Penetrationstest i produktion eller testmiljø: hvad kan resultatet bruges til?

En penetrationstest i et testmiljø besvarer ikke automatisk de samme spørgsmål som en test af den løsning, virksomheden bruger i driften. Valget skal bygge på undersøgelsens formål, hensynet til driften og de relevante forskelle mellem miljøerne.

Forestil jer en webshop med en kopi til udvikling og test. Kopien ligner butikken, men kan have andre brugerroller, færre funktioner eller en anden forbindelse til ERP-systemet. Den kan være et relevant grundlag for nogle spørgsmål og et utilstrækkeligt grundlag for andre. Derfor er miljøvalget en del af bestillingen, ikke blot en praktisk oplysning til testeren.

Hvilket spørgsmål skal miljøet give svar på?

Start med den beslutning, undersøgelsen skal understøtte. Hvis virksomheden vil have vurderet en ny funktion i kundeportalen før ibrugtagning, kan et testmiljø være relevant. Hvis spørgsmålet handler om forhold i den aktuelle drift, kræver svaret et grundlag, der faktisk beskriver disse forhold.

Undgå at vælge miljø alene efter, hvor det er lettest at give adgang. En kopi af ERP-systemet kan være tilgængelig, men mangle den rollefordeling, som bestillingen skal have vurderet. Så er den lette adgang ikke nok til at gøre miljøet egnet.

Skriv derfor, hvilke egenskaber der er nødvendige for svaret. Ved webshoppen kan det være kundetyper, ordrefunktioner og forbindelser til andre tjenester. Listen hjælper med at vurdere valget uden at kræve, at alle dele af miljøerne er ens. → Scope i en penetrationstest

Hvad kan produktionen belyse?

Produktion er det miljø, virksomheden anvender til de pågældende opgaver. For webshoppen er det den løsning, kunderne bruger til at bestille. En undersøgelse her kan tage udgangspunkt i de faktiske forhold, som den aftalte test omfatter.

Det gør ikke produktion til et ubetinget bedre valg. Undersøgelsen kan være begrænset af hensyn til drift, oplysninger eller bestemte funktioner. En rapport om den aktive kundeportal skal stadig vise, hvilke dele der blev undersøgt, og hvad der måtte holdes udenfor.

Vurder også, hvilket udgangspunkt opgaven kræver. En test i produktionen kan have udleverede kundekonti eller et andet aftalt adgangsniveau. Miljøet og testens perspektiv er forskellige valg, som skal kunne læses hver for sig. → Ekstern eller intern penetrationstest

Hvad kan et testmiljø belyse?

Et testmiljø kan gøre det muligt at undersøge udvalgte dele uden at bruge den aktive løsning direkte. Ved en ny kundeportal kan det være en udgave med de planlagte funktioner og aftalte testroller. Beskriv, hvilke dele der er repræsentative for den senere drift.

En kopi er ikke nødvendigvis en fuldstændig kopi. Den kan være oprettet på et andet tidspunkt eller til et andet formål end sikkerhedsundersøgelsen. For ERP-systemet kan det være vigtigt, om afdelingernes roller og de relevante arbejdsopgaver faktisk findes i miljøet.

NIST SP 800-115, afsnit 6.3 behandler valget mellem produktion og tilsvarende testmiljøer som en afvejning af blandt andet driftsvirkning, oplysninger og lighed mellem miljøerne. For køberen betyder det, at webshopkopiens anvendelighed skal begrundes med den konkrete opgave, ikke med betegnelsen testmiljø alene.

Sammenlign de forskelle, der betyder noget

Lav en kort oversigt over relevante forskelle. Den bør kunne læses af systemejer, leverandør og tester. Ved kundeportalen kan følgende forhold være værd at afklare:

Udgave og funktioner · er de funktioner, undersøgelsen gælder, de samme som i den løsning, der skal vurderes?
Roller og adgang · repræsenterer testkontiene de kundetyper og medarbejdere, spørgsmålet handler om?
Oplysninger · findes de nødvendige typer data og relationer til at forstå de omfattede funktioner?
Forbindelser · hvilke integrationer svarer til driften, og hvilke er erstattet eller udeladt?
Beskyttelse og indstillinger · hvilke kendte forskelle kan have betydning for resultatets rækkevidde?

Oversigten skal ikke være et krav om, at alt gøres identisk. Den skal vise, hvilke forskelle der påvirker det svar, virksomheden ønsker. En oplysning om, at webshoppen har en anden betalingsforbindelse i testmiljøet, kan eksempelvis være afgørende for fortolkningen af netop den del.

Testdata og arbejdsopgaver skal passe sammen

Oplysningerne i testmiljøet skal vurderes i forhold til de funktioner, der skal undersøges. En kundeportal med kun tomme konti giver ikke samme grundlag for et spørgsmål om adskillelse af ordrehistorik som et miljø med relevante, aftalte testoplysninger.

Det er samtidig ikke et argument for ukritisk at bruge virkelige kundedata. Beskriv behovet for oplysninger, og afklar håndteringen som del af opgaven. Ved ERP-systemet kan det være relationen mellem afdelinger, kunder og ordrer, som er vigtig for undersøgelsen, frem for konkrete personers indhold.

Lad systemejeren forklare de tilsigtede arbejdsopgaver. Hvis webshoppen i testmiljøet springer en vigtig del af ordrebehandlingen over, skal betydningen vurderes. Det handler om, hvorvidt miljøet giver grundlag for spørgsmålet, ikke blot om siden kan åbnes i en browser. → Penetrationstest af webapplikationer

Integrationer kan flytte grænsen for miljøet

En løsning kan være placeret i et testmiljø og stadig have forbindelser til systemer udenfor. Kundeportalen kan eksempelvis være en kopi, mens en forbindelse til ERP-systemet har sit eget formål og sine egne rammer. Navnet på portalen fortæller ikke alene, hvordan hele sammenhængen er afgrænset.

Få derfor de relevante forbindelser beskrevet af dem, der kender løsningen. Det skal være synligt, hvad undersøgelsen omfatter, og hvilke forudsætninger der gælder for de tilknyttede tjenester. Undgå at lade udtrykket kun testmiljø erstatte en oversigt over de dele, der kan blive berørt.

Den praktiske afklaring af tilladelser, udbyderregler, kontakt og stop hører til i → Før penetrationstesten. Her er pointen at vælge og beskrive det rigtige grundlag for testen. I den samlede plan bør miljøet være afklaret før selve undersøgelsen. → Penetrationstest fra start til slut

Rapporten skal skelne mellem miljøerne

Det skal være let at finde, hvilket miljø undersøgelsen gjaldt. Ved webshoppen bør rapportens resumé ikke give indtryk af en test af driften, hvis arbejdet kun omfattede en afgrænset kopi. Væsentlige forskelle skal kunne ses uden en mundtlig forklaring.

En konklusion om testmiljøet kan være nyttig, men forbindelsen til produktionen skal begrundes. Spørg, hvilke kendte forskelle der har betydning for de konkrete fund og for spørgsmål, som ikke kunne vurderes. → Sådan læser I en pentestrapport

Det gælder også efter rettelser. En ændring af kundeportalen kan først være kontrolleret på kopien. Resultatet skal så beskrive netop den kontrol og ikke automatisk fremstilles som en vurdering af den ændrede drift. → Retest efter penetrationstest

Ved en senere overførsel til produktion skal projektet kunne forklare, hvilken undersøgelse beslutningen bygger på. Hvis webshoppen på det tidspunkt har andre funktioner eller forbindelser end den undersøgte udgave, er forskellen relevant. Et fælles versionsnavn bør ikke være den eneste begrundelse for at behandle miljøerne som tilsvarende.

Sammenlign tilbud på samme miljøgrundlag, når dokumentationen skal bruges til samme beslutning. → Sammenlign tilbud på penetrationstest

Det skal I lade være med

At vælge efter miljøets navn. En kundeportal mærket test kan have vigtige forskelle eller forbindelser til driften.
At gøre en kopi til et løfte om samme resultat. Relevante forskelle i ERP-roller og funktioner skal være forklaret.
At antage, at produktion giver fuld dækning. Hensyn til webshopdriften kan begrænse den aftalte undersøgelse.
At bruge virkelige oplysninger uden at afklare behovet. Relevante testdata og beskyttelse af indhold skal vurderes konkret.
At sende rapporten videre uden miljøoplysningen. Modtageren skal kunne forstå, hvilken løsning konklusionen faktisk vedrører.

Forhåndsviden og udleveret adgang skal beskrives uanset miljøvalget. → Black box, grey box og white box

Hvad kan og ikke kan konkluderes

Resultatet kan dokumentere forhold i det miljø og under de betingelser, undersøgelsen omfattede. En vurdering af webshopkopien kan bidrage til beslutningen om løsningen, men siger ikke automatisk noget om forskelle, der kun findes i produktionen.

Omvendt er en test af den aktive kundeportal ikke bevis for, at alle funktioner eller brugerroller blev undersøgt. Det skal fremgå af rapporten, hvilken dækning der faktisk blev opnået. Produktionsadressen alene er ikke en beskrivelse af undersøgelsens bredde.

Virksomheden bør derfor kende både dokumenterede fund og de ubesvarede spørgsmål. Hvis ERP-integrationen var udeladt, kræver den en særskilt stillingtagen, når resultatet bruges. En tydelig begrænsning gør ikke rapporten værdiløs. Den gør det muligt at anvende den inden for det område, der er belyst.

Tjekliste til miljøvalget

☐ Beskriv den beslutning, resultatet skal bidrage til.
☐ Angiv, hvilket miljø og hvilken relevant udgave der undersøges.
☐ Kontrollér, at de nødvendige funktioner og roller indgår.
☐ Få væsentlige forskelle fra driften forklaret.
☐ Afklar testoplysninger og repræsentative arbejdsopgaver.
☐ Beskriv forbindelser til andre systemer og tredjeparter.
☐ Vurdér betydningen af hensynet til drift og følsomt indhold.
☐ Kræv, at rapporten viser miljø, begrænsninger og åbne spørgsmål.

Kilder

NIST SP 800-115, afsnit 6.3: hensyn ved valg mellem produktion og tilsvarende testmiljøer, herunder driftsvirkning, oplysninger og relevante forskelle.

Senest gennemgået: oktober 2026.