Hvor ofte skal I have en penetrationstest?

En penetrationstest viser sikkerheden på det tidspunkt, testen blev lavet. Allerede ugen efter kan billedet være et andet, fordi systemer opdateres, nye fejl bliver kendt, og angribernes værktøjer bliver bedre.

En test er derfor ikke noget, man gør én gang. Spørgsmålet er, hvor ofte, og hvad der skal til, før det er tid igen.

Et fast interval

Mange vælger en årlig test af de vigtigste systemer. Nogle standarder kræver det. PCI DSS kræver intern og ekstern penetrationstest mindst hver 12. måned og efter væsentlige ændringer (krav 11.4). Står I ikke under et sådant krav, kan intervallet sættes efter risiko.

Ændringer, der bør udløse en test

Det faste interval er et minimum. En ny test giver mening, når:

Systemer skiftes · et nyt ERP, en ny webshop, en ny kundeportal.
Infrastrukturen ændres · nyt netværk, ny firewall, flytning til cloud.
Leverandøren skiftes · ny IT-leverandør eller nyt hostingfirma.
Udstyret skiftes · for eksempel nye arbejdstelefoner eller nye bærbare med en anden opsætning.
Noget er sket · en hændelse eller et nær-uheld.

Risiko og økonomi

Hvor meget, der står på spil, påvirker også intervallet. En virksomhed, der håndterer store beløb eller følsomme data, har mere at miste end en, der ikke gør. Et mindre budget er ikke en grund til at undlade testen, men intervallet kan blive længere, og testen kan fokusere på det vigtigste.

Omfanget behøver ikke være det samme hver gang

Testen kan skrues op og ned. Er arbejdstelefonerne og politikkerne uændrede siden sidst, behøver de måske ikke testes igen. Er kundeportalen ny, skal den med. Omfanget vurderes fra gang til gang. → Scope i en penetrationstest

Retest er ikke en ny test

Når fundene fra en test er rettet, kan rettelserne efterprøves. Det kaldes en retest. Den viser, om de konkrete huller er lukket, men den tester ikke systemerne bredt igen.