En pentestrapport sorterer som regel fundene efter alvorlighed, men den rækkefølge er ikke altid den rigtige for jer. En brugbar prioritering vejer tre forhold mod hinanden: hvor alvorlig svagheden er, hvad den betyder for netop jeres forretning, og hvor stor en indsats rettelsen kræver. Resultatet er en rækkefølge, som virksomheden selv står inde for, og som kan forklares.
Prioriteringen er virksomhedens beslutning, og den bør træffes kort efter, at rapporten er gennemgået, mens fundene stadig er velkendte for alle parter. Testeren kan anbefale, og leverandøren kan vurdere indsatsen, men det er systemejeren og ledelsen, der vælger, hvad der kommer først.
Alvorlighed er udgangspunktet, ikke svaret
Rapportens alvorlighedsgrad beskriver svagheden. Rapporten bruger ofte CVSS, som FIRST står bag, og hvor grundscoren beskriver egenskaber ved svagheden uafhængigt af det konkrete miljø. Det er et nyttigt fælles sprog, men det tager ikke stilling til, hvilket system der er ramt, og hvad systemet betyder for jer. → CVSS-score
Brug derfor alvorligheden som første sortering og spørg derefter til hvert fund: hvilke oplysninger og funktioner er berørt? Et fund med middel alvorlighed i den del af kundeportalen, der viser kundernes kontrakter, kan fortjene en højere plads end et højt fund i en intern testserver uden data.
Betydning for forretningen
Den anden akse er jeres egen. Den handler om konsekvensen, hvis svagheden bliver brugt. Tænk i de oplysninger, systemet behandler, de funktioner, det understøtter, og de aftaler, I har med kunder og samarbejdspartnere.
- Oplysninger · berører fundet personoplysninger, betalinger, forretningshemmeligheder eller andet, I har pligt til at beskytte?
- Drift · kan svagheden påvirke systemer, som salg, produktion eller kundeservice afhænger af?
- Rækkevidde · kan svagheden nås af alle på internettet, af kunder med login eller kun af medarbejdere på kontornettet?
- Aftaler · har I lovet kunder eller samarbejdspartnere et bestemt niveau for netop dette system?
Svarene kommer fra systemejeren, ikke fra testeren. Testeren kender svagheden, men ikke nødvendigvis, hvad ERP-systemets ordremodul betyder for jeres omsætning. → Sårbarhed, fund og risiko
Indsatsen afgør rækkefølgen inden for gruppen
Den tredje akse er, hvad rettelsen kræver. Nogle fund kan rettes med en indstilling, som driftsleverandøren kan ændre samme dag. Andre kræver en ny udgave af et system, et skift af leverandør eller en ændring i, hvordan medarbejderne arbejder.
Bed den, der skal rette, om en vurdering af indsatsen for hvert fund. Den behøver ikke være præcis, men den skal kunne skelne mellem små, mellemstore og store opgaver. Så kan I se, hvor en lille indsats fjerner en væsentlig risiko, og hvor en stor indsats kun giver lidt.
Lad ikke indsatsen bestemme alt. Et alvorligt fund med stor betydning skal ikke vente, fordi det er besværligt. Men når flere fund har nogenlunde samme vægt, er det rimeligt at begynde med dem, der hurtigt kan lukkes. Det frigør opmærksomhed til de store opgaver og viser fremdrift over for ledelsen, uden at de alvorlige fund bliver skubbet.
Se efter fælles årsager
Fund, der ligner hinanden, har ofte en fælles årsag. Hvis rapporten nævner manglende opdateringer på flere servere, er problemet måske ikke de enkelte servere, men at ingen har ansvaret for opdateringerne. Hvis kundeportalen og webshoppen har samme slags fejl i adgangen, kan det skyldes, at de bygger på samme komponent.
En rettelse af årsagen kan lukke flere fund på én gang og forhindre, at de dukker op igen. Den kan til gengæld tage længere tid. Overvej at gøre begge dele: luk de mest alvorlige enkeltfund hurtigt, og planlæg en rettelse af årsagen ved siden af. → Fund, der går igen fra test til test
Afhængigheder og ressourcer
Nogle rettelser kan ikke laves, før andre er på plads. En opdatering af kundeportalen kan forudsætte en ny udgave af den database, den bygger på. En ændring i adgangen til ERP-systemet kan kræve, at medarbejderne først får nye konti. Kortlæg sådanne afhængigheder, før rækkefølgen lægges fast, ellers ender den øverste opgave med at vente på en, der står længere nede.
Se også på, hvem der skal udføre arbejdet. Hvis de fleste rettelser ligger hos samme leverandør, er det leverandørens kapacitet, der bestemmer tempoet, ikke jeres liste. Aftal med leverandøren, hvilke fund der skal have forrang, og bed om en tidsplan, der svarer til prioriteringen. → Hvem retter fundene?
Interne ressourcer tæller også. En rettelse, der kræver test i flere afdelinger, eller som skal ske uden for åbningstid i webshoppen, kan være en stor opgave, selv om den teknisk er enkel. Medregn den slags i vurderingen af indsatsen.
Skriv prioriteringen ned
En prioritering, der kun findes i et møde, holder ikke. Skriv for hvert fund den plads, det har fået, og en kort begrundelse, især hvis pladsen afviger fra rapportens alvorlighed. Begrundelsen er vigtig, når nogen senere spørger, hvorfor et højt fund blev rettet efter et middel.
Prioriteringen bliver grundlaget for handlingsplanen med ejere og frister. Den bør også kunne vises til en revisor eller en kunde, der vil vide, hvordan virksomheden håndterer resultaterne. → Fra rapport til handlingsplan
Se prioriteringen igen, når forholdene ændres. En ny funktion i webshoppen, en ændret aftale med en kunde eller oplysninger om, at en svaghed bliver brugt aktivt andre steder, kan flytte et fund op. → Frister for rettelser
Det skal I lade være med
- At følge rapportens rækkefølge blindt. Alvorlighed alene tager ikke højde for jeres systemer.
- At lade den, der retter, prioritere alene. Leverandøren kender indsatsen, ikke betydningen for forretningen.
- At udskyde alvorlige fund, fordi de er besværlige. Indsats er et hensyn inden for gruppen, ikke over den.
- At behandle ens fund hver for sig. Se efter den fælles årsag.
- At prioritere uden begrundelse. En plads uden forklaring er svær at forsvare senere.
Hvad kan og ikke kan konkluderes
En prioritering viser, hvordan virksomheden har valgt at bruge sine ressourcer på de fund, testen gav. Den siger ikke, at fund længere nede er uden betydning, og den kan ikke tage højde for svagheder, som testen ikke fandt. Den er en beslutning på et bestemt tidspunkt med de oplysninger, der var til rådighed, og skal derfor kunne ændres, når oplysningerne ændres.
En veldokumenteret prioritering viser til gengæld, at fundene er vurderet og ikke bare lagt til side. Det er ofte det, en kunde eller revisor spørger efter: ikke at alt er rettet, men at virksomheden har taget stilling.
Tjekliste til prioriteringen
- ☐ Er alle fund sorteret efter alvorlighed som udgangspunkt?
- ☐ Har systemejeren vurderet betydningen for forretningen?
- ☐ Har den, der retter, vurderet indsatsen?
- ☐ Er fælles årsager identificeret?
- ☐ Har hvert fund en plads og en begrundelse?
- ☐ Er afvigelser fra rapportens alvorlighed forklaret?
- ☐ Er det aftalt, hvornår prioriteringen ses igen?
Kilder
- FIRST CVSS v4.0: grundscore og de øvrige grupper af målinger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Risikoaccept · Restrisiko
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
