Uafhængig penetrationstest: hvorfor testeren ikke bør være jeres egen leverandør

En test er kun så troværdig som den, der har lavet den. Har testeren selv bygget, drevet eller solgt det, der testes, har testeren en interesse i resultatet, og den interesse kan farve både fund og formuleringer.

Uafhængighed handler ikke om, at nogen er uærlig. Det handler om, at en læser af rapporten skal kunne stole på den uden at kende de mennesker, der har lavet den.

Hvad uafhængighed betyder

En uafhængig tester har ingen andel i det, der testes. Det betyder typisk:

Har ikke bygget systemet · hverken koden, netværket eller opsætningen.
Driver det ikke · har ikke ansvaret for den daglige drift.
Sælger ikke løsningen · tjener ikke på de produkter, rapporten anbefaler.

Jo flere af de tre, der er opfyldt, jo lettere er det at bruge rapporten over for andre.

Ved en kundeportal bør I spørge til både testerens firma og den person, der udfører arbejdet. Et andet firmanavn fortæller ikke alene, om testeren tidligere har udviklet løsningen eller bistået driftsleverandøren. Beskriv de relevante forbindelser, så vurderingen ikke alene hviler på betegnelsen “ekstern”.

Skeln også mellem opgaverne. At give oplysninger om ERP-systemet er ikke det samme som at vurdere resultatet af sin egen opsætning. Systemleverandøren kan bidrage med dokumentation, mens en anden part undersøger løsningen og skriver konklusionerne. Det er denne fordeling, køberen skal kunne se i bestillingen.

Hvorfor det betyder noget

Når en leverandør både driver og tester webshoppen, vurderer leverandøren også dele af sit eget arbejde. Det er en interesse, som rapportens modtager bør kende. Forholdet dokumenterer ikke i sig selv, at testen er mangelfuld, men det er relevant for, hvordan resultatet bliver præsenteret.

En kunde, der beder om en uafhængig vurdering af portalen, kan have brug for at skelne mellem leverandørens egen kontrol og en særskilt undersøgelse. Send derfor en beskrivelse af testerens rolle sammen med rapporten, hvis modtageren kræver det. Lad ikke modtageren gætte ud fra logoet.

Ved ERP-systemet bør I også afklare, hvem der kan kommentere fund, før rapporten er færdig. Leverandøren kan rette faktuelle fejl og forklare opsætningen. Testeren bør fortsat stå inde for vurderingen. Formålet er, at læseren kan skelne mellem en teknisk forklaring og en ændret konklusion.

Når kunder og standarder spørger

Kunder, der beder om en rapport, spørger ofte også, hvem der lavede den. Nogle standarder stiller krav om organisatorisk uafhængighed. PCI DSS kræver for eksempel, at testeren er uafhængig af det, der testes, men ikke nødvendigvis ekstern (krav 11.4).

En intern sikkerhedsfunktion kan derfor godt være uafhængig af den afdeling, der driver systemet. Det afgørende er, at testeren ikke vurderer sit eget arbejde.

En webshop kan modtage et krav om test som del af et kundeforhold. Spørg modtageren, hvad “uafhængig” betyder i den konkrete aftale. Det kan være utilstrækkeligt blot at vælge en anden afdeling hos samme driftsleverandør, hvis kunden forventer en anden virksomhed.

Kravet om kvalificeret tester og organisatorisk uafhængighed fremgår også af PCI DSS krav 11.4.2 og 11.4.3. Henvisningen afgør ikke, om netop jeres webshop er omfattet. Afklar det relevante vurderingsgrundlag, frem for at gøre en enkelt test til et løfte om opfyldelse af alle krav.

Anbefalinger uden salg

En rapport indeholder anbefalinger. Kommer de fra en, der også sælger løsningerne, kan det være svært at vide, om anbefalingen er den bedste eller den, der sælger. Det gælder især anbefalinger om nye produkter.

En tester uden produkter at sælge kan anbefale det, der løser problemet, også når det er en ændring i opsætningen og ikke et køb. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber. → Om penetrationtest.dk

For et gæstenet kan en anbefaling handle om at ændre en eksisterende opsætning. Hvis rapporten i stedet anbefaler et nyt produkt, bør begrundelsen forklare, hvilket fund anbefalingen løser. Produktnavnet er ikke i sig selv dokumentation for, at problemet kræver et indkøb.

Det samme gælder ERP-systemet. Hold den påviste fejl, den ønskede sikkerhed og et eventuelt løsningsforslag adskilt. Så kan den ansvarlige sammen med driftsleverandøren vurdere, om anbefalingen passer til løsningen. En anbefaling skal kunne vurderes, også når testeren ikke får opgaven med at gennemføre den.

Når leverandøren skal med

En uafhængig test kræver stadig samarbejde med leverandøren. Ved en kundeportal kan leverandøren forklare roller og funktioner, mens hostingfirmaet kan have relevante vilkår. Bestilleren skal afklare bidragene uden at lade leverandøren blive eneansvarlig for vurderingen af sin egen løsning. → Scope i en penetrationstest

Fordel opgaverne tydeligt: Testeren undersøger og dokumenterer. Systemejeren tager stilling til konsekvenserne. Den ansvarlige for ERP-driften vurderer og gennemfører de aftalte rettelser. Den konkrete aftale skal også fastlægge ejerskab og deling af rapporten; det bør ikke blot antages.

En faglig uenighed kan beskrives i rapporten. Hvis driftsleverandøren mener, at et fund på gæstenettet skyldes en tilsigtet løsning, bør forklaringen fremgå sammen med testerens vurdering. Så kan køberen tage stilling til grundlaget frem for at modtage en udglattet konklusion uden forklaring.

Spørgsmål, I kan stille

Før I vælger en tester, kan I spørge:

Har I eller jeres samarbejdspartnere bygget, drevet eller leveret noget af det, der skal testes?
Sælger I produkter eller licenser, som rapporten kan komme til at anbefale?
Hvem ejer rapporten, og hvem må I dele den med?
Hvordan behandler I fund i systemer, som jeres egne partnere har leveret?
Underskriver I en fortrolighedsaftale?

Svarene behøver ikke at diskvalificere nogen. De skal stå klart, så I kan vurdere rapporten bagefter.

Brug svarene på den konkrete opgave. Har testeren tidligere hjulpet med kundeportalen, så spørg til arbejdets karakter og betydning for den nye vurdering. Et generelt svar om virksomhedens uafhængighed fortæller ikke nødvendigvis nok om den person, der skal udføre testen.

Gennemgå også rapportens vej til modtageren. Ved et ERP-system med flere leverandører bør det være klart, hvem der får fund om hvilke dele. Den praktiske forberedelse er beskrevet i → Før penetrationstesten.

Erfaring og fortrolighed

Uafhængighed er ikke nok i sig selv. Testeren skal også have erfaring med den type systemer, der testes, og kunne behandle resultatet fortroligt. En rapport om svagheder er følsomme oplysninger.

Nielco IT’s erfaring kommer fra finanssektoren, offentlige myndigheder og kritisk infrastruktur, og Nielco IT underskriver fortrolighedsaftale på forespørgsel.

Spørg til erfaring med den type løsning, der indgår, uden at kræve kunders fortrolige oplysninger. Ved en webshop kan testeren forklare, hvordan opgaven afgrænses til relevante funktioner og kundetyper. Forklaringen skal være forståelig for jer og bør ikke afhænge af fremvisning af en anden kundes rapport.

Ved ERP-systemet kan rapporten indeholde oplysninger, som kun bestemte modtagere har brug for. Afklar derfor fortrolighed og adgang til materialet i aftalen. En underskrevet fortrolighedsaftale gør ikke i sig selv en tester uafhængig, og uafhængighed erstatter ikke beskyttelse af oplysningerne.

Det skal I lade være med

At lade leverandøren teste sig selv og sende rapporten videre som uafhængig.
At vælge testeren som en del af driftsaftalen, uden at undersøge, hvem der skal vurdere arbejdet.
At glemme at spørge om partnerskaber og produkter.
At lade testeren rette fundene uden at det står i rapporten.

Undgå også at gøre driftsleverandøren til eneste modtager af rapporten om webshoppen. Virksomheden har brug for at kunne følge fundene og forstå prioriteringen. Leverandørens plan for rettelser er et nyttigt bidrag, men erstatter ikke adgang til det grundlag, vurderingen bygger på.

Hvad uafhængighed kan og ikke kan sikre

Uafhængighed gør det lettere at stole på rapporten og at bruge den over for andre. Den sikrer ikke, at testen er grundig, og den erstatter ikke et klart scope og en tydelig metode. → Sådan læser I en pentestrapport

En uafhængig undersøgelse af kundeportalen siger stadig kun noget om de omfattede funktioner og roller. Den bliver ikke en vurdering af ERP-systemet, fordi samme virksomhed bruger begge løsninger. Kontrollér derfor både testerens forhold til opgaven og den faktiske dækning.

Hvis rapporten om gæstenettet er uklar, skal uklarheden forklares, også når testeren er uafhængig. Spørg, hvad der blev undersøgt, hvilke begrænsninger der gjaldt, og hvad dokumentationen viser. Titel og tilknytning kan ikke erstatte de oplysninger.

Tjekliste

☐ Har testeren ingen andel i det, der testes?
☐ Er det klart, om testeren sælger produkter, rapporten kan anbefale?
☐ Er rollerne mellem testeren og leverandøren aftalt?
☐ Er det aftalt, at rapporten er jeres?
☐ Er der en fortrolighedsaftale, hvis I har brug for det?

Underleverandører, der skal dokumentere over for en kunde, finder mere på nis2-pentest.dk.

Gem svarene sammen med bestillingen. Hvis kunden senere spørger til testerens forhold til webshoppen, kan I forklare valget ud fra de oplyste roller og forbindelser. Undgå at lade begrundelsen afhænge af, hvem der husker samtalen.