En pentestrapport kan bestå af en kort del til ledelsen og en lang teknisk del bagest. Hvem der skal læse bilagene, afgøres af, hvad de skal bruges til: at rette fundene, at kontrollere rettelserne og at forstå, hvad testen dækkede.
Bilagene er først og fremmest skrevet til dem, der skal handle på fundene. Ledelse, kunder og revisorer har sjældent brug for dem, og de bør behandles som den mest fortrolige del af rapporten.
Hvad bilagene kan indeholde
Indholdet varierer mellem testere og opgaver. Bilagene kan fx rumme en trinvis beskrivelse af, hvordan et fund blev påvist, uddrag af systemernes svar, skærmbilleder, lister over de adresser og konti, der indgik, og noter om forhold, der ikke blev til egentlige fund.
Det er denne detaljegrad, der gør bilagene nyttige. En udvikler kan se præcis, hvor problemet opstod, og en tester kan senere gentage kontrollen. Samtidig er det den samme detaljegrad, der gør dem følsomme. → Dokumentation af fund
Spørg ved bestillingen, hvad bilagene vil indeholde, og i hvilken form de afleveres. Nogle testere lægger dem i selve rapporten, andre i separate filer. Formen har betydning for, hvordan I senere kan dele rapportens øvrige dele.
Modtagerne: dem, der retter og efterprøver
Den primære modtager er den eller de personer, der skal rette fundene. Det kan være en intern udvikler, driftsleverandøren eller softwareleverandøren bag ERP-systemet. De skal have de dele af bilagene, der vedrører deres fund, og ikke nødvendigvis det hele.
Den IT-ansvarlige hos jer har også brug for bilagene for at kunne vurdere leverandørens svar. Melder leverandøren, at et fund er rettet, er det bilagene, der viser, hvad der oprindeligt blev påvist, og hvad en kontrol skal besvare. → Hvem retter? Ansvar mellem virksomhed og leverandør
Endelig skal den, der udfører en retest, have adgang til de oprindelige bilag. Er det en anden tester end den første, bør det aftales, hvordan bilagene overdrages sikkert.
Bilagene er skrevet til fagfolk og forudsætter en vis teknisk viden. Har virksomheden ikke selv den viden, kan det være en fordel at få testeren til at gennemgå bilagene sammen med den, der skal rette. En fælles gennemgang kan afklare misforståelser, før de bliver til forkerte rettelser, og den giver leverandøren mulighed for at stille spørgsmål til det, der er påvist. Det kan aftales som en del af afslutningsmødet. → Afslutningsmødet efter penetrationstesten
Hvem der ikke behøver bilagene
Ledelsen har brug for resuméet, de vigtigste fund og de beslutninger, der skal træffes. Bilagene giver sjældent ledelsen mere viden, men de øger antallet af personer med adgang til følsomme detaljer. → Resuméet i pentestrapporten
Det samme gælder kunder, der beder om dokumentation for, at en test er gennemført. Deres behov kan dækkes af en kort erklæring eller rapportens indledende dele. → Testerklæring til kunder
Revisorer og forsikringsselskaber kan som udgangspunkt nøjes med oplysninger om, at testen er gennemført, hvad den dækkede, og hvordan fundene følges op. Bilagene kan blive relevante i særlige tilfælde, men bør ikke sendes uopfordret.
Bilag og fortrolighed
Bilagene kan beskrive svagheder, der endnu ikke er rettet, sammen med det, der skal til for at påvise dem. Det gør dem til den del af rapporten, der kan gøre mest skade i de forkerte hænder. De bør derfor have den strengeste adgangskontrol.
I praksis betyder det, at bilagene opbevares et sted med navngiven adgang, at de ikke sendes som almindelige vedhæftede filer, og at kopier hos leverandører slettes, når opgaven er løst. Aftal på forhånd med testeren, hvordan de afleveres. → Opbevaring og sletning af rapport og testdata
Bilagene kan også indeholde oplysninger om personer, fx brugernavne eller uddrag af data, som testeren har set undervejs. Det er endnu en grund til at begrænse adgangen. Datatilsynet har vejledning om sikkerhed ved behandling af personoplysninger.
Når bilag skal deles uden for huset
Nogle gange er det nødvendigt at sende bilag til en ekstern part, fx den leverandør, der skal rette. Send kun de afsnit, der vedrører leverandørens system. Et fund i webshoppen skal ikke deles med den leverandør, der står for kontornettet.
Beder en kunde eller samarbejdspartner om hele rapporten inklusive bilag, bør det overvejes nøje, før der siges ja. Tænk over, om behovet kan dækkes på anden vis, og om der skal en fortrolighedsaftale til. → Deling af pentestrapporten: hvem må se den?
Bilagene ved næste test
Bilagene har også værdi, efter at fundene er rettet. De dokumenterer, hvad der blev undersøgt, og kan hjælpe den næste tester med at forstå, hvor de svage steder lå. Ved en ny test kan de bruges til at se, om gamle problemer er vendt tilbage.
Det taler for at gemme dem, men under samme adgangskontrol som før. Beslut, hvor længe de skal opbevares, og hvem der har ansvaret for at slette dem, når den tid kommer.
Bilagene kan også gøre det lettere at bestille næste test. Listerne over de adresser, konti og funktioner, der indgik, viser præcis, hvad den forrige opgave dækkede. Sammenlignet med en opdateret oversigt over jeres systemer kan de afsløre, hvad der er kommet til siden, fx en ny funktion i kundeportalen eller en ny adgang for driftsleverandøren. Den viden hører hjemme i den næste opgavebeskrivelse, så testen følger med ændringerne og ikke blot gentager sidste års område.
Det skal I lade være med
- At sende hele rapporten til alle · resuméet og fundoversigten dækker ledelsens behov.
- At lægge bilagene på et fælles drev · adgangen skal være navngiven.
- At give leverandøren bilag om andres systemer · del kun det, der vedrører leverandørens opgave.
- At slette bilagene, før en retest er gennemført · kontrollen bygger på den oprindelige dokumentation.
- At glemme kopier hos eksterne · aftal sletning, når opgaven er løst.
Hvad kan og ikke kan konkluderes
Bilagene kan vise, hvordan et fund blev påvist, og hvad der var omfattet af testen. De kan ikke alene vise, om et fund er alvorligt for virksomheden. Den vurdering kræver viden om systemets betydning, som rapportens hoveddel og jeres egen vurdering skal give.
At bilagene er omfattende, siger heller ikke noget om testens kvalitet. Mange detaljer om få systemer er ikke det samme som en bred undersøgelse. Omvendt kan korte bilag være tilstrækkelige, hvis fundene er enkle og godt beskrevet i rapportens hoveddel.
Tjekliste til bilagene
- ☐ Er det aftalt, hvad bilagene indeholder, og hvordan de afleveres?
- ☐ Er modtagerne valgt ud fra, hvad de skal bruge bilagene til?
- ☐ Får hver leverandør kun de afsnit, der vedrører den?
- ☐ Opbevares bilagene med navngiven adgang?
- ☐ Er oplysninger om personer i bilagene vurderet?
- ☐ Er sletning hos eksterne aftalt?
- ☐ Er bilagene til rådighed ved en retest?
Kilder
- Datatilsynet: vejledning om behandling og sikkerhed for personoplysninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Testerklæring til kunder · Retest efter penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
