Når testen er slut, ligger der materiale flere steder: rapporten hos jer og måske hos leverandører og kunder, arbejdsnoter og dokumentation hos testeren og testdata i jeres egne systemer. Alt sammen kan sige noget om, hvor jeres systemer er sårbare. Svaret på, hvordan det skal håndteres, hviler på to spørgsmål: hvad skal materialet bruges til fremover, og hvem har brug for adgang i mellemtiden.
Det, der skal bruges, opbevares med begrænset adgang, så længe formålet varer. Det, der ikke længere har et formål, slettes på en måde, der kan dokumenteres. Reglen er enkel, men den kræver, at nogen tager stilling til hvert sted, materialet findes.
Tre slags materiale, tre ejere
Rapporten er jeres. Den er grundlaget for handlingsplanen og dokumentationen over for kunder, revisorer og ledelse. I bestemmer, hvor den ligger, og hvem der har adgang.
Testerens arbejdsmateriale er noter, logfiler, skærmbilleder og eventuelle data, testeren har hentet under testen for at dokumentere et fund. Det ligger hos testeren, og hvad der sker med det, skal stå i aftalen. → Fortrolighedsaftale før penetrationstesten
Testdata er det, der er oprettet i jeres egne systemer for at gennemføre testen: testkonti, testordrer, uploadede filer og ændrede indstillinger. De skal fjernes eller nulstilles, når testen er slut. En testkonto, der bliver liggende med de rettigheder, den fik til testen, er i sig selv en svaghed. Hvordan oprydningen i systemerne aftales, er beskrevet i → Testkonti og adgange efter testen
Hvor rapporten skal ligge
Vælg ét sted til den gældende udgave af rapporten, og giv kun adgang til navngivne personer. Et dokumentarkiv eller et sagssystem med adgangsstyring er bedre end en mappe på et fællesdrev eller en tråd i mailen. Rapporten bør ikke ligge i flere kopier, som ingen har overblik over.
Opbevar rapporten sammen med de dokumenter, der giver den mening: opgavebeskrivelsen, aftalt scope, handlingsplanen og resultater af efterprøvninger. Når nogen senere skal bruge rapporten, er det sammenhængen, der gør den forståelig.
Hold udkast og den endelige udgave adskilt. Et udkast kan indeholde vurderinger, der blev ændret efter afslutningsmødet. Hvis udkastet ligger side om side med den endelige rapport, kan en læser komme til at bruge den forkerte. Slet udkast, når den endelige rapport er godkendt, medmindre der er en særlig grund til at gemme dem.
Hvem der skal have adgang
Adgangen følger opgaven. Den, der koordinerer opfølgningen, og den IT-ansvarlige har brug for hele rapporten, mens systemejere og leverandører typisk kun skal have de fund, de skal rette. → Deling af pentestrapporten
Gennemgå adgangen med faste mellemrum og især, når personer skifter rolle eller fratræder, og når en leverandør udskiftes. En adgang, der var rimelig under opfølgningen, er ikke nødvendigvis rimelig et år efter.
Tænk også på administratorer. Den, der driver dokumentarkivet, kan teknisk set have adgang til alt, også rapporten. Hvis arkivet drives af en ekstern leverandør, bør det fremgå af aftalen, at leverandøren ikke læser indholdet, og at adgangen er begrænset til driften.
Log gerne, hvem der åbner rapporten. Det kræver ikke noget særligt, hvis jeres dokumentsystem allerede registrerer adgang, og det gør det muligt at svare, hvis nogen senere spørger, hvem der har set den.
Hvor længe rapporten skal gemmes
Der er ingen fast periode, der gælder alle rapporter. Opbevaringen bør afhænge af, hvad rapporten fortsat skal bruges til. Den kan være dokumentation over for kunder, grundlag for at sammenligne med senere test eller en del af jeres dokumentation over for en revisor eller et certificeringsorgan. Hvis en kontrakt, en standard eller jeres egne politikker stiller krav, skal de følges.
Skriv formålet og den planlagte opbevaringsperiode ned, når testen er afsluttet. Så er det en beslutning og ikke en tilfældighed, at rapporten stadig findes efter flere år. → Fremskridt fra test til test
Når formålet er udløbet, kan rapporten slettes, eller den kan erstattes af et kort resumé med dato, scope og status på fund. Et resumé kan være nok til at vise, at testen fandt sted, uden at de tekniske detaljer opbevares unødigt.
Personoplysninger i rapport og testdata
Rapporten og testerens materiale kan indeholde personoplysninger, for eksempel brugernavne, mailadresser eller skærmbilleder med kunders oplysninger. Det gælder især, hvis et fund handler om adgang til data, der ikke burde være tilgængelige.
Hvor der er personoplysninger, gælder databeskyttelsesreglerne, herunder at oplysninger ikke bør opbevares længere end nødvendigt. Datatilsynet har vejledning om reglerne. Overvej, om personoplysninger kan sløres i rapporten, så rapporten kan gemmes længere end de oplysninger, den indeholder. Teksten er ikke juridisk rådgivning. → Bevis for fundet
Testerens kopi og sletning
Aftal i forvejen, hvad testeren skal gøre med arbejdsmaterialet, når opgaven er slut. Det kan være at slette det med det samme eller at gemme det i en aftalt periode, så testeren kan besvare spørgsmål og gennemføre en efterprøvning af rettelser. Begge løsninger kan være rimelige.
Bed om en skriftlig bekræftelse, når materialet er slettet. Notér datoen sammen med rapporten. Hvis testeren har gemt data fra jeres systemer, for eksempel uddrag af kundedata som dokumentation for et fund, bør det fremgå, hvornår og hvordan det er slettet.
Det samme gælder leverandører og kunder, der har fået uddrag eller hele rapporten. Når deres formål er opfyldt, bør de slette materialet, og det bør være aftalt på forhånd. Brug listen over modtagere fra delingen som udgangspunkt, så ingen kopi bliver glemt, når I beder om sletning.
Det skal I lade være med
- At lade rapporten ligge i mailen · Én adgangsstyret placering giver overblik.
- At gemme udkast ved siden af den endelige rapport · Det skaber tvivl om, hvilken udgave der gælder.
- At glemme testdata i systemerne · Testkonti og testfiler skal fjernes, når testen er slut.
- At gemme alt for altid · Opbevaring bør have et formål og en planlagt periode.
- At undlade at bede om bekræftelse på sletning · En skriftlig bekræftelse dokumenterer, at materialet er væk.
- At overse personoplysninger · De kan kræve, at materialet slettes eller sløres tidligere.
Hvad kan og ikke kan konkluderes
Faste regler for opbevaring og sletning kan begrænse, hvor længe og hvor mange steder detaljer om jeres svagheder findes. De gør det også lettere at finde den rigtige udgave, når rapporten skal bruges igen.
Reglerne kan ikke garantere, at alle kopier er væk. En bekræftelse fra testeren eller en leverandør er en erklæring, ikke en kontrol, I selv har udført.
Tjekliste til opbevaring og sletning
- ☐ Ligger den gældende rapport ét sted med adgangsstyring?
- ☐ Er udkast slettet eller tydeligt adskilt?
- ☐ Er testkonti og andre testdata fjernet fra systemerne?
- ☐ Er formål og planlagt opbevaringsperiode skrevet ned?
- ☐ Er personoplysninger i rapporten vurderet?
- ☐ Er der aftalt sletning hos testeren, og er den bekræftet?
- ☐ Gennemgås adgangen ved rolleskift og leverandørskift?
Kilder
- Datatilsynet: vejledning om behandling og opbevaring af personoplysninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Rapportens alder · Afslutningsmødet efter penetrationstesten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
