Ledelsen læser ikke nødvendigvis mere end de første sider af en pentestrapport, og det er resuméet, der afgør, om testen fører til beslutninger. Et brugbart resumé giver ledelsen tre ting: et billede af, hvad der blev undersøgt, en forståelse af de få forhold, der betyder mest, og en klar liste over det, ledelsen selv skal tage stilling til. Resten af rapporten er til dem, der skal rette.
Resuméets opbygning og samspillet med rapportens øvrige dele gennemgås i → Sådan læser I en pentestrapport. Her handler det om resuméets funktion for ledelsen, og om hvad køberen kan gøre for at få et resumé, der kan bruges.
Resuméet er et beslutningsgrundlag
Et resumé er ikke en kort udgave af rapporten. Det er en oversættelse fra fund til konsekvenser for virksomheden. Hvis ledelsen efter læsningen ved, hvor mange fund der er i hver kategori, men ikke hvad de betyder for webshoppen eller kundeportalen, har resuméet ikke løst sin opgave.
Det betyder også, at resuméet skal skrives til den beslutning, der venter. Skal en ny kundeportal åbne? Skal budgettet til næste år afsætte midler til rettelser? Skal en kunde have besked om resultatet? Når testeren kender anledningen, kan resuméet tage stilling til netop den, i stedet for at beskrive sikkerheden i almindelighed.
Fire spørgsmål, ledelsen skal kunne besvare
Efter at have læst resuméet bør ledelsen kunne svare på følgende uden at slå op i resten af rapporten:
- Hvad blev undersøgt · hvilke systemer, i hvilken periode, og hvad var ikke med?
- Hvad er de væsentligste forhold · hvilke fund berører kundedata, drift eller økonomi?
- Hvad anbefales først · hvilke rettelser bør have forrang, og hvorfor?
- Hvad skal ledelsen selv beslutte · prioritering, ressourcer, risikoaccept eller kommunikation?
Det fjerde spørgsmål er let at overse. Et resumé kan beskrive, hvad IT bør gøre, uden at nævne, hvad ledelsen skal tage stilling til. Uden det punkt kan resuméet læses som en opgave for andre.
Begrænsningerne hører med i resuméet
Et resumé, der kun nævner fund, kan give et skævt billede. Hvis kundeportalen blev testet med én brugerrolle, eller hvis ERP-systemets økonomidel var uden for scope, skal det stå i resuméet og ikke kun i et afsnit længere inde. Ellers kan ledelsen tro, at hele løsningen er vurderet.
Det samme gælder forhold, som testeren ikke kunne undersøge, fx fordi en funktion ikke virkede i testperioden, eller fordi en leverandør ikke gav tilladelse. Det er ikke fund, men det er oplysninger, som ændrer betydningen af resultatet. Ledelsen har brug for dem, når den skal vurdere, om der er behov for mere. → Restrisiko
Bed derfor om, at resuméet har et kort afsnit om begrænsninger. Det gør det også lettere at forklare resultatet til andre, fordi grænserne følger med.
Bestil resuméet, før testen begynder
Resuméets kvalitet afhænger af, hvad testeren ved om virksomheden. Skriv i bestillingen, hvem resuméet er til, og hvad det skal bruges til. Hvis bestyrelsen skal have det, eller hvis en kunde skal se det, er det relevant for, hvordan det formuleres. → Opgavebeskrivelse til en penetrationstest
Aftal også sprog og længde. Et resumé på dansk uden fagudtryk er noget andet end et teknisk sammendrag på engelsk. Spørg gerne, om der kan leveres et eksempel på et resumé fra en tidligere opgave, med fortrolige oplysninger fjernet, så I ved, hvad I får.
Det kan være en fordel at aftale, at resuméet gennemgås på afslutningsmødet, før rapporten er endelig. Så kan uklarheder rettes, inden resuméet sendes videre i organisationen. → Afslutningsmødet efter penetrationstesten
Når resuméet ikke giver svar
Et resumé kan være for teknisk, for generelt eller for optimistisk. Det tekniske resumé opregner fund med systemnavne og fagord, som kun IT forstår. Det generelle resumé bruger samlede vurderinger som tilfredsstillende eller utilstrækkelig uden at forklare, hvad vurderingen bygger på. Det optimistiske nævner styrker og udelader begrænsninger i scope.
Bed om en ny udgave, hvis resuméet ikke kan bruges til den aftalte beslutning. Det er rimeligt at spørge, men det bør ske skriftligt og med en konkret begrundelse, fx at ledelsen ikke kan se, hvilke fund der berører kundeportalen, eller at det ikke fremgår, hvad der ikke blev testet.
Hvis testeren ikke kan eller vil ændre resuméet, kan virksomheden selv skrive et internt notat oven på rapporten. Notatet skal henvise til rapporten og ikke ændre testerens vurderinger, men det kan gøre dem forståelige for ledelsen.
Brug resuméet i organisationen
Resuméet bliver ofte sendt videre: til ledelsen, til bestyrelsen, til en kunde eller til revisoren. Overvej hver gang, om modtageren har brug for netop resuméet, eller om en kortere oversigt eller en erklæring er bedre. Resuméet kan indeholde oplysninger, der ikke bør forlade virksomheden. → Deling af pentestrapporten
Når resuméet præsenteres for ledelsen, så hold fast i de beslutninger, det peger på. En drøftelse af, om et fund burde være middel eller højt, hører sjældent hjemme på ledelsesniveau. Spørgsmålet er, hvad virksomheden vil gøre, hvornår og med hvilke ressourcer. → Pentestrapporten i bestyrelsen
Gem resuméet sammen med de beslutninger, der blev truffet på baggrund af det. Notér også, hvem der deltog, og hvilke spørgsmål der blev stillet undervejs. Ved næste test er det nyttigt at kunne se, hvad ledelsen besluttede sidst, og om det blev gennemført.
Det skal I lade være med
- At læse resuméet som en karakter. En samlet vurdering siger lidt uden scope og de væsentligste fund.
- At lade optællingen stå alene. Antallet af fund pr. kategori viser ikke, hvilket system der er ramt.
- At sende resuméet videre uden at tænke over modtageren. Det kan indeholde fortrolige oplysninger.
- At acceptere et resumé uden beslutningspunkter. Ledelsen skal kunne se, hvad den selv skal tage stilling til.
- At omskrive testerens vurderinger i et internt notat. Forklar dem, men lad dem stå.
Hvad kan og ikke kan konkluderes
Et resumé kan give ledelsen et retvisende billede af det, testen undersøgte, og af de forhold, der bør have forrang. Det kan ikke erstatte rapportens dokumentation, og det dækker kun de systemer, testen omfattede. En positiv formulering i resuméet er ikke en erklæring om, at virksomheden er sikker. Den er en vurdering af det afgrænsede, testen dækkede, på det tidspunkt testen blev gennemført.
Tjekliste til resuméet
- ☐ Fremgår det, hvad der blev testet, og hvad der ikke var med?
- ☐ Er de væsentligste fund beskrevet med konsekvens for forretningen?
- ☐ Er det klart, hvad der anbefales først?
- ☐ Står der, hvad ledelsen selv skal beslutte?
- ☐ Kan resuméet læses uden fagudtryk?
- ☐ Er det aftalt, hvem resuméet må deles med?
- ☐ Er ledelsens beslutninger gemt sammen med resuméet?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Kritiske fund i rapporten · Tekniske bilag
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
