Bureauer og konsulenthuse med adgang til kunders systemer

Penetrationtest: opslagsværk om penetrationstest på dansk

Et webbureau med administratoradgang til kundernes hjemmesider, et marketingbureau med adgang til annoncekonti eller et konsulenthus med fjernadgang til kundens ERP-system har noget til fælles: en svaghed hos bureauet kan blive en vej ind til kunderne. En penetrationstest af bureauets eget miljø bør derfor tage udgangspunkt i de adgange, bureauet har til kundernes systemer, og ikke kun i bureauets egen hjemmeside og kontornet.

Det korte svar er, at bureauet kan og bør teste sit eget miljø med kundeadgangene som omdrejningspunkt, men at kundernes systemer kun kan indgå, hvis kunderne selv har givet tilladelse. Grænsen mellem de to er grundlaget for resten.

Jeres adgang er kundens indgang

For kunden er bureauet en leverandør med adgang. Hvis en medarbejderkonto hos bureauet bliver misbrugt, kan den, der har overtaget kontoen, potentielt nå de samme kundesystemer som medarbejderen. Jo flere kunder bureauet har adgang til fra samme sted, jo større betydning får bureauets egen sikkerhed.

Kunder, der tænker over deres leverandører, vil ofte spørge til netop dette. De vil vide, hvordan bureauet beskytter de adgange, det har fået, og hvem hos bureauet der kan bruge dem. Kundens perspektiv er beskrevet i → Leverandørers fjernadgang til jeres systemer.

For bureauet er det en grund til at se på sit eget miljø med kundens øjne. Spørgsmålet er ikke kun, om bureauets hjemmeside er sikker, men om de steder, hvor kundeadgangene opbevares og bruges, er beskyttet.

Hvad en test af bureauet kan belyse

En test af bureauets eget miljø kan omfatte de systemer, hvor medarbejderne arbejder, og de steder, hvorfra der er adgang til kunder. Det kan være den fælles løsning, hvor adgangsoplysninger opbevares, fildeling med kundemateriale, mail og de konti, medarbejderne logger ind med.

Et relevant spørgsmål kan være: Hvis en uvedkommende får fat i én medarbejders konto, hvor mange kunders systemer kan så nås? Svaret siger noget om, hvordan adgangene er fordelt, og om medarbejdere har adgang til flere kunder, end deres opgaver kræver. Det er et bestillingsspørgsmål, ikke en beskrivelse af, hvordan testen gennemføres.

Login med flere faktorer på de konti, der giver adgang til kunder, er et område, en test kan sige noget om, hvis det er med i opgaven. → Tofaktorlogin i testen

Fildeling er et andet område. Bureauer deler ofte materiale med kunder via links og fælles mapper. Hvis en mappe med én kundes materiale kan nås af en anden kunde, er det et fund, som begge kunder vil have interesse i. → Fildeling og samarbejdsværktøjer

Kundernes systemer kræver kundernes ja

Det er fristende at lade testen omfatte kundernes hjemmesider eller konti, fordi bureauet alligevel har adgang til dem. Men adgang er ikke det samme som tilladelse til at teste. Det er kunden, der ejer eller råder over systemet, og kunden skal give samtykke til en penetrationstest. → Er en penetrationstest lovlig?

Hvis bureauet vil teste en løsning, det har udviklet til en kunde, skal kunden derfor spørges, og omfanget skal aftales. Ofte vil kunden selv være den rette bestiller, så resultatet tilhører kunden og ikke kun bureauet.

Bureauets eget miljø kan testes uden kundernes tilladelse, så længe testen holder sig inden for bureauets egne systemer. Testeren må ikke bruge de kundeadgange, der findes i bureauets miljø, til at gå videre ind hos kunderne. Det skal stå tydeligt i opgavebeskrivelsen.

Hvis testeren undervejs finder kundeadgange, der er dårligt beskyttet, skal fundet dokumenteres som et forhold i bureauets miljø. Det skal ikke bruges til at afprøve, hvad adgangen giver hos kunden. Aftal på forhånd, hvordan sådan et fund meldes, og hvem hos bureauet der tager stilling til, om de berørte kunder skal orienteres, og om adgangen skal skiftes med det samme.

Når kunden beder om dokumentation

Kunder kan stille krav til bureauets sikkerhed i kontrakten eller bede om dokumentation, før de giver adgang. En rapport fra en test af bureauets miljø kan være et svar, men den indeholder ofte oplysninger, der ikke bør deles med alle kunder. → Kontrakten med en kunde kræver sikkerhedstest

En testerklæring eller et resumé, der beskriver omfang, tidspunkt og overordnet resultat, kan være en løsning. Det skal aftales med testeren, før testen begynder, hvis en sådan erklæring ønskes. → Testerklæring til kunder

Vær præcis i, hvad erklæringen siger. En test af bureauets eget miljø siger ikke noget om de løsninger, bureauet har udviklet til kunderne, medmindre de var med.

Adgange, der skal lukkes

Bureauer arbejder ofte med kunder i projekter. Når et projekt slutter, eller en kunde stopper, skal bureauets adgang til kundens systemer lukkes. Det sker ikke altid. Tilsvarende skal en medarbejder, der stopper hos bureauet, miste sin adgang til alle kunder.

En test kan vise, om der på testtidspunktet fandtes adgange, der burde have været lukket, hvis det indgår i opgaven. Den kan ikke erstatte en fast rutine for at lukke adgange. Bureauet bør have en oversigt over, hvilke adgange det har til hvilke kunder, og hvem der bruger dem. Oversigten er nyttig både før testen og som svar til kunder, der spørger.

Det skal I lade være med

At teste kun hjemmesiden og kontornettet · kundeadgangene er det, kunderne bekymrer sig om.
At teste kundernes systemer uden deres ja · adgang er ikke tilladelse.
At lade testeren bruge kundeadgange · testen skal stoppe ved jeres egne systemer.
At give alle medarbejdere adgang til alle kunder · det øger betydningen af hver enkelt konto.
At sende hele rapporten til kunderne · aftal en erklæring eller et resumé.
At lade gamle kundeadgange stå åbne · en afsluttet kunde skal ikke kunne nås fra bureauet.

Hvad kan og ikke kan konkluderes

En test af bureauets miljø kan vise, hvordan de systemer, hvor kundeadgangene opbevares og bruges, holdt under testen, og hvor mange kunder et fund kunne berøre. Den siger ikke noget om kundernes egne systemer eller om løsninger, bureauet har udviklet, som ikke indgik.

At bureauet har testet sit miljø, er et grundlag for at forbedre det og et muligt svar til kunder. Kundernes egen sikkerhed er ikke vurderet. Og resultatet beskriver bureauets miljø og kundeadgange, som de så ud i testperioden. Nye kunder og nye adgange ændrer billedet.