Spørgsmål og svar om penetrationstest

Hvad er en penetrationstest?

En aftalt og afgrænset afprøvning af jeres IT-sikkerhed, hvor en tester forsøger at komme ind i systemerne, og hvor alt, der findes, beskrives i en rapport. → Hvad er en penetrationstest?

Hvilke typer penetrationstest findes der?

De almindelige er ekstern test, intern test, test af webapplikationer og test af trådløse net. Hvilken type der passer, afhænger af det spørgsmål, testen skal besvare. → Typer af penetrationstest

Er det lovligt?

Ja, når den, der råder over systemerne, har givet skriftlig tilladelse. Uden tilladelse er uberettiget adgang til et datasystem strafbart efter straffelovens § 263, stk. 1. → Er en penetrationstest lovlig? · Scope i en penetrationstest

Hvad er forskellen på en penetrationstest og en sårbarhedsscanning?

En scanning leder automatisk efter kendte fejl. En penetrationstest går videre og viser, om fejlene kan udnyttes, og hvad det betyder for jer.

Hvad er forskellen på en penetrationstest og red teaming?

En penetrationstest har et afgrænset scope og leder efter så mange svagheder som muligt. Red teaming afprøver hele forsvaret mod et konkret mål, også med mennesker og fysisk adgang. red-teaming.dk

Hvor meget skal testeren vide på forhånd?

Det afhænger af, hvad I vil have svar på. → Black box, grey box og white box

Hvordan foregår en penetrationstest?

Bestilling og scope, forberedelse, selve testen, rapport og gennemgang af fundene og til sidst opfølgning, eventuelt med en retest. → Penetrationstest fra start til slut

Hvad skal med, når en webapplikation testes?

Mere end adressen. Beskriv brugerroller, funktioner, API’er og integrationer, så det er tydeligt, hvad testen dækker, og hvad den ikke dækker. → Penetrationstest af webapplikationer

Hvad er en automatisk penetrationstest?

En test, hvor værktøjer udfører en stor del af arbejdet, ofte løbende. Den kan finde kendte svagheder, men fund, forretningslogik og brugerroller kræver en testers vurdering, før resultatet kan bruges som en penetrationstest. → Automatisk eller manuel penetrationstest

Kræver standarderne en penetrationstest?

Det afhænger af standarden. PCI DSS nævner penetrationstest direkte. ISO 27001 og NIS2 stiller krav om håndtering af sårbarheder og vurdering af, om foranstaltningerne virker, uden at nævne penetrationstest med de ord. → Penetrationstest og standarder

Kan testen lægge vores systemer ned?

Risikoen er lav, men den er der. Derfor aftales metoder, tidsrum og kontaktpersoner på forhånd, og det aftales, hvem der kan stoppe testen. Valget mellem testmiljø og produktion påvirker både risikoen og det, resultatet kan bruges til. → Penetrationstest i produktion eller testmiljø

Skal vores IT-leverandør vide det?

Ligger systemerne hos en leverandør, skal leverandøren normalt give tilladelse. Hvem der ellers skal vide det, aftales før testen.

Hvad indeholder rapporten?

Et resumé, en beskrivelse af scope og metode, fundene med alvorlighed, dokumentation og anbefalinger, og tekniske bilag. → Sådan læser I en pentestrapport · Ordbog for penetrationstest

Hvor ofte skal vi teste?

Mange tester de vigtigste systemer én gang om året og efter væsentlige ændringer. → Hvor ofte skal I teste?

Hvad er en retest?

En senere kontrol af, om bestemte fund er rettet. Den efterprøver de aftalte fund og ændringer, men er ikke en ny, bred test. → Retest efter penetrationstest

Kan vores egen leverandør lave testen?

Det kan den, men rapporten er lettere at stole på, når testeren ikke selv har bygget eller drevet systemerne. → Uafhængig penetrationstest

Hvad koster en penetrationstest?

Det afhænger af omfang, kompleksitet og tidsramme. Sammenlign derfor tilbud på samme opgavebeskrivelse og ikke kun på prisen. Nielco IT giver tilbud på den konkrete opgave. → Sammenlign tilbud på penetrationstest · Pris og tilbud på nielcoit.dk

Er der opgaver, I ikke påtager jer?

Ja. Vi påtager os ikke opgaver i straffesager eller for personer med kriminelle relationer. → Det påtager vi os ikke

Behandler I resultatet fortroligt?

Ja. Rapporten tilhører opdragsgiveren, og Nielco IT underskriver fortrolighedsaftale på forespørgsel.

→ Kontakt · Tlf. 70 13 63 23