En tester arbejder inde i jeres systemer og kan derfor se forhold, som ingen andre har lagt mærke til. Det kan være spor, der ikke stammer fra testen, men fra en uvedkommende, der allerede har været der eller stadig er det.
Når det sker, skal testen stoppe i det berørte område, en navngiven person hos jer skal have besked med det samme, og sagen skal overdrages til dem, der håndterer sikkerhedshændelser. Testeren skal ikke selv undersøge eller rydde op. Hvordan det foregår, bør være aftalt, før testen begynder.
Hvad testeren kan støde på
Testeren leder efter svagheder og ser undervejs mange dele af systemerne. Nogle af de ting, der kan vække mistanke, er konti, ingen kan forklare, filer eller programmer, der ikke hører hjemme, ændringer i opsætningen, som ingen har bestilt, og aktivitet, der foregår samtidig med testen, men ikke er testerens egen.
Ingen af disse forhold beviser i sig selv et angreb. En ukendt konto kan være oprettet af driftsleverandøren og aldrig dokumenteret. En mærkelig fil kan stamme fra en gammel opgave. Men tegnene er alvorlige nok til, at de skal vurderes af nogen med mandat til at handle, og ikke vente på rapporten.
Det, testeren ser, kan være det første spor af en sag, der allerede er i gang. Derfor er tid en faktor, og derfor skal vejen fra testeren til den rette person være kort.
Testens aktivitet eller en andens?
Under en test kan det være svært for andre at skelne mellem testerens aktivitet og en uvedkommendes. Overvågningen kan slå alarm på grund af testen, og en rigtig hændelse kan gemme sig bag den forventede aktivitet.
Det gør det vigtigt, at testerens aktivitet kan genkendes. Aftal, hvorfra testen udføres, i hvilket tidsrum, og hvem der kan bekræfte, at en given aktivitet hører til testen. Den viden skal ligge hos overvågningen og driftsleverandøren, så de kan kontakte jeres kontaktperson, når noget ikke passer. → Skal overvågningen eller SOC’en have besked?
Omvendt skal testeren kunne spørge, om en bestemt aktivitet er kendt. Hvis driftsleverandøren laver planlagte ændringer i testperioden, bør testeren vide det, så det ikke forveksles med tegn på et angreb.
Stop og besked: aftal det før testen
Spillereglerne for testen bør indeholde et punkt om, hvad der sker, hvis testeren finder tegn på en rigtig hændelse. Punktet skal svare på tre ting: hvornår testeren stopper, hvem der får besked, og hvordan beskeden gives. → Rules of engagement
Udpeg en primær kontaktperson og en stedfortræder, som kan nås i hele testvinduet. Aftal en kanal, der ikke afhænger af de systemer, der testes. Hvis mailsystemet kan være berørt, er en mail til IT-afdelingen ikke den rette vej. En telefon er mere sikker.
Det skal også stå, at testeren ikke selv forfølger sporene. Testerens tilladelse gælder den aftalte test. Den dækker ikke en undersøgelse af en hændelse, og testerens fortsatte arbejde kan ødelægge spor, som senere skal bruges. Punktet kan gennemgås på opstartsmødet, så alle kender det. → Opstartsmødet før penetrationstesten
Hvem tager over?
Når kontaktpersonen har fået besked, er det virksomhedens beredskab, der overtager. Det kan være en intern funktion, driftsleverandøren eller en ekstern part, I har aftale med. Hvem det er, bør være afklaret i jeres beredskabsplan, uafhængigt af testen.
Hvis I ikke har en beredskabsplan, er testen en god anledning til at lave i det mindste en kort udgave: hvem der beslutter, hvem der kontaktes udefra, og hvem der taler med ledelsen. Det er svært at finde ud af, mens en sag står på.
Kontaktpersonen skal også vurdere, om andre skal underrettes. Hvis personoplysninger kan være berørt, kan der være pligt til at anmelde et brud til Datatilsynet. Virksomheder, der er omfattet af NIS2, kan have pligt til at underrette myndighederne om væsentlige hændelser. Vurder pligterne ud fra kilderne og eventuelt med juridisk rådgivning. Teksten her er ikke juridisk rådgivning.
Spor skal bevares, ikke ryddes
Den naturlige reaktion er at lukke kontoen, slette filen og komme videre. Det kan være forkert. Hvis der har været en uvedkommende i systemerne, kan sporene være nødvendige for at forstå, hvad der skete, hvor længe det har stået på, og om andre systemer er berørt.
Lad derfor beslutningen om oprydning ligge hos beredskabet. Testeren bør notere, hvad der blev set, hvornår og hvor, og overdrage noterne. Mere skal testeren som udgangspunkt ikke gøre.
Det samme gælder driftsleverandøren. En leverandør, der hører om sagen, kan ønske at handle hurtigt. Aftal, at også leverandøren venter på beredskabets beslutning, medmindre driften er i akut fare. → Driftsleverandøren og testen
Hvad sker der med testen og rapporten?
En hændelse ændrer forudsætningerne for testen. Den kan sættes på pause i det berørte område, flyttes eller afbrydes helt. Det er virksomhedens beslutning sammen med testeren, og den bør skrives ned. → Ændring af opgaven undervejs
Rapporten bør beskrive, at testen stødte på tegn på en hændelse, hvornår det skete, og hvordan testen blev påvirket. Detaljerne om selve hændelsen hører hjemme i beredskabets dokumentation, ikke i testrapporten.
Når hændelsen er håndteret, kan der være brug for en ny test, der viser, om de tiltag, der er gjort, holder. → Efter en sikkerhedshændelse
Det skal I lade være med
- At lade testeren undersøge sporene · testerens tilladelse gælder testen, ikke en undersøgelse af en hændelse.
- At rydde op med det samme · beslutningen om oprydning ligger hos beredskabet, så spor ikke går tabt.
- At bruge en kanal, der kan være berørt · aftal en vej til kontaktpersonen uden om de testede systemer.
- At vente på rapporten · tegn på en hændelse skal meldes med det samme.
- At starte testen uden en aftale · stop, besked og overdragelse skal stå i spillereglerne.
Hvad kan og ikke kan konkluderes
En tester kan pege på forhold, der giver grund til mistanke om en hændelse. Testeren kan ikke afgøre, om der har været et angreb, hvor omfattende det er, eller hvad der er sket. Det kræver en egentlig undersøgelse.
At en test ikke stødte på tegn på en hændelse, betyder ikke, at der ikke har været en. Testen leder efter svagheder, ikke efter spor af tidligere indbrud.
Tjekliste til aftalen før testen
- ☐ Står det i spillereglerne, hvad testeren gør ved tegn på en hændelse?
- ☐ Er der en primær kontaktperson og en stedfortræder i hele testvinduet?
- ☐ Er kanalen til kontaktpersonen uafhængig af de testede systemer?
- ☐ Ved overvågningen og driftsleverandøren, hvordan testen genkendes?
- ☐ Er det klart, hvem der overtager som beredskab?
- ☐ Er det aftalt, at spor bevares, til beredskabet har besluttet andet?
- ☐ Er pligter over for Datatilsynet og eventuelt NIS2 vurderet?
Kilder
- Datatilsynet: vejledning om brud på persondatasikkerheden og anmeldelse.
- NIS2-direktivet (EU) 2022/2555: artikel 23 om underretning om væsentlige hændelser.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Efter en sikkerhedshændelse · Hvis noget går ned under testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
