En phishing-test sender kontrollerede, falske beskeder til virksomhedens medarbejdere for at se, hvordan organisationen reagerer, mens en penetrationstest undersøger systemer og opsætning. De to besvarer forskellige spørgsmål, og en phishing-test giver kun brugbar viden, når formålet er valgt på forhånd, ledelsen og de relevante interne funktioner har godkendt rammerne, og resultatet bruges til at forbedre rutiner frem for at pege på personer.
Testen involverer mennesker, der ikke selv har bedt om at blive testet. Det gør hensynet til medarbejderne til en del af bestillingen og ikke en eftertanke.
To forskellige spørgsmål
En penetrationstest spørger, om en svaghed i et system kan udnyttes, og hvor langt den rækker. Svaret afhænger af software, opsætning og rettigheder. Medarbejderne er som regel ikke selv genstand for undersøgelsen.
En phishing-test spørger, hvad der sker, når en mistænkelig besked lander i indbakken. Bliver den genkendt? Bliver den meldt? Når meldingen frem til nogen, der handler på den? Svaret afhænger af mennesker, rutiner og de tekniske filtre, som beskeden skal forbi.
De to kan supplere hinanden. Hvis en phishing-test viser, at en medarbejder kunne lokkes til at åbne en side, er det næste spørgsmål, hvad en angriber derefter kunne nå. Det er et spørgsmål til systemerne, eksempelvis om tofaktorlogin og mailtjenestens opsætning. → Tofaktorlogin i testen · → Mailtjenester i en penetrationstest
Nogle udbydere bruger betegnelser som cybersecurity mystery shopping om test, hvor organisationens reaktion på henvendelser undersøges. Uanset navnet bør bestillingen beskrive, hvad der konkret skal ske, og hvad der er formålet.
Vælg formålet først
En phishing-test kan have flere formål, og de fører til forskellige tests.
- Måling · at få et billede af, hvordan organisationen reagerer i dag, så en senere test kan sammenlignes.
- Træning · at give medarbejderne en øvelse, efterfulgt af en forklaring, mens oplevelsen er frisk.
- Afprøvning af rutiner · at se, om meldinger om mistænkelige beskeder når frem og bliver behandlet.
Formålet afgør, hvem der skal vide hvad, hvordan beskederne udformes, og hvad der rapporteres. En test, der skal afprøve rutiner, giver eksempelvis mest viden, hvis servicedesken ikke er advaret, mens den ansvarlige for sikkerheden selvfølgelig er. Informationsniveauerne er gennemgået i → Skal medarbejderne vide det?.
Hvad testen kan måle
Det er fristende at se på, hvor mange der klikkede. Tallet er let at forstå, men det siger mindre, end det ser ud til. Det afhænger meget af, hvor troværdig beskeden var, hvornår den blev sendt, og hvem den gik til.
Et mere brugbart resultat er ofte, hvad organisationen gjorde. Blev beskeden meldt, og hvor hurtigt reagerede de ansvarlige? Blev andre advaret? Var det let for medarbejderne at vide, hvor de skulle melde? Sådanne iagttagelser peger direkte på rutiner, der kan forbedres.
Bed om, at rapporten beskriver beskeden, målgruppen og tidspunktet, så resultatet kan læses i sin sammenhæng. En test, der gentages med en helt anden besked, er ikke umiddelbart sammenlignelig med den første.
Tekniske forhold påvirker også resultatet. Hvis mailfiltrene stoppede en del af beskederne, eller hvis testens afsender blev godkendt særskilt for at komme igennem, skal det fremgå. Ellers kan en læser tro, at resultatet siger noget om filtrene, selv om de var sat ud af spillet med vilje. Aftal på forhånd, om beskederne skal møde filtrene som enhver anden besked, eller om testen kun skal se på det, der sker, når en besked er nået frem.
Samtykke og godkendelse
Medarbejderne giver normalt ikke samtykke enkeltvis, da testen så mister sin værdi. Netop derfor skal virksomheden sikre, at rammerne er godkendt af dem, der har ansvaret.
Ledelsen bør godkende formål, målgruppe og tidsrum. HR bør være inddraget, fordi testen berører medarbejdernes arbejdsforhold. Hvis der er medarbejderrepræsentanter eller lokale aftaler om kontrolforanstaltninger, bør det afklares, om de har betydning. Databeskyttelsesansvarlige bør se på, hvilke oplysninger om medarbejdere testen behandler. Datatilsynet har vejledning om personoplysninger i ansættelsesforhold. Teksten er ikke juridisk rådgivning.
Aftal også, hvilke oplysninger testen må indsamle. Hvis en testside beder om login, bør det stå i aftalen, at indtastede adgangskoder hverken gemmes eller bruges. Hvem der i øvrigt kan give tilladelse til en sikkerhedstest, er gennemgået i → Er en penetrationstest lovlig?.
Temaer, der bør holdes ude
Beskeder, der spiller på frygt for medarbejdernes egen situation, kan skade tilliden mere, end testen giver af viden. Overvej at udelukke temaer som:
- Løn og ansættelse · falske beskeder om fyringer, lønændringer eller bonusser.
- Helbred og familie · beskeder om sygdom, ulykker eller pårørende.
- Private forhold · beskeder til private mailadresser eller om private konti.
- Navngivne kolleger · beskeder, der udgiver sig for at komme fra en bestemt person i virksomheden, uden at personen er indforstået.
Valget af temaer bør stå i aftalen og være godkendt sammen med resten af rammerne.
Resultater uden navne
Resultatet bør afleveres samlet, eksempelvis pr. afdeling eller pr. type reaktion, og uden navne på enkeltpersoner. Det mindsker behandlingen af personoplysninger og fjerner fristelsen til at bruge testen som kontrol af den enkelte.
Efter testen bør medarbejderne få at vide, at der har været en øvelse, hvad formålet var, og hvordan de kan genkende og melde lignende beskeder. Hvordan resultatet formidles bredere, er beskrevet i → Kommunikation efter pentest. Hvis testen indgår i en bredere afprøvning af menneskelige forhold, er rammerne beskrevet i → Social engineering i en sikkerhedstest.
Det skal I lade være med
- At kalde en phishing-test for en pentest · de besvarer forskellige spørgsmål og giver forskellige rapporter.
- At starte uden et valgt formål · måling, træning og afprøvning af rutiner kræver forskellige tests.
- At springe HR og databeskyttelse over · testen berører medarbejdernes arbejdsforhold og oplysninger.
- At lade testsider gemme adgangskoder · det skal udelukkes i aftalen.
- At spille på frygt · temaer om løn, helbred og familie kan koste mere tillid end testen giver.
- At aflevere navnelister · resultatet skal forbedre rutiner, ikke udpege personer.
Hvad kan og ikke kan konkluderes
En phishing-test kan vise, hvordan organisationen reagerede på en bestemt besked på et bestemt tidspunkt. Den kan pege på rutiner for melding og opfølgning, der virker eller ikke virker.
Den kan ikke vise, hvordan den enkelte medarbejder vil reagere næste gang, og den siger ikke noget om, hvor sårbare systemerne er, hvis nogen faktisk bliver narret. Det sidste kræver en teknisk test.
Tjekliste før en phishing-test
- ☐ Er formålet valgt: måling, træning eller afprøvning af rutiner?
- ☐ Har ledelse og HR godkendt rammerne?
- ☐ Er databeskyttelse og eventuelle lokale aftaler vurderet?
- ☐ Er temaer, der skal holdes ude, skrevet ned?
- ☐ Står det i aftalen, at adgangskoder ikke gemmes?
- ☐ Afleveres resultatet uden navne?
- ☐ Er beskeden til medarbejderne efter testen planlagt?
Kilder
- Datatilsynet: vejledning om behandling af personoplysninger, herunder i ansættelsesforhold.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Red teaming eller pentest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
