Sikkerhedstjek eller penetrationstest: bestil den undersøgelse, I har brug for

Virksomheden får ikke nødvendigvis det ønskede svar ved blot at bestille et sikkerhedstjek. Valget afhænger af spørgsmålet, de omfattede systemer og den dokumentation, undersøgelsen skal levere.

En ny webshop kan kræve praktisk afprøvning. Et nyt ERP-system kan kræve gennemgang af rettigheder. Hvis ledelsen mangler overblik over begge dele, kan en indledende vurdering være mere relevant. Begynd med det, I skal beslutte, og vælg derefter undersøgelsesformen. → Hvad er en penetrationstest?

Sårbarhedsscanning: hvilke mulige svagheder kræver opfølgning?

En sårbarhedsscanning peger på mulige tekniske svagheder i et aftalt område. Det kan være virksomhedens netværk eller offentlige webtjenester. NIST SP 800-115, afsnit 4.3 beskriver scanning og begrænsningerne, herunder muligheden for fejlagtige resultater.

Overvej scanning, når IT-afdelingen ønsker et gentageligt overblik over mulige problemer på netværket. Resultaterne skal vurderes, før de kan bruges til at prioritere arbejdet. En liste uden forklaring fortæller ikke, hvilke observationer der kræver handling først.

Et muligt fund på webshoppen dokumenterer ikke automatisk en bestemt konsekvens for kundernes oplysninger. Skeln mellem mulige problemer og forhold, der er bekræftet ved nærmere undersøgelse. → Sådan læser I en pentestrapport

Sikkerhedstjek: hvor mangler der overblik?

Her bruges sikkerhedstjek om en indledende, afgrænset vurdering af udvalgte sikkerhedsforhold. En virksomhed med webshop og kontornet kan bruge den til at få prioriteret, hvilke spørgsmål der skal undersøges nærmere. Navnet alene fortæller ikke, hvad leverancen omfatter.

Undersøg, om tilbuddet bygger på samtaler, dokumentation, kontrol af indstillinger eller praktisk afprøvning. Ved netværket kan forskellen være, om leverandøren beskriver gæstenettet ud fra en tegning, gennemgår indstillingerne eller tester adskillelsen. Det skal kunne ses i resultatet.

Læs om ydelsen sikkerhedstjek hos Nielco IT, og afklar indholdet for netop jeres systemer. → Derfor får virksomheder lavet en penetrationstest

Teknisk gennemgang: svarer opsætningen til hensigten?

En teknisk gennemgang kan undersøge indstillinger, dokumentation og rettigheder. I et ERP-system kan spørgsmålet være, om medarbejdernes adgang svarer til deres arbejdsopgaver. På netværket kan det være, om den beskrevne adskillelse mellem kontor og gæster kan genfindes i opsætningen.

Vælg en gennemgang, når det især er opbygning og indstillinger, der skal vurderes. Rapporten bør vise, hvad der blev gennemgået, og hvilke krav vurderingen bygger på. For ERP-systemet kan det være virksomhedens egen beskrivelse af afdelinger og roller.

En observation af indstillinger dokumenterer ikke i sig selv resultatet af en praktisk afprøvning. Hvis spørgsmålet er, om adskillelsen på gæstenettet faktisk holder under en test, skal den del fremgå af bestillingen. → Scope i en penetrationstest

Penetrationstest: hvad betyder svaghederne i praksis?

En penetrationstest omfatter aftalt afprøvning af tekniske svagheder og deres konsekvenser. For webapplikationer som en kundeportal kan spørgsmålet være, om kundernes oplysninger er adskilt. På netværket kan det være, om en almindelig bruger har adgang ud over det tilsigtede.

Vælg testen, når beslutningen kræver dokumentation for påviste forhold under bestemte betingelser. Beskriv, om webshoppen skal undersøges uden konto eller med kundeadgang. Det eksterne eller interne udgangspunkt skal også fremgå. → Ekstern eller intern penetrationstest

Konti og forhåndsviden påvirker, hvad undersøgelsen dækker. Ved en kundeportal skal de relevante kundetyper derfor stå i opgaven. → Black box, grey box og white box

Red teaming: hvordan håndteres et aftalt scenarie?

Red teaming kan undersøge et samlet scenarie og organisationens reaktion. Det kan omfatte teknik, fysisk adgang og medarbejdernes sikkerhedsbevidsthed gennem aftalt social engineering. Se Nielco ITs beskrivelse af red teaming.

For en virksomhed med kundeservice kan spørgsmålet være, om medarbejdere genkender og håndterer en mistænkelig henvendelse. En gennemgang af instrukser kan vise, hvad der er beskrevet. En aftalt afprøvning kan belyse reaktionen i det valgte scenarie. Ingen af delene måler alene alle medarbejderes sikkerhedsbevidsthed.

Vælg red teaming, hvis beslutningen handler om samspillet mellem teknik, mennesker og reaktion. En test af kundeportalen alene besvarer et smallere spørgsmål. Mere om forskellen findes på red-teaming.dk.

Det skal I lade være med

At købe efter overskriften. Sammenlign, hvad tilbuddene faktisk undersøger på netværket eller webshoppen.
At læse mulige fund som bekræftede følger. Se efter dokumentation for konsekvensen i kundeportalen.
At bruge instrukser som bevis for adfærd. Kundeservices vejledning viser ikke alene, hvordan en henvendelse håndteres.
At glemme opfølgningen. Udpeg dem, der skal prioritere og rette fund i eksempelvis ERP-systemet.

De praktiske forberedelser til en test af webshoppen er beskrevet her. → Før penetrationstesten

Hvad kan og ikke kan konkluderes

Undersøgelsesformerne giver forskellige slags dokumentation. NIST SP 800-115, afsnit 2.2 og 2.3 beskriver forskellene mellem gennemgang og test samt deres begrænsninger. En gennemgang af ERP-indstillinger kan derfor ikke læses som en afprøvning af hele virksomhedens sikkerhed.

Rapporten om webshoppen skal skelne mellem mulige problemer, observerede indstillinger og praktisk påviste forhold. Ingen af delene er en generel garanti for sikkerhed eller overholdelse af alle krav. → Spørgsmål og svar