Et vikar- eller rekrutteringsbureau samler oplysninger om mennesker: ansøgninger, CV’er, referencer, timesedler og lønoplysninger. Oplysningerne bevæger sig mellem kandidatportal, kundeportal, rekrutteringssystem, lønsystem og mail. En penetrationstest bør derfor tage udgangspunkt i, hvor oplysningerne flyder, og hvem der kan se dem undervejs, frem for i ét system ad gangen.
Svaret på, hvad der skal testes, hviler på et kort over de oplysninger, bureauet håndterer, og de veje, de tager. Uden kortet risikerer testen at dække det synlige og overse de forbindelser, hvor data faktisk krydser fra én part til en anden.
Tegn datastrømmen først
Begynd med at følge en kandidat gennem bureauets systemer. Hvor kommer ansøgningen ind? Hvor gemmes CV’et? Hvem hos bureauet kan se det? Hvornår og hvordan bliver det delt med en kunde? Hvor ender timesedler og lønoplysninger, når kandidaten bliver vikar?
Et sådant kort viser de steder, hvor oplysningerne skifter hænder. Det er ofte her, de vigtigste spørgsmål til en test ligger: ved overgangen fra kandidatportalen til rekrutteringssystemet, ved delingen med kunder og ved overførslen til lønsystemet. → Integrationer mellem systemer
Tag også de uformelle veje med. Ansøgninger kan komme ind via jobopslag på andre sider, direkte på mail eller gennem en kollega. CV’er kan blive sendt til kunder som vedhæftede filer eller som links. De veje står sjældent i en systemoversigt, men de er en del af det billede, ledelsen skal tage stilling til, også selv om en penetrationstest ikke kan dække dem alle.
Kortet viser også, hvilke systemer bureauet selv råder over, og hvilke der drives af leverandører. Mange rekrutterings- og lønsystemer leveres som en tjeneste til mange bureauer. Så ligger beslutningen om en test hos leverandøren, og bureauet kan i stedet spørge, hvordan og hvornår systemet sidst blev testet.
Kandidatportalen er åben for alle
Kandidatportalen er typisk tilgængelig for alle, der vil søge. Kandidater opretter en profil, uploader dokumenter og opdaterer deres oplysninger. Det er en indgang, som bureauet ikke kan begrænse til kendte brugere.
Spørgsmål til en test kan være, om en kandidat kun kan se og ændre sine egne oplysninger, og om de dokumenter, der uploades, bliver håndteret, så de ikke kan nås af andre. Det er spørgsmål om adskillelse og om håndteringen af filer, som testeren kan undersøge under de aftalte forhold. → Login og adgangskoder
Hvis portalen er bygget på en platform med udvidelser, eller hvis den henter funktioner fra andre tjenester, skal det fremgå af opgaven, hvilke dele der er med.
Et særligt spørgsmål er, hvad der sker, når en kandidat lukker sin profil. Forsvinder dokumenterne fra portalen, eller kan de stadig nås? Testen kan belyse, hvordan portalen opførte sig på testtidspunktet, men reglerne for, hvor længe oplysningerne må gemmes, er bureauets egen beslutning og skal afklares uden for testen.
Kunder, der ser kandidater
Mange bureauer giver kunderne adgang til en portal, hvor de kan se foreslåede kandidater, godkende timesedler eller bestille vikarer. Her er adskillelsen mellem kunder et centralt spørgsmål. En kunde skal kun se de kandidater, der er foreslået til netop den kunde, og kun de oplysninger, der er nødvendige.
Testen kræver testkunder og testkandidater i de relevante roller. Mindst to kunder er nødvendige for at kunne undersøge, om den ene kan se den andens oplysninger. → Kunders oplysninger skal holdes adskilt
Brugere hos kunden kan have forskellige rettigheder. En leder skal måske godkende timesedler, mens en anden kun skal se kandidatprofiler. Rollerne skal beskrives, før testen begynder.
Overvej også, hvordan kundens brugere oprettes og fjernes. Når en kontaktperson hos kunden skifter job, skal adgangen til bureauets portal lukkes. Det er kundens og bureauets fælles rutine, og testen kan vise, om en bruger med ophørt tilknytning stadig havde adgang, hvis sådan en konto indgår i opgaven.
Konsulenter på farten
Bureauets egne konsulenter arbejder ofte ude hos kunder, til samtaler og hjemmefra. De har brug for adgang til kandidatdata fra mange steder. Det rejser spørgsmål om fjernadgang, om login med flere faktorer og om, hvad der ligger på de enheder, konsulenterne bruger. → Tofaktorlogin i testen
En test kan belyse, hvordan adgangen til systemerne er beskyttet udefra. Rutiner for, hvad konsulenter gemmer lokalt eller sender på mail, er derimod et spørgsmål om retningslinjer, som en test ikke kan løse alene. Hvis bureauet har filialer, skal det også afklares, om de bruger de samme systemer og den samme adgang, eller om de har lokale løsninger, der bør med.
Rigtige kandidater hører ikke hjemme i testen
Oplysninger om kandidater og vikarer er personoplysninger, og bureauet er ansvarligt for dem. Datatilsynets vejledning er et naturligt sted at begynde. Brug i testen så vidt muligt testkandidater, testkunder og opdigtede dokumenter frem for rigtige oplysninger. → Testkonti og testdata
Hvis testen skal foregå i produktion, skal det aftales, hvordan testkonti adskilles fra rigtige brugere, og hvordan de slettes bagefter. Det skal også aftales, hvad rapporten må indeholde. Et fund skal kunne dokumenteres uden at gengive oplysninger om rigtige personer. Teksten er ikke juridisk rådgivning.
Rapporten bør opbevares, så kun dem, der skal bruge den, har adgang. Den beskriver, hvor bureauets oplysninger kan være udsat, og bør ikke deles bredt. → Opbevaring og sletning af rapport og testdata
Det skal I lade være med
- At teste ét system uden at kende datastrømmen · de vigtigste spørgsmål ligger ofte i overgangene.
- At teste med kun én kunde · adskillelsen mellem kunder kan ikke undersøges uden mindst to.
- At bruge rigtige kandidater i testen · opdigtede profiler og dokumenter er at foretrække.
- At teste leverandørens system uden tilladelse · rekrutterings- og lønsystemer drives ofte af andre.
- At glemme konsulenternes fjernadgang · den er en del af vejen til kandidatdata.
- At lade testkonti stå efter testen · de skal slettes, når opgaven er afsluttet.
Hvad kan og ikke kan konkluderes
En test kan vise, om de portaler og forbindelser, der indgik, holdt adskillelsen mellem kandidater og kunder under testen. Den siger ikke noget om systemer, der ikke var med, og den løser ikke spørgsmål om samtykke, opbevaringstid eller konsulenternes arbejdsvaner.
Findes der ingen alvorlige fund i kandidatportalen, gælder det portalen i den testede udgave. Bureauets øvrige persondata er ikke dermed vurderet.
Tjekliste for bureauet
- ☐ Er datastrømmen fra ansøgning til løn tegnet op?
- ☐ Er det klart, hvilke systemer bureauet selv råder over?
- ☐ Er kandidatportal, kundeportal og deres roller beskrevet?
- ☐ Er der mindst to testkunder og flere testkandidater?
- ☐ Er konsulenternes fjernadgang med i overvejelsen?
- ☐ Bruges opdigtede data, og er sletning af testkonti aftalt?
- ☐ Er det aftalt, hvad rapporten må indeholde om personer?
Kilder
- Datatilsynet: vejledning om behandling og sikkerhed af personoplysninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
