Ordet etisk hacker lyder som en garanti, men det er i sig selv kun en betegnelse. Det, der gør hacking tilladt, er en dokumenteret tilladelse fra den, der råder over systemerne, og en aftale, der beskriver, hvad der må gøres, hvornår og med hvilket formål.
Svaret på titlens spørgsmål er derfor kort: hacking er tilladt, når den part, der har ret til at give lov, har givet lov til netop den aktivitet. En etisk hacker er en person, der kun arbejder på den måde og behandler det, der findes, fortroligt. Teknikken kan være den samme som hos en angriber. Forskellen ligger i samtykke, formål og ansvar.
Et ord om adfærd, ikke om kunnen
Betegnelsen bruges om personer, der afprøver sikkerhed for at gøre systemer stærkere. Den bruges også i navne på kurser og titler. Ordet siger dog ikke i sig selv noget om faglig dygtighed, uddannelse eller erfaring med jeres type systemer. En dygtig tester og en nybegynder kan begge kalde sig etiske hackere.
For køberen betyder det, at ordet ikke kan bære en vurdering. Hvis et tilbud bruger det, så spørg, hvad det konkret indebærer: hvem udfører arbejdet, efter hvilke regler, og hvordan dokumenteres det? Hvad rollen indebærer i det daglige arbejde, er beskrevet i → Hvad laver en penetrationstester?
Tilladelsen trækker grænsen
Dansk ret skelner mellem berettiget og uberettiget adgang. Straffelovens § 263 handler om at skaffe sig uberettiget adgang til en andens datasystem eller data. En god hensigt ændrer ikke på, om adgangen var berettiget. Det er tilladelsen, der gør forskellen. Teksten her er generel og ikke juridisk rådgivning.
Tilladelsen skal komme fra den rigtige part. En medarbejder i kundeservice kan ikke give lov til at afprøve webshoppen, og virksomheden kan ikke alene give lov til at afprøve en platform, som hostingfirmaet råder over. Hvem der kan godkende hvad, er gennemgået i → Er en penetrationstest lovlig?
Tilladelsen skal også være præcis. Den bør nævne systemer, tidsrum, udførende part og de handlinger, der er omfattet. En bred mail om at teste sikkerheden giver begge parter et dårligt grundlag, hvis noget senere går galt. De praktiske spilleregler hører hjemme i → Rules of engagement
Etik rækker længere end tilladelsen
En aftale kan give lov til meget, men en etisk tester gør ikke mere end opgaven kræver. Hvis testeren får adgang til personoplysninger i ERP-systemet, er det nok at påvise adgangen. Det er ikke nødvendigt at åbne, kopiere eller gemme flere oplysninger end dokumentationen kræver.
Det samme gælder påvirkning af driften. Hvis en handling kan forstyrre kundeportalen for rigtige brugere, bør testeren stoppe og afklare med kontaktpersonen, også selv om handlingen teknisk ligger inden for scope. Forsigtighed over for systemer, der bruges af andre, er en del af den etiske ramme.
Ærlig rapportering hører med. En etisk tester skriver, hvad der ikke blev undersøgt, og hvor sikker en vurdering er. Fund overdrives ikke for at gøre indtryk og nedtones ikke for at gøre kunden tilfreds. Endelig behandles alt materiale fortroligt og bruges kun til opgaven. En fortrolighedsaftale kan gøre den forpligtelse tydelig for begge parter. → NDA ved penetrationstest
Også egne medarbejdere skal have lov
Tilladelsen er ikke kun et spørgsmål for eksterne testere. En IT-medarbejder, der har adgang til kontornettet i det daglige, har ikke dermed lov til at afprøve sikkerheden i det. Adgang til at drive og vedligeholde et system er noget andet end et mandat til at forsøge at omgå dets beskyttelse.
Hvis en medarbejder skal teste egne systemer, bør opgaven godkendes af ledelsen eller systemejeren på samme måde som en ekstern opgave: med scope, tidsrum og en plan for, hvad der sker med resultaterne. Det beskytter både virksomheden og medarbejderen, hvis en handling får uventede følger, eller hvis nogen senere spørger, hvorfor aktiviteten fandt sted. Systemer, der drives af en leverandør, kræver stadig leverandørens accept, også når testen udføres indefra. → Intern sikkerhedstest af egne systemer
Når en fremmed melder en svaghed
Nogle gange henvender en person sig uopfordret og fortæller, at der er en svaghed i virksomhedens løsning. Personen kalder sig måske etisk hacker. Har ingen givet lov, var undersøgelsen ikke en del af en aftale, uanset hensigten. Betegnelserne for den situation er forklaret i → Hackere og deres hatte.
For virksomheden er det første skridt at tage selve oplysningen alvorligt og få den undersøgt af dem, der har ansvaret for systemet. Spørgsmålet om, hvordan henvendelsen i øvrigt skal håndteres, kan kræve juridisk vurdering. Nogle virksomheder vælger på forhånd at offentliggøre, hvordan sikkerhedshenvendelser modtages, eller at åbne en ordning med faste regler. Forskellen på sådan en ordning og en bestilt test beskrives i → Bug bounty eller penetrationstest
Sådan bruger I ordet i en bestilling
Brug ikke etisk som erstatning for en aftale. Bed i stedet om de ting, ordet burde stå for, og få dem skrevet ind:
- Skriftlig tilladelse fra de parter, der råder over hvert system i scope.
- Klare rammer for systemer, tidsrum, metoder og stop.
- Dataminimering, så der ikke hentes mere end dokumentationen kræver.
- Fortrolighed om fund, materiale og oplysninger om jeres løsning.
- Ærlig rapport med begrænsninger, usikkerheder og det, der ikke blev nået.
- Aftalt oprydning af testkonti og materiale efter afslutning.
Kan leverandøren ikke svare på punkterne, siger det mere end en titel.
Det skal I lade være med
- At lade titlen erstatte tilladelsen · uden en godkendelse fra den rigtige part er aktiviteten ikke en bestilt test.
- At give lov på andres vegne · systemer hos hostingfirmaet eller driftsleverandøren kræver deres accept.
- At godkende en uklar ramme · det, der ikke står i aftalen, kan ingen af parterne senere henvise til.
- At ignorere en uopfordret henvendelse · selve oplysningen om en svaghed kan være vigtig, selv om fremgangsmåden ikke var aftalt.
- At antage, at etisk betyder fortroligt · fortrolighed skal aftales.
Hvad kan og ikke kan konkluderes
At en person kalder sig etisk hacker, kan ikke bruges som dokumentation for tilladelse, kvalitet eller fortrolighed. Det kan aftalen, tilladelsen og den måde, arbejdet faktisk udføres og rapporteres på.
En gyldig tilladelse kan gøre en test lovlig at gennemføre inden for de aftalte rammer. Den kan ikke afgøre alle spørgsmål om personoplysninger, medarbejdere eller tredjeparter, som hver kan kræve deres egen vurdering.
Tjekliste før I giver lov
- ☐ Er det klart, hvem der råder over hvert system i scope?
- ☐ Har alle relevante parter givet skriftlig tilladelse?
- ☐ Nævner tilladelsen udførende part, tidsrum og handlinger?
- ☐ Er dataminimering og fortrolighed aftalt?
- ☐ Er der en kontaktperson, der kan stoppe testen?
- ☐ Ved I, hvordan uopfordrede henvendelser om svagheder skal modtages?
Kilder
- Straffeloven, § 263: uberettiget adgang til en andens datasystem eller data.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Hackere og deres hatte · Krav til penetrationstesteren
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
