En social engineering-test undersøger, om virksomhedens rutiner holder, når nogen forsøger at få medarbejdere til at udlevere oplysninger, give adgang eller gøre en undtagelse. Fordi testen bruger mennesker som testområde, skal grænserne være skrevet ned, før den begynder: hvilke kanaler og personer der indgår, hvad der aldrig må ske, og hvordan medarbejderne behandles undervejs og bagefter.
Ordet dækker mere end falske mails. Det kan også handle om telefonopkald, henvendelser i receptionen eller beskeder i samarbejdsværktøjer. Fællesnævneren er, at testen afprøver tillid og rutiner, ikke software.
Når mennesker er testområdet
I en teknisk test er det systemer, der bliver udsat for forsøg. I en social engineering-test er det medarbejdere, der bliver mødt af en henvendelse, de ikke ved er en test. Det stiller andre krav, fordi en medarbejder kan blive flov, utryg eller føle sig snydt, selv om testen er planlagt med de bedste hensigter.
Formålet bør derfor være formuleret som et spørgsmål om rutiner. Bliver en opringning fra en ukendt, der påstår at være fra IT, kontrolleret? Får en ukendt besøgende lov til at vente alene i et mødelokale? Bliver en anmodning om at ændre et kontonummer bekræftet ad en anden vej? Spørgsmål af den type kan besvares, uden at nogen enkeltperson bliver gjort til problemet.
Et spørgsmål om rutiner gør det også lettere at vurdere resultatet. Hvis virksomheden har en fast regel om, at ændringer af betalingsoplysninger altid bekræftes ved et opkald til et kendt nummer, kan testen undersøge, om reglen bliver fulgt. Hvis reglen ikke findes, er det i sig selv et fund, og testen kan stoppe før nogen bliver mødt af en henvendelse.
Henvendelser via mail har deres egne overvejelser om temaer og måling. → Phishing-test
Kanaler og personer i opgaven
Bestillingen bør angive, hvilke kanaler testen må bruge, og hvilke personer eller funktioner der kan blive kontaktet.
- Kanaler · mail, telefon, fremmøde, beskeder i samarbejdsværktøjer. Vælg de kanaler, der svarer til formålet.
- Funktioner · eksempelvis servicedesk, reception, økonomi eller indkøb. Funktioner er ofte et bedre valg end navngivne personer.
- Undtagelser · personer, der ikke bør indgå, eksempelvis medarbejdere på orlov, sygemeldte eller nyansatte i deres første tid.
- Tredjeparter · kunder, leverandører og andre uden for virksomheden må ikke kontaktes som en del af testen.
Undtagelserne kræver, at nogen med kendskab til medarbejderne er med i planlægningen. Det er typisk HR, som også kan vurdere, om der er særlige forhold i organisationen, der taler imod en test lige nu. Hvor mange der skal orienteres på forhånd, er behandlet i → Skal medarbejderne vide det?.
Det private liv er uden for rammen
En virksomhed kan give lov til, at dens egne rutiner og arbejdsgange afprøves. Den kan ikke give lov til, at medarbejdernes private liv bliver en del af testen. Det gælder private telefonnumre, private mailadresser, profiler på sociale medier og familieforhold.
Skriv derfor i aftalen, at testen kun bruger arbejdsrelaterede kanaler og oplysninger, som virksomheden selv råder over. Oplysninger om medarbejdere, som testeren samler under forberedelsen, skal begrænses til det nødvendige og slettes efter aftale. Datatilsynets vejledning om medarbejderes oplysninger kan være et udgangspunkt, og testen bør vurderes af de databeskyttelsesansvarlige. Teksten er ikke juridisk rådgivning.
Hvem der kan give tilladelse til en sikkerhedstest, og hvor grænserne for tilladelsen går, er gennemgået i → Er en penetrationstest lovlig?.
Roller, testeren ikke må påtage sig
En social engineering-test bygger på, at testeren optræder som en anden. Det kræver en aftale om, hvilke roller der er udelukket. Overvej at udelukke:
- Offentlige myndigheder · eksempelvis politi, skattemyndigheder eller andre, hvis navn ikke bør misbruges.
- Navngivne personer · rigtige kolleger, ledere eller kunder, medmindre de selv er indforstået.
- Nødsituationer · henvendelser om ulykker, sygdom eller trusler, der kan skabe reel bekymring.
- Pres og trusler · henvendelser, der bygger på at skræmme eller true medarbejderen.
Grænserne bør stå i det aftalegrundlag, der også beskriver tidsrum, kontaktpersoner og stop. → Rules of engagement
Pres, stop og omsorg
En medarbejder, der bliver usikker eller ked af det under en henvendelse, skal kunne trække sig, uden at testen fortsætter. Aftal, at testeren afbryder, hvis en henvendelse tydeligvis skaber utryghed, og at situationen afsluttes roligt.
Der skal også være en vej tilbage, hvis en medarbejder melder henvendelsen videre og sætter gang i en reaktion. Den ansvarlige kontakt skal kunne stoppe sagen, før den vokser, og sørge for, at den medarbejder, der reagerede, får at vide, at reaktionen var rigtig.
Hvis testen kombineres med fysisk fremmøde, gælder også hensynene til bygning, udlejer og andre lejere. → Fysisk adgang som tillæg til testen
Efter testen: forklaring frem for skyld
Når testen er slut, bør de medarbejdere, der blev mødt af en henvendelse, få en personlig og venlig forklaring. Formålet var at afprøve rutiner, og det skal være tydeligt i beskeden. Ingen bør høre om testen første gang i en rapport eller på et fællesmøde.
Rapporten bør beskrive rutiner og funktioner, ikke enkeltpersoner. Hvis en henvendelse lykkedes, er det næste spørgsmål, hvilken rutine der manglede, eller hvorfor den ikke blev fulgt. Det er en opgave for virksomheden, ikke for den medarbejder, der blev narret.
En social engineering-test er ofte en del af en bredere angrebssimulering, hvor flere indgange kombineres. Den slags opgaver er beskrevet i → Red teaming eller pentest og på red-teaming.dk.
Det skal I lade være med
- At bruge private kanaler · testen hører til i arbejdsrelaterede sammenhænge.
- At udgive sig for myndigheder · udelukk roller, hvis navn ikke må misbruges.
- At bruge frygt og pres · det skader tilliden og siger lidt om rutinerne.
- At glemme undtagelserne · nogle medarbejdere bør ikke indgå, og HR ved hvem.
- At kontakte kunder eller leverandører · tredjeparter er ikke en del af virksomhedens tilladelse.
- At lade rapporten pege på personer · fund handler om rutiner og funktioner.
Hvad kan og ikke kan konkluderes
En social engineering-test kan vise, om bestemte rutiner holdt over for bestemte henvendelser i det aftalte tidsrum. Den kan pege på steder, hvor kontrol eller bekræftelse mangler.
Den kan ikke vise, hvordan organisationen reagerer på andre henvendelser, på andre tidspunkter eller med andre medarbejdere til stede. Den er heller ikke en vurdering af den enkelte medarbejders pålidelighed, og den må ikke bruges sådan.
Tjekliste før en social engineering-test
- ☐ Er formålet skrevet som et spørgsmål om rutiner?
- ☐ Er kanaler, funktioner og undtagelser valgt sammen med HR?
- ☐ Står det i aftalen, at private kanaler og oplysninger er udelukket?
- ☐ Er roller, testeren ikke må påtage sig, beskrevet?
- ☐ Er stop, kontaktperson og omsorg for medarbejdere aftalt?
- ☐ Er databeskyttelse vurderet?
- ☐ Er den personlige forklaring efter testen planlagt?
Kilder
- Datatilsynet: vejledning om behandling af personoplysninger, herunder i ansættelsesforhold.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Skal medarbejderne vide det? · Rules of engagement
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
