En rapport kan være grundig og korrekt og alligevel ikke svare på det spørgsmål, virksomheden stillede. Årsagen kan ligge i afgrænsningen og ikke i testen: det, der blev udeladt, er ikke undersøgt, og resultatet kan ikke strækkes til at dække det.
Et for snævert scope er svært at se, mens opgaven bestilles. Det viser sig, når rapporten skal bruges. Ledelsen spørger, om kunderne er beskyttet, og svaret er, at det blev testet, om forsiden af kundeportalen kunne angribes uden login. Kunden beder om dokumentation for ERP-integrationen, og den var ikke med. Hvordan scope skrives, er beskrevet i → Scope i en penetrationstest. Her handler det om, hvad udeladelserne koster.
Når svaret og spørgsmålet ikke passer sammen
Et scope består af to ting: det spørgsmål, testen skal besvare, og de systemer, roller og forhold, der skal indgå for at kunne besvare det. Bliver listen over systemer kortere end spørgsmålet kræver, får testen et hul, som ingen nødvendigvis ser.
Tag webshoppen som tænkt eksempel. Spørgsmålet er, om kundernes oplysninger er beskyttet. Scope omfatter butikkens offentlige sider og kundekontoen. Administrationsdelen, hvor medarbejderne ser alle ordrer, er udeladt, fordi den ligger hos en anden leverandør. Rapporten kan være god, men den svarer kun på en del af spørgsmålet. Den del, hvor alle kunders oplysninger samles ét sted, er ikke vurderet.
Det samme kan ske på kontornettet. Spørgsmålet er, hvad en almindelig medarbejder kan nå. Testen sker fra et mødelokale på gæstenettet, fordi det var nemmest at stille til rådighed. Resultatet siger noget om gæstenettet, men intet om den adgang, en medarbejders pc har til ERP-systemet og fildrevene.
Hvordan et scope bliver for snævert
Udeladelser opstår af forståelige grunde. Det er netop derfor, de er svære at få øje på.
- Budgettet · omfanget skæres ned, så det passer til beløbet, men spørgsmålet bliver stående uændret. → Budgettet rækker til én test
- Hensynet til driften · det vigtigste system holdes ude af frygt for forstyrrelser, selv om det er det, spørgsmålet handler om.
- Manglende tilladelse · en leverandør har ikke svaret, og området udgår uden at spørgsmålet ændres. → Leverandørens godkendelse mangler
- Kopi af sidste bestilling · scope beskriver systemerne, som de så ud ved forrige test.
- Ukendte dele · integrationer, API’er og underdomæner er ikke med, fordi ingen nævnte dem. → Integrationer mellem systemer
- Uklare roller · testen sker kun med én brugertype, mens spørgsmålet gælder flere.
Ingen af grundene er forkerte i sig selv. Det er tavsheden om dem, der skaber problemet. Hvis budgettet kun rækker til en del, kan det være den rigtige beslutning. Men spørgsmålet skal så gøres mindre, så det passer til omfanget.
Tegn i rapporten på, at scope var for snævert
Når rapporten ligger på bordet, kan nogle tegn afsløre, at afgrænsningen ikke passede.
Resuméet konkluderer om noget andet, end ledelsen ville vide. Afsnittet om begrænsninger nævner systemer, som I regnede med var med. Fundene handler om randområder, mens det centrale system kun nævnes i forbifarten. Testeren har noteret, at bestemte funktioner eller integrationer lå uden for opgaven, men burde vurderes.
Et andet tegn er, at testeren har brugt meget af rapporten på at forklare, hvad der ikke kunne undersøges. Det kan skyldes manglende testkonti, et miljø, der ikke var klar, eller en integration, der var lukket af. Uanset årsagen betyder det, at dækningen blev mindre end planlagt.
Læs begrænsningsafsnittet før fundene. Det fortæller, hvad rapporten ikke siger, og det er der, et for snævert scope først bliver synligt. → Sådan læser I en pentestrapport
Hvad udeladelsen betyder for modtagerne
Et for snævert scope er mest skadeligt, når rapporten bliver læst af nogen, der ikke kender afgrænsningen. En kunde, der modtager en erklæring om, at kundeportalen er testet, kan tro, at hele portalen indgik. En bestyrelse, der hører, at testen gik godt, kan tro, at kontornettet var med.
Det er ikke testerens opgave at rette den misforståelse bagefter. Det er virksomhedens. Når rapporten eller et resumé sendes videre, skal udeladelserne følge med, så modtageren ikke tillægger resultatet en dækning, det ikke har. → Kunden beder om en pentestrapport
Når det er sket
Det første skridt er at sige det højt internt. Skriv, hvilket spørgsmål testen faktisk besvarede, og hvilket der står åbent. Det er bedre end at lade resultatet blive brugt, som om det dækkede mere.
Det næste skridt er at vurdere, om det åbne spørgsmål skal besvares nu. Hvis kunden venter på dokumentation for administrationsdelen, kan en supplerende test være nødvendig. Den skal så bestilles med sit eget scope og sin egen rapport, så de to resultater kan holdes adskilt. Hvis spørgsmålet kan vente, skal det stå i planen for næste test og ikke kun i hukommelsen.
Overvej også, om testeren kan hjælpe med at vurdere hullet. Testeren har set dele af løsningen og kan pege på de områder, der hænger sammen med det testede. Det er ikke et resultat, men det kan gøre den supplerende bestilling mere præcis.
Endelig er det værd at finde ud af, hvordan udeladelsen opstod. Var det budgettet, en manglende tilladelse eller en glemt integration? Svaret gør næste bestilling bedre.
Det skal I lade være med
- At skære i omfanget uden at skære i spørgsmålet · resultatet kan så ikke bære den konklusion, I havde brug for.
- At udelade det centrale system af hensyn til driften · find i stedet et tidspunkt eller et miljø, hvor det kan testes.
- At lade en manglende tilladelse forsvinde i stilhed · skriv, hvad der udgik, og hvorfor.
- At sende rapporten videre uden begrænsningerne · modtageren kan ikke se, hvad der ikke var med.
- At pynte på resultatet bagefter · et åbent spørgsmål er bedre end et svar, der ikke holder.
- At gentage samme scope næste gang · lær af hullet, før den nye opgave beskrives.
Hvad kan og ikke kan konkluderes
En rapport med et snævert scope kan dokumentere de fund og forhold, der blev undersøgt. Den kan være helt korrekt inden for sine rammer og stadig være værdifuld.
Den kan ikke bruges til at konkludere noget om systemer, roller eller integrationer, der var udeladt. Hullet kan ikke lukkes ved at fortolke resultatet bredt eller ved at henvise til, at der ikke blev fundet noget. Kun en undersøgelse af det udeladte kan svare på det.
Tjekliste efter et for snævert scope
- ☐ Er det skrevet ned, hvilket spørgsmål testen faktisk besvarede?
- ☐ Er de udeladte systemer, roller og integrationer listet?
- ☐ Er det klart, hvorfor de blev udeladt?
- ☐ Ved modtagerne af rapporten, hvad der ikke var med?
- ☐ Er det vurderet, om en supplerende test skal bestilles nu?
- ☐ Står de åbne spørgsmål i planen for næste test?
- ☐ Er næste scope skrevet ud fra spørgsmålet og ikke fra sidste liste?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: At genbruge sidste års opgave · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
