En kunde vil have dokumentation for, at jeres løsning er testet, men den fulde rapport beskriver svagheder, som ikke bør ligge hos andre end dem, der skal rette dem. En testerklæring kan løse det. Den hviler på to ting: at den giver kunden de oplysninger, kunden har brug for, og at den ikke påstår mere, end testen viste.
En testerklæring er et kort dokument, som bekræfter, at en penetrationstest er gennemført, hvad den omfattede, og hvornår den fandt sted. Den erstatter ikke rapporten. Den er en sammenfatning til en modtager, der skal vide, at testen er udført, men ikke behøver at kende detaljerne.
Hvorfor ikke bare sende rapporten?
Den fulde rapport kan indeholde beskrivelser af svagheder, der endnu ikke er rettet, oplysninger om arkitektur og opsætning, skærmbilleder og navne på interne systemer. Hver kopi, der sendes ud, er en kopi, I ikke selv styrer opbevaringen af. Jo flere kunder der modtager den, jo større er risikoen for, at den havner forkert.
Rapporten er desuden skrevet til jer. Den bruger begreber og detaljer, som giver mening for den, der skal rette fundene, men som kan læses forkert af en modtager uden kendskab til løsningen. Et lavt vurderet forhold kan se alarmerende ud for en indkøber, og omvendt. En erklæring gør det også lettere at give flere kunder det samme, gennemtænkte svar i stedet for at forhandle hver kopi af rapporten for sig. → Deling af pentestrapporten
Hvad en testerklæring bør indeholde
Erklæringen skal være kort, men præcis. En modtager skal kunne se, hvad der blev testet, og hvad resultatet var, uden at få en opskrift på jeres svagheder.
- Hvem der har udført testen · testerens eller firmaets navn.
- Hvem testen er udført for · jeres virksomhed og det system, det drejer sig om.
- Testperiode · datoerne for selve testen, ikke kun for erklæringen.
- Scope · de systemer, funktioner eller adresser, der indgik, og væsentlige undtagelser.
- Testtype og udgangspunkt · for eksempel ekstern test eller test med brugerlogin.
- Overordnet resultat · fordelingen af fund på alvorlighed eller en kort sammenfatning.
- Status på fund · om væsentlige fund er rettet og efterprøvet, og hvornår.
- Forbehold · at testen er et øjebliksbillede af det aftalte scope.
Scope og testperiode er de vigtigste felter. Uden dem kan erklæringen ikke vurderes, og den kan let blive læst som en erklæring om hele virksomheden. → Scope i en penetrationstest
Hvem udsteder erklæringen?
En erklæring fra testeren har en anden vægt end en, I selv skriver. Når testeren udsteder den, bekræfter en part uden for virksomheden, hvad der blev testet. Hvis kunden stiller krav om uafhængighed, er det ofte den form, der efterspørges. → Uafhængig penetrationstest
I kan også selv skrive en sammenfatning af testen. Den kan være nyttig i dialogen med kunden, men den bør ikke udgive sig for at komme fra testeren. Skriv tydeligt, hvem der er afsender, og henvis til den rapport, sammenfatningen bygger på.
Hvis I ønsker en erklæring fra testeren, så aftal det i bestillingen. Det er en ekstra leverance, og indholdet bør aftales på forhånd, så den passer til de kunder, der skal modtage den. → Opgavebeskrivelsen til testeren
Status på fund er en del af billedet
Kunden vil sjældent kun vide, at der er testet. Kunden vil vide, om de alvorlige fund er håndteret. En erklæring, der kun siger, at testen fandt et antal fund, efterlader det vigtigste spørgsmål åbent.
Skeln derfor mellem testens resultat på testdatoen og status efter jeres opfølgning. Hvis kritiske fund er rettet og efterprøvet, kan det fremgå med dato for efterprøvningen. Hvis noget er accepteret eller stadig åbent, bør erklæringen ikke skjule det. En kunde, der senere opdager et udeladt forhold, mister tilliden til hele dokumentet. → Retest efter penetrationstest
Hold styr på erklæringerne
En erklæring er knyttet til en bestemt test og en bestemt status. Når en efterprøvning lukker flere fund, eller når en ny test er gennemført, er den gamle erklæring ikke længere det bedste billede. Giv derfor hver erklæring en dato og en henvisning til den rapport og eventuelle retest, den bygger på.
Før en enkel liste over, hvilke kunder der har modtaget hvilken erklæring. Så kan I sende en opdateret udgave, når status ændrer sig, og I kan svare præcist, hvis en kunde spørger, hvilket grundlag deres kopi bygger på.
Beslut også, hvem i virksomheden der må udlevere erklæringen. Salg og kundeservice kan have brug for den i dialogen med kunder, men de bør bruge den seneste udgave og ikke tilføje egne formuleringer om sikkerheden. En fast tekst til den mail, erklæringen sendes med, mindsker risikoen for, at den bliver beskrevet bredere, end den er.
Når kunden alligevel vil have rapporten
Nogle kunder accepterer ikke en erklæring og kræver den fulde rapport eller dele af den. Spørg først, hvad kunden skal bruge den til. Det kan handle om at vurdere scope, metode og håndteringen af alvorlige fund, og det kan dækkes af erklæringen plus et resumé eller et møde, hvor kunden kan se rapporten uden at få en kopi.
Hvis den fulde rapport skal deles, så aftal fortrolighed, adgang og opbevaring skriftligt først. Overvej, om bilag med tekniske detaljer kan holdes tilbage. → Kunden beder om en pentestrapport
Softwarehuse og SaaS-leverandører, der ofte bliver bedt om dokumentation fra kunder, kan læse mere på pentestrapport.dk.
Det skal I lade være med
- At skrive, at systemet er sikkert · Erklæringen kan kun beskrive testen og dens resultat.
- At udelade scope og testperiode · Uden dem kan modtageren ikke vurdere dokumentet.
- At skjule åbne alvorlige fund · Skriv status ærligt, også når noget mangler.
- At lade jeres egen sammenfatning ligne testerens erklæring · Afsenderen skal være tydelig.
- At genbruge en erklæring efter store ændringer · Den beskriver løsningen på testdatoen.
- At sende den fulde rapport som standard · Overvej, om en erklæring dækker behovet.
Hvad kan og ikke kan konkluderes
En testerklæring kan dokumentere, at en penetrationstest er gennemført af en bestemt part, på et bestemt scope og i en bestemt periode, og hvordan væsentlige fund er håndteret. Det er ofte nok til at besvare en kundes krav om dokumentation.
Den kan ikke give modtageren grundlag for at vurdere de enkelte fund eller kvaliteten af testen i detaljer. Den siger heller intet om dele uden for scope eller om løsningen efter senere ændringer.
Tjekliste til en testerklæring
- ☐ Er afsenderen tydelig, og er det testeren eller jer selv?
- ☐ Står testperiode og scope præcist?
- ☐ Er testtype og udgangspunkt beskrevet?
- ☐ Er status på væsentlige fund angivet med dato?
- ☐ Er der et forbehold om øjebliksbillede og afgrænsning?
- ☐ Er erklæringen aftalt som leverance i bestillingen?
- ☐ Er det besluttet, hvornår en ny erklæring er nødvendig?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Kontrakten med en kunde kræver sikkerhedstest · Restrisiko
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
