Det sker, at virksomheden eller dens leverandør mener, at et fund er vurderet for hårdt, eller i sjældnere tilfælde for mildt. Uenigheden er ikke et problem i sig selv. Den bliver først et problem, når den ikke afklares, eller når den forsvinder uden spor. En god håndtering hviler på to ting: en saglig dialog om, hvad uenigheden præcis handler om, og en dokumentation, der viser både testerens vurdering og jeres egen.
Afslutningsmødet er det naturlige sted at tage uenigheden op første gang. Hvordan mødet forberedes, er beskrevet i → Afslutningsmødet efter penetrationstesten. Her handler det om selve uenigheden, og om hvad der sker, hvis den ikke løses på mødet.
Find ud af, hvad I er uenige om
En uenighed om alvorlighed er sjældent en uenighed om det hele. Den handler som regel om én af fire ting, og det hjælper at finde ud af hvilken:
- Fakta · er beskrivelsen af fundet korrekt, eller har testeren misforstået, hvordan systemet virker?
- Antagelser · bygger vurderingen på en forudsætning, der ikke holder, fx om hvem der kan nå svagheden?
- Betydning · er scoren korrekt beregnet, men passer den ikke til fundets betydning for netop jer?
- Kompenserende beskyttelse · findes der andre foranstaltninger, som testeren ikke kendte til?
De fire kræver forskellige svar. En faktuel fejl skal rettes i rapporten. En uenighed om betydningen kan derimod være legitim, uden at nogen af parterne tager fejl, fordi testeren beskriver svagheden, mens virksomheden vurderer sin egen risiko. → Sårbarhed, fund og risiko
Skalaen giver plads til jeres forhold
En rapport angiver ofte alvorligheden med CVSS. FIRST beskriver i specifikationen for version 4.0 flere grupper af målinger, herunder målinger af det konkrete miljø, som kan bruges til at afspejle forhold hos den enkelte organisation. En grundscore uden miljødelen er ikke en vurdering af jeres risiko.
Det betyder, at en del uenigheder kan løses ved at skelne mellem to tal: testerens vurdering af svagheden og jeres vurdering af betydningen. Begge kan stå i dokumentationen. Spørg testeren, hvilke dele af skalaen scoren bygger på, og drøft de konkrete antagelser frem for selve tallet. → CVSS-score
Før dialogen med testeren
En uenighed skal føres på grundlag af oplysninger, ikke fornemmelser. Saml det, der understøtter jeres opfattelse, før I tager kontakt.
- Beskriv uenigheden præcist · hvilket fund, hvilken del af vurderingen, og hvad mener I i stedet?
- Find dokumentationen · beskrivelser af opsætning, adgangsregler eller beskyttelser, som understøtter jeres opfattelse.
- Inddrag den rette person · den, der kender systemet bedst, gerne sammen med den, der ejer det.
- Skriv det ned · send uenigheden skriftligt, så testeren kan forholde sig til den.
Hvis det er leverandøren, der er uenig, så bed om leverandørens begrundelse skriftligt og send den videre. Virksomheden bør selv stå for kontakten til testeren, så det er klart, hvem der ejer sagen. → Når leverandøren afviser et fund
Testerens rolle og uafhængighed
Testeren skal kunne justere en vurdering, når der kommer nye oplysninger, og fastholde den, når oplysningerne ikke ændrer billedet. Begge dele er en del af opgaven. Det er ikke en fejl, at testeren fastholder en vurdering, og det er heller ikke et nederlag at justere den.
Pres på testeren for at nedjustere fund uden saglig begrundelse undergraver rapportens værdi. En rapport, hvor alvorlighederne er forhandlet ned, er mindre troværdig for de modtagere, der skal bruge den, fx en kunde eller en revisor. Hold derfor fast i, at dialogen handler om fakta og antagelser. Det beskytter også jer selv, fordi en vurdering, der er justeret på et sagligt grundlag, holder, når andre senere læser rapporten. → Uafhængig penetrationstest
To udfald, begge dokumenteret
Dialogen ender som regel på én af to måder. Enten justerer testeren vurderingen, og rapporten opdateres i en ny udgave med en note om ændringen. Eller testeren fastholder vurderingen, og virksomheden noterer sin egen vurdering og begrundelse ved siden af, i jeres egen oversigt over fund.
I begge tilfælde skal det være muligt bagefter at se, at der var en uenighed, hvad den handlede om, og hvordan den blev afsluttet. Slet aldrig testerens vurdering fra jeres egne oversigter. En senere læser skal kunne se begge.
Notér også datoen og navnene på dem, der deltog i drøftelsen. Ved næste test kan samme spørgsmål dukke op, og så er det en fordel at kunne se, hvad der blev lagt til grund sidst, og hvilke oplysninger testeren fik.
Hvis I vælger at prioritere fundet lavere end rapporten, er det en prioritering eller i nogle tilfælde en risikoaccept, og den skal behandles som sådan. → Risikoaccept
Når uenigheden ikke kan løses
Nogle uenigheder bliver ikke afklaret, selv efter en grundig dialog. Testeren fastholder, og virksomheden er stadig ikke overbevist. Så er det vigtigt, at sagen ikke bare går i stå, for fundet står fortsat i rapporten og skal håndteres.
Løft sagen til den, der ejer systemet, eller til ledelsen, hvis fundet er alvorligt. De skal ikke afgøre den faglige uenighed, men beslutte, hvordan virksomheden vil handle: rette fundet alligevel, prioritere det lavere med en begrundelse eller acceptere risikoen. Beslutningen kan træffes, selv om uenigheden består.
Hvis uenigheden har stor betydning, fx fordi rapporten skal deles med en kunde, kan det være relevant at få en anden fagperson til at se på fundet. Aftal i så fald, hvad den anden vurdering skal omfatte, og at den dokumenteres på samme måde som den første. En ny test af samme forhold kan også være en mulighed, men den besvarer kun det, den bliver bestilt til. → Retest efter penetrationstest
Det skal I lade være med
- At diskutere tallet frem for antagelserne. Uenigheden ligger ofte i én forudsætning.
- At presse testeren uden ny dokumentation. En forhandlet rapport mister værdi.
- At lade leverandøren føre sagen alene. Det er jeres rapport og jeres beslutning.
- At fjerne testerens vurdering fra oversigten. Begge vurderinger skal kunne ses.
- At lade uenigheden blive mundtlig. Det, der ikke er skrevet ned, kan ikke genfindes.
Hvad kan og ikke kan konkluderes
En afklaret uenighed viser, at fundet er drøftet, og at begge parters vurdering er dokumenteret. Den afgør ikke, hvem der havde ret i en objektiv forstand, især ikke når uenigheden handler om betydning frem for fakta. En justeret vurdering ændrer heller ikke selve svagheden. Den ændrer kun beskrivelsen af, hvor alvorlig den er under de forudsætninger, der nu er lagt til grund.
Tjekliste ved uenighed
- ☐ Er det klart, om uenigheden handler om fakta, antagelser, betydning eller beskyttelse?
- ☐ Er uenigheden beskrevet skriftligt?
- ☐ Er dokumentationen for jeres opfattelse samlet?
- ☐ Er det virksomheden, der har kontakten til testeren?
- ☐ Er udfaldet noteret i rapporten eller i jeres oversigt?
- ☐ Kan både testerens og jeres vurdering genfindes?
Kilder
- FIRST CVSS v4.0: grupperne af målinger, herunder miljømålinger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Prioritering af rettelser · Dokumentation af fund
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
