Penetrationstest eller IT‑sikkerhedsaudit: hvilket spørgsmål skal besvares?

Ledelsen vil vide, om sikkerheden er i orden, og nogen skal nu vælge mellem en audit og en penetrationstest. Valget hviler på spørgsmålet: en audit undersøger, om virksomheden har styr på sine politikker, processer og kontroller, mens en penetrationstest undersøger, hvad der faktisk kan lade sig gøre i udvalgte systemer.

De to ord bliver ofte brugt løst. En leverandør kan kalde en gennemgang af indstillinger for en audit, og en anden kan kalde en automatisk scanning for en test. Se derfor bag navnet. Det afgørende er, hvad der bliver undersøgt, hvordan det bliver undersøgt, og hvad rapporten kan bruges til bagefter.

En audit ser på styringen

En IT-sikkerhedsaudit sammenligner virksomhedens måde at arbejde på med et sæt krav. Kravene kan komme fra en standard, fra en kunde, fra en lov eller fra virksomhedens egne politikker. Auditoren læser dokumenter, taler med medarbejdere og ser på, om de beskrevne kontroller bliver udført.

Spørgsmålene lyder typisk sådan: Har virksomheden en oversigt over sine systemer? Er det beskrevet, hvem der må give adgang til ERP-systemet? Bliver adgange gennemgået? Er der en plan for, hvad der sker ved en hændelse? Er der en ansvarlig for opdateringer? Svarene viser, om styringen er på plads, og hvor der mangler noget.

En audit kan omfatte stikprøver, fx en kontrol af, om en fratrådt medarbejders konto faktisk er lukket. Men den forsøger normalt ikke at bryde igennem systemerne. Den måler processer og dokumentation, ikke modstandskraft over for et angreb.

En penetrationstest ser på systemerne

En penetrationstest tager et aftalt område, fx kundeportalen eller kontornettet, og afprøver det i praksis. Testeren undersøger, om svagheder kan udnyttes, og hvad det i givet fald fører til. Resultatet er påviste forhold under beskrevne betingelser.

Spørgsmålene er mere konkrete: Kan en kunde i portalen se en anden kundes oplysninger? Kan en bruger på gæstenettet nå servere på kontornettet? Kan en almindelig medarbejder få adgang til økonomidelen af ERP-systemet? Svarene viser, om de tekniske forsvar holder i det testede område. → Sårbarhedsscanning, sikkerhedstjek eller penetrationstest?

Testen siger derimod ikke meget om, hvorvidt virksomheden har en god proces for at give og fjerne adgange, eller om der findes en plan for næste hændelse. Den viser et øjebliksbillede af teknikken.

Hvilket spørgsmål har I?

Begynd med den beslutning, resultatet skal bruges til. Det gør valget meget lettere.

Kommer kravet fra en standard eller en certificering? · Så er det ofte styringen, der skal dokumenteres, og en audit er det naturlige udgangspunkt. En test kan indgå som dokumentation for en enkelt kontrol. → Penetrationstest og standarder
Skal en ny webshop eller kundeportal åbne? · Så er spørgsmålet, om løsningen kan modstå forsøg på misbrug, og en penetrationstest giver det mest direkte svar.
Vil ledelsen have et samlet billede? · En audit kan give bredden. En test kan gå i dybden med de systemer, der betyder mest.
Beder en kunde om dokumentation? · Spørg kunden, hvad de vil se. Nogle vil have en testrapport for den løsning, de bruger. Andre vil se, at virksomheden har en styret sikkerhedsproces.

Når de to opgaver bruges sammen

En audit og en penetrationstest supplerer hinanden godt. Auditten kan pege på, hvor styringen er svag, og dermed hvor en test giver mest mening. Testen kan efterprøve, om det, der står i politikkerne, også holder i praksis.

Et eksempel: virksomhedens politik siger, at gæstenettet er adskilt fra kontornettet. En audit kan bekræfte, at politikken findes, og at driftsleverandøren har fået den. En penetrationstest kan afprøve, om adskillelsen faktisk virker. Hvis den ikke gør, er det både et teknisk fund og en oplysning om, at styringen ikke fangede problemet. → Fund og processer

Rækkefølgen kan vælges efter situationen. En audit først giver et overblik, der kan bruges til at afgrænse testen. En test først kan give konkrete fund, som auditten derefter kan spore tilbage til de processer, der burde have forhindret dem.

Teknisk gennemgang ligger imellem

Mellem audit og penetrationstest findes en tredje form: den tekniske gennemgang af opsætningen. Her ser en specialist på indstillinger, rettigheder og opbygning uden nødvendigvis at forsøge at udnytte noget. Den er mere teknisk end en audit og bredere, men mindre dybtgående, end en test er inden for sit område.

Valget mellem gennemgang og test er behandlet særskilt. → Penetrationstest eller teknisk gennemgang?

Det skal tilbuddet fortælle

Uanset om I vælger en audit, en test eller begge, skal tilbuddet beskrive opgaven så præcist, at I kan se, hvad I får. Det gælder især, når leverandører bruger ordene forskelligt.

For en audit bør tilbuddet sige, hvilke krav der måles op imod, hvilke afdelinger og processer der indgår, og om der tages stikprøver i systemerne. For en penetrationstest bør det sige, hvilke systemer og roller der testes, fra hvilket udgangspunkt, og hvad rapporten indeholder. Står der kun et navn på ydelsen og et antal dage, mangler grundlaget for at sammenligne. Bed om et eksempel på rapportens opbygning, hvis det er uklart, hvad I modtager til sidst. → Sammenlign tilbud på penetrationstest

Det skal I lade være med

At købe efter navnet · Spørg, hvad der konkret bliver undersøgt, og hvordan.
At bruge en audit som bevis for teknisk modstandskraft · En beskrevet kontrol er ikke det samme som en afprøvet kontrol.
At bruge en testrapport som bevis for god styring · Få fund i kundeportalen siger ikke, at adgangsstyringen i ERP-systemet virker.
At gætte på, hvad kunden vil have · Spørg, om de efterspørger en testrapport, en gennemgang af processer eller begge.
At lade de to rapporter leve hver for sig · Fund fra testen bør kobles til de processer, auditten har set på.

Hvad kan og ikke kan konkluderes

En audit kan vise, om virksomhedens politikker, processer og kontroller svarer til de valgte krav på gennemgangstidspunktet. Den kan ikke vise, at systemerne modstår et konkret forsøg på misbrug.

En penetrationstest kan vise, hvad der kunne opnås i det testede område under de aftalte betingelser. Den kan ikke vise, at virksomhedens sikkerhedsarbejde som helhed er velstyret, og den er ikke en certificering. Ingen af de to lover overholdelse af en lov eller en standard. → Sådan læser I en pentestrapport

Tjekliste til valget

☐ Er det skrevet ned, hvilken beslutning resultatet skal bruges til?
☐ Ved I, om kravet handler om styring, teknik eller begge dele?
☐ Har I spurgt kunden eller standarden, hvilken dokumentation der forventes?
☐ Er det klart, hvilke systemer en test skal omfatte?
☐ Er det aftalt, hvordan fund fra den ene opgave bruges i den anden?
☐ Har tilbuddet beskrevet metoden, ikke kun navnet på ydelsen?

Kilder

ISO/IEC 27001: krav til ledelsessystemer for informationssikkerhed, som en audit ofte måles op imod.
NIST SP 800-115, kapitel 2: forskellen mellem gennemgang og test og deres begrænsninger.

Senest gennemgået: oktober 2026.