Nogle virksomheder har medarbejdere med kompetencer inden for sikkerhedstest, og spørgsmålet melder sig, om de selv kan udføre penetrationstesten. Svaret afhænger af tre forhold: hvad testen skal bruges til, hvem der skal have tillid til resultatet, og om den interne tester kan se på systemerne uden at have været med til at bygge eller drive dem.
En intern tester kan give løbende indsigt, hurtig opfølgning og godt kendskab til systemerne. En ekstern tester giver et andet perspektiv og en uafhængighed, som er lettere at dokumentere over for kunder, revisorer og standarder. Modellerne udelukker ikke hinanden, og for mange formål er en kombination det mest realistiske. Det afgørende er at vælge bevidst ud fra formålet og ikke ud fra, hvem der tilfældigvis har tid.
To måder at organisere testen på
En intern tester er ansat i virksomheden eller i en koncernfunktion og tester virksomhedens egne systemer som en del af sit arbejde. En ekstern tester kommer fra en anden virksomhed og udfører testen som en afgrænset opgave efter en aftale.
Forskellen er ikke kun organisatorisk. Den påvirker, hvem der kan stille spørgsmål til resultatet, hvem der kan sige nej til en ledelse, der helst vil høre gode nyheder, og hvordan resultatet opfattes af dem, der skal bruge det udenfor virksomheden. Hvad IT-afdelingen i øvrigt må gøre i egne systemer, er beskrevet i → Sikkerhedstest af egne systemer
Hvad en intern tester kan bidrage med
Den interne tester kender systemerne, forretningen og menneskerne. Det sparer tid i forberedelsen og gør det lettere at vurdere, hvad et fund betyder i praksis.
- Kendskab · forstår, hvordan kundeportalen og ERP-systemet hænger sammen, og hvad der er vigtigt for forretningen.
- Kontinuitet · kan følge op på rettelser og efterprøve dem uden en ny aftale.
- Løbende test · kan undersøge ændringer, efterhånden som de sættes i drift, frem for at vente på en planlagt test.
- Kulturel effekt · kan løfte forståelsen af sikkerhed i udviklings- og driftsteams.
Den løbende indsats har særlig værdi, fordi systemer ændrer sig hele tiden. En intern funktion kan supplere en planlagt test med opfølgning, der ellers ikke ville blive til noget. → Sårbarhedsstyring og penetrationstest
Hvor den interne model har grænser
Den største udfordring er afstand. En tester, der har været med til at bygge eller drive et system, har svært ved at se det med nye øjne. Den samme person kan have interesse i, at resultatet ser godt ud, eller blot være vant til en løsning, som en udefra ville stille spørgsmål til.
Erfaringsbredden kan også være begrænset. En intern tester ser de samme systemer år efter år. En ekstern tester kan have arbejdet i flere forskellige miljøer og derfor genkende mønstre, som ikke er synlige indefra. Det er dog noget, der skal spørges ind til, og ikke noget, der følger af at være ekstern.
Der er også en sårbarhed i at være afhængig af en enkelt person. Rejser medarbejderen, forsvinder kompetencen og kendskabet med. Endelig kan kunder og samarbejdspartnere vægte en ekstern rapport højere, fordi den er udarbejdet af en part uden binding til virksomheden. → Kunden beder om en pentestrapport
Hvad en ekstern tester kan bidrage med
En ekstern tester ser systemerne udefra og uden de antagelser, der har sat sig hos dem, der arbejder med dem dagligt. Det er netop den afstand, der gør resultatet værdifuldt for mange modtagere.
Uafhængigheden er lettere at dokumentere. En aftale, et scope og en rapport fra en ekstern part viser, hvem der har udført arbejdet, og under hvilke rammer. Hvad uafhængighed betyder, og hvorfor testeren ikke bør være jeres egen leverandør, står i → Uafhængig penetrationstest
Standarder kan stille krav, der har betydning for valget. PCI DSS krav 11 beskriver, at penetrationstest kan udføres af en kvalificeret intern ressource eller en kvalificeret ekstern part, og at testeren skal være organisatorisk uafhængig. Læs den aktuelle ordlyd i standarden, hvis den gælder for jer, og vurdér, hvad organisatorisk uafhængighed betyder i jeres organisation. → Penetrationstest og standarder
Hvor den eksterne model har grænser
En ekstern tester skal sættes ind i systemerne, og den tid er en del af opgaven. Kendskabet forsvinder, når opgaven er slut, medmindre den samme tester bruges igen.
En ekstern test er afgrænset i tid. Den giver et billede af systemerne på et bestemt tidspunkt og følger ikke med i ændringer bagefter. Den kræver også en aftale for hver opgave, herunder for retest, og det kan gøre opfølgningen langsommere. Valget af tester kræver desuden, at virksomheden kan vurdere kvalifikationer udefra, ofte uden den faglige indsigt, en intern sikkerhedsfunktion ville have. → Krav til penetrationstesteren
Kombinationen
Mange formål er bedst tjent med begge modeller. Den interne funktion kan stå for løbende kontrol, opfølgning på rettelser og test af mindre ændringer. Den eksterne tester kan bruges, når der skal et uafhængigt blik på, eller når resultatet skal vises til nogen uden for virksomheden. Den interne funktion kan samtidig være en god modtager af den eksterne rapport, fordi den kan omsætte fundene til opgaver og følge dem til dørs.
Kombinationen kræver, at rollerne er tydelige. Den interne funktion bør ikke rette rapportens vurderinger fra den eksterne test, og den eksterne tester bør have adgang til de oplysninger, den interne funktion har samlet, hvis det er relevant for opgaven. Om den eksterne tester bør skiftes over tid, er et selvstændigt spørgsmål. → Samme tester hvert år, eller skift?
Det skal I lade være med
- At lade bygherren teste sit eget byggeri · Den, der har lavet løsningen, bør ikke være den, der vurderer den.
- At vælge ud fra ledig tid · Formålet afgør, hvem der skal teste.
- At gå ud fra, at en intern rapport vil blive accepteret af kunder · Spørg modtageren, hvad den forventer.
- At gøre én person uundværlig · Kendskab og metoder skal kunne overdrages.
- At glemme opfølgningen efter en ekstern test · Nogen skal eje rettelserne bagefter.
- At blande rollerne i en kombination · Hvem der tester, og hvem der retter, skal kunne ses.
Hvad kan og ikke kan konkluderes
Hvem der udfører testen, siger noget om perspektiv og uafhængighed, men ikke i sig selv noget om kvaliteten. En intern test kan være grundig, og en ekstern test kan være overfladisk. Vurdér derfor både modellen og den konkrete tester, og læs resultatet i lyset af, hvem der har udført det.
Tjekliste til valget
- ☐ Er det klart, hvad testen skal bruges til, og hvem der skal læse resultatet?
- ☐ Har den interne tester været med til at bygge eller drive systemerne?
- ☐ Stiller kunder eller standarder krav om uafhængighed?
- ☐ Er virksomheden sårbar, hvis den interne kompetence forsvinder?
- ☐ Er der en plan for opfølgning efter en ekstern test?
- ☐ Er rollerne klare, hvis modellerne kombineres?
Kilder
- PCI DSS krav 11 (Microsoft Learn): gengivelse af kravene om penetrationstest, herunder kvalificeret intern eller ekstern tester og organisatorisk uafhængighed.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Hvad laver en penetrationstester? · Krav til penetrationstesteren
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
