. Datatilsynet har vejledning om behandling af personoplysninger. → Hvem skal involveres internt før testen?

Tænk også på jeres egne forpligtelser over for andre. Hvis kundeportalen indeholder kunders oplysninger, eller hvis jeres aftaler med kunder eller leverandører kræver fortrolighed, kan det påvirke, hvad testeren må se, og hvad I må dele med testeren.

Ensidig eller gensidig aftale

En NDA kan være ensidig, så kun testeren forpligter sig, eller gensidig, så begge parter gør. Ved en penetrationstest er det typisk jeres oplysninger, der er mest følsomme, og derfor er testerens forpligtelser det centrale. Men testeren kan også dele oplysninger med jer, for eksempel om sin metode eller sine arbejdsgange, som testeren ønsker beskyttet.

En gensidig aftale er ikke i sig selv dårligere for jer. Det afgørende er, at testerens forpligtelser er tilstrækkeligt beskrevet, og at aftalen ikke begrænser jeres mulighed for at bruge rapporten, som I har behov for. Hvis rapporten skal deles med kunder, revisorer eller en driftsleverandør, skal aftalen ikke stå i vejen for det. → Deling af pentestrapport

Hvis testeren foreslår sin egen standardaftale, så læs den med de samme spørgsmål for øje. En standardaftale kan være fin, men den er skrevet til mange slags opgaver og dækker ikke nødvendigvis de særlige forhold ved en test.

Det skal I lade være med

At lade NDA’en dække forretningsoplysninger, men ikke fund · svagheder og arbejdsmateriale er det mest følsomme.
At glemme underleverandører · alle, der udfører arbejde, skal være omfattet.
At vente med NDA’en til kontrakten · oplysninger deles ofte allerede i tilbudsfasen.
At udelade sletning og opbevaring · uden aftale er det uklart, hvad der sker med materialet.
At tro, at en NDA løser alle spørgsmål om persondata · det kræver en særskilt vurdering.
At lade to dokumenter stå uafklaret ved siden af hinanden · beslut, hvilket der gælder.

Hvad kan og ikke kan konkluderes

En fortrolighedsaftale fastlægger, hvad testeren har forpligtet sig til. Den forhindrer ikke i sig selv, at oplysninger slipper ud, men den giver et grundlag at henvise til og gør forventningerne tydelige for begge parter.

En NDA siger heller ikke noget om testerens faglige kvalitet eller om, hvordan materialet faktisk beskyttes i praksis. Spørg derfor også til den konkrete håndtering af data og rapport. Hvor opbevares materialet, hvem har adgang til det, og hvordan sendes rapporten til jer? Svarene siger mere om den faktiske beskyttelse end aftalens ordlyd.