Nogle fund fra en penetrationstest bliver ikke rettet, fordi rettelsen er for dyr, for besværlig eller umulig inden for den tid, virksomheden har. Det kan være en fornuftig beslutning, men kun hvis den er truffet bevidst. En risikoaccept er virksomhedens skriftlige valg om at beholde et kendt fund: hvem besluttede det, hvorfor, med hvilke forbehold, og hvornår beslutningen skal tages op igen.
Forskellen mellem en risikoaccept og et glemt fund er ikke, om fundet er rettet. Forskellen er, om nogen med ansvar har taget stilling og kan stå inde for det.
Hvad en risikoaccept er, og hvad den ikke er
En risikoaccept er en ledelsesbeslutning. Den siger, at virksomheden kender fundet, har vurderet konsekvensen og har valgt ikke at rette det, i hvert fald ikke nu. Den er ikke en vurdering af, at fundet er uden betydning, og den ændrer ikke testerens beskrivelse af fundet.
Den er heller ikke en udsættelse uden plan. Hvis et fund skal rettes, men først senere, er det en frist, ikke en accept. Hold de to ting adskilt, så oversigten over fund viser, hvad der venter på en rettelse, og hvad der bevidst er lagt til side. → Frister for rettelser
Den kan til gengæld være midlertidig, og det er ofte den mest ærlige form. En accept kan gælde, indtil et system udskiftes, eller indtil en leverandør leverer en ny udgave, og den bør så sige det.
Hvornår en accept kan være rimelig
Der er flere situationer, hvor det kan give mening at acceptere et fund frem for at rette det:
- Systemet skal udfases · ERP-systemets gamle modul erstattes, og en rettelse vil være spildt arbejde.
- Rettelsen er uforholdsmæssig · indsatsen står ikke mål med den konsekvens, fundet kan få.
- Rettelsen findes ikke · producenten af standardsoftwaren har ingen løsning, og systemet kan ikke undværes.
- Andre beskyttelser dækker · fundet er reelt, men andre foranstaltninger begrænser, hvem der kan nå det.
I alle situationer er det virksomhedens vurdering, der bærer beslutningen. Testeren kan beskrive fundet og eventuelt komme med sin vurdering af alternativerne, men kan ikke acceptere risikoen på jeres vegne. Det samme gælder driftsleverandøren og hostingfirmaet. → Restrisiko
Hvem kan træffe beslutningen?
Den, der accepterer en risiko, skal have ansvaret for det system og de oplysninger, der er berørt. For kundeportalen kan det være den forretningsansvarlige, for ERP-systemet økonomichefen eller direktionen. IT-afdelingen kan forberede beslutningen, men det er sjældent IT alene, der ejer konsekvensen af et brud på kundedata.
ISO/IEC 27001 knytter accept af tilbageværende risici til dem, der ejer risiciene. Virksomheder, der arbejder efter standarden, kan derfor have en fastlagt proces for, hvem der godkender. Hvis I har en sådan proces, så brug den også for fund fra penetrationstest. Har I ikke, så aftal, hvem der må acceptere fund af hvilken alvorlighed.
Jo mere alvorligt fundet er, jo højere oppe i organisationen bør beslutningen ligge. Et alvorligt fund i webshoppen, som ikke rettes, er en beslutning, ledelsen bør kende til.
Undgå, at den samme person både foreslår og godkender accepten, når fundet er alvorligt. Den IT-ansvarlige, der har travlt med andre opgaver, kan have en naturlig interesse i at lukke sagen. En anden beslutningstager giver en vurdering, der er lettere at forsvare senere, også over for en kunde eller revisor.
Det skal stå i accepten
Accepten kan sagtens være kort, så længe den kan læses af en, der ikke var med, da den blev truffet. Den skal mindst indeholde:
- Fundet · henvisning til rapporten og en kort beskrivelse i almindelige ord.
- Konsekvensen · hvad der kan ske, og hvilke oplysninger eller funktioner der er berørt.
- Begrundelsen · hvorfor fundet ikke rettes.
- Forbehold og tiltag · hvilke andre beskyttelser der begrænser risikoen.
- Beslutningstager og dato · hvem besluttede, og hvornår.
- Ny vurdering · hvornår eller ved hvilken begivenhed accepten tages op igen.
Det sidste punkt er det vigtigste. En accept uden dato for ny vurdering bliver hurtigt permanent, også når forudsætningerne er væk.
Gem accepten et sted, hvor den kan findes igen, sammen med rapporten og oversigten over fund. En beslutning, der kun står i et mødereferat, er svær at genfinde, når den skal vurderes igen, eller når en ny ansvarlig overtager systemet.
Genvurdering
Tag accepten op igen på den aftalte dato, og når forholdene ændres. Det kan være, når systemet får nye funktioner, når det åbnes for flere brugere, når en ny test gennemføres, eller når der kommer oplysninger om, at svagheden bliver brugt andre steder. Spørgsmålet er hver gang, om begrundelsen stadig holder.
Hvis den ikke gør, skal fundet tilbage i køen af rettelser eller have en ny accept med en ny begrundelse. Notér også resultatet af genvurderingen, selv når accepten fortsætter uændret. Det viser, at beslutningen ikke bare er blevet stående.
Hvis fundet dukker op igen ved næste test, så notér, at det var accepteret, så testeren og læseren af rapporten kan se sammenhængen. → Fund, der går igen fra test til test
Når andre spørger
Kunder, revisorer og forsikringer kan spørge til åbne fund. En dokumenteret risikoaccept er et bedre svar end en forklaring om, at fundet ikke er nået endnu. Den viser, at virksomheden har vurderet fundet og truffet et valg.
Vær opmærksom på, at en accept ikke nødvendigvis er tilstrækkelig for alle modtagere. En kunde kan have krav om, at bestemte typer fund rettes, og så hjælper en intern accept ikke. Undersøg kravene, før I lover noget. → Kunden beder om pentestrapporten
Det skal I lade være med
- At lade fund ligge uden beslutning. Et glemt fund er ikke en accept.
- At lade IT eller leverandøren acceptere alene. Beslutningen hører hos den, der ejer konsekvensen.
- At acceptere uden begrundelse. Begrundelsen er det, der gør accepten forsvarlig.
- At glemme datoen for ny vurdering. Forudsætninger ændrer sig.
- At omformulere fundet, så det ser mindre ud. Rapportens beskrivelse skal stå uændret.
Hvad kan og ikke kan konkluderes
En risikoaccept viser, at virksomheden har taget stilling til et kendt fund. Den fjerner ikke svagheden, og den ændrer ikke, hvad der kan ske, hvis den bliver brugt. Den siger heller ikke, om beslutningen var rigtig, kun at den blev truffet af den rette person på et dokumenteret grundlag. Over for kunder og revisorer kan den vise styring, men den kan ikke erstatte en rettelse, hvor en rettelse kræves.
Tjekliste til risikoaccept
- ☐ Er det klart, at fundet ikke skal rettes, og ikke bare er udskudt?
- ☐ Er konsekvensen beskrevet i almindelige ord?
- ☐ Er begrundelsen skrevet ned?
- ☐ Er andre beskyttelser beskrevet?
- ☐ Er beslutningen truffet af den, der ejer risikoen?
- ☐ Er der en dato eller begivenhed for ny vurdering?
- ☐ Er kundekrav og andre krav undersøgt?
Kilder
- ISO/IEC 27001: standard for ledelsessystemer for informationssikkerhed, herunder risikobehandling og risikoejeres accept af tilbageværende risici.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Uenighed om et funds alvorlighed · Fra rapport til handlingsplan
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
