Interne webløsninger bliver ofte holdt uden for en penetrationstest, fordi de kun bruges af medarbejdere. Om de bør med, afhænger af, hvilke oplysninger de rummer, hvem der kan nå dem, og hvad en almindelig medarbejder kan gøre i dem.
Et intranet, et personalesystem eller en intern bookingløsning er teknisk set webapplikationer. De har login, roller og data, og de kan rumme oplysninger om løn, fravær eller kontrakter. At de ikke ses fra internettet, gør dem ikke uinteressante. Det ændrer blot, hvilket udgangspunkt testen skal have, og hvilke spørgsmål den skal svare på.
Det interne er ikke nødvendigvis lukket
Mange interne løsninger blev bygget til et kontornet, hvor alle sad i samme bygning. I dag nås de også via fjernadgang, fra hjemmearbejdspladser eller gennem en fælles loginløsning, der er tilgængelig fra internettet. Grænsen mellem internt og eksternt er derfor mindre skarp, end navnet antyder. Jo flere veje der fører ind, jo vigtigere er det at vide, hvilke af dem testen dækker.
Beskriv, hvordan medarbejderne kommer til løsningen i dag. Kun fra kontornettet? Via VPN? Direkte fra internettet med fælles login? Svaret afgør, om en del af testen skal tage udgangspunkt udefra, og om fjernadgangen hører med. → Fjernadgang og VPN i penetrationstesten
Antagelsen om, at kun de synlige systemer har betydning, er behandlet for sig. → Kun de offentlige systemer betyder noget
Hvilke løsninger hører til området?
Interne webløsninger er mere end forsiden af intranettet. En oversigt kan omfatte:
- Intranettet · nyheder, dokumenter, telefonbog og interne formularer.
- Personalesystemer · ferie, fravær, løn og personaleoplysninger.
- Interne værktøjer · booking af lokaler, bestilling af udstyr eller registrering af tid.
- Administrationsflader · websider til indstillinger på netværksudstyr, servere og printere.
- Webdelen af ERP-systemet · når medarbejderne arbejder i systemet gennem en browser.
Administrationsfladerne er lette at overse. De bliver sat op ved installationen og sidenhen glemt, selv om de giver adgang til at ændre udstyret. Printere, kameraer og andet udstyr har deres egne hensyn. → Printere, kameraer og IoT på netværket
Spørgsmålene til de interne løsninger
En test af interne webløsninger kan formuleres som få køberspørgsmål. Selve fremgangsmåden er testerens sag.
- Kan en almindelig medarbejder se oplysninger, som kun HR eller ledelsen må se?
- Kan en medarbejder ændre noget, der skal være forbeholdt administratorer?
- Kan løsningen nås uden login fra kontornettet eller gæstenettet?
- Holder rettighederne, når en medarbejder skifter afdeling eller fratræder?
Det første spørgsmål er ofte det vigtigste. På intranettet ligger dokumenter med forskellig grad af fortrolighed side om side, og rettighederne er tildelt over mange år af skiftende personer. OWASPs vejledning til webtest behandler autorisation, altså hvad en indlogget bruger må, som et selvstændigt område. Det gælder også for løsninger, der kun bruges internt. En test med flere medarbejderroller kan vise, om adskillelsen holder. → Test med og uden login
Udgangspunkt og testkonti
For interne løsninger er udgangspunktet typisk en plads på kontornettet og en konto, der svarer til en almindelig medarbejder. Det spejler den situation, hvor en medarbejders konto eller computer er kommet i forkerte hænder. Supplér med en konto for hver rolle, der skal sammenlignes, fx en HR-medarbejder og en afdelingsleder.
Brug testkonti frem for rigtige medarbejderes konti. Rigtige konti giver adgang til rigtige oplysninger, og testeren skal ikke se flere personoplysninger end nødvendigt. Aftal også, hvilke dokumenter og registreringer testen må oprette eller ændre, og hvordan de fjernes bagefter. → Testkonti og testdata
Bruger intranettet fælles login med andre systemer, kan et fund i ét system få betydning for flere. Bestillingen bør sige, hvor grænsen for testen går, og om loginløsningen selv er med. Aftal desuden, om testkontiene også må bruges via fjernadgang, hvis løsningen kan nås den vej. → Fælles login (single sign-on) i testen
Personoplysninger under testen
Interne løsninger rummer ofte oplysninger om medarbejdere: løn, fravær, adresser og vurderinger. Testeren kan støde på dem, også når der bruges testkonti, fordi et fund netop kan bestå i, at oplysningerne er synlige for de forkerte. Aftal på forhånd, hvordan sådanne fund dokumenteres. Det er normalt nok at vise, at adgangen findes, uden at gengive indholdet i rapporten.
Aftal også, hvem i virksomheden der modtager et fund, som viser, at personoplysninger har været for bredt tilgængelige. Det kan kræve en vurdering ud over den tekniske rettelse, fx af om forholdet skal behandles efter reglerne om persondatasikkerhed. Datatilsynet har vejledning om, hvordan sådanne forhold vurderes.
Hvem ejer løsningen?
Interne løsninger er ofte købt som standardsystemer, hostet hos en leverandør eller udviklet af en tidligere medarbejder. Find ud af, hvem der ejer koden, hvem der driver den, og hvem der kan rette fund. Ligger personalesystemet hos en SaaS-udbyder, skal udbyderens vilkår for test læses, før det kommer med i scope.
Et intranet, der er bygget for mange år siden og aldrig er blevet opdateret, er et særligt tilfælde. Testen kan dokumentere tilstanden, men rettelserne kan kræve en beslutning om at udskifte løsningen frem for at lappe den. Den beslutning ligger hos ledelsen, ikke hos testeren.
Spørg også, om løsningen findes i en testudgave. For et personalesystem kan en kopi med opdigtede oplysninger være at foretrække, hvis den svarer til driften. Rettighederne skal dog være de samme som i driften, ellers svarer testen på et andet spørgsmål. → Penetrationstest i produktion eller testmiljø
Det skal I lade være med
- At udelade intranettet, fordi det er internt · det rummer ofte de mest fortrolige dokumenter.
- At teste med en administratorkonto alene · det er den almindelige medarbejders adgang, der skal belyses.
- At bruge en rigtig medarbejders konto · testkonti begrænser, hvor mange personoplysninger testeren ser.
- At glemme administrationsfladerne · websider til indstillinger på udstyr er også interne webløsninger.
- At overse adgangen udefra · fælles login og fjernadgang kan gøre en intern løsning synlig.
Hvad kan og ikke kan konkluderes
En test kan vise, om de undersøgte interne løsninger holdt adgangen adskilt mellem de roller, der var med, og om de kunne nås fra de udgangspunkter, der blev aftalt. Den kan ikke sige noget om roller, dokumenter eller løsninger uden for scope, og den siger intet om rettigheder, der tildeles senere.
Et intranet ændrer sig, hver gang nogen lægger et dokument op eller får en ny rolle. Resultatet er derfor et billede af rettighederne på testtidspunktet.
Tjekliste til de interne webløsninger
- ☐ Er de interne webløsninger listet, også administrationsflader?
- ☐ Er det beskrevet, hvordan medarbejderne kommer til hver løsning?
- ☐ Er der testkonti for de roller, der skal sammenlignes?
- ☐ Er det aftalt, hvilke data testen må oprette eller ændre?
- ☐ Er ejer og driftsansvarlig kendt for hver løsning?
- ☐ Er vilkårene læst for løsninger hos en SaaS-udbyder?
Kilder
- OWASP Web Security Testing Guide: autorisation og roller som testområder i webapplikationer.
- Datatilsynet: vejledning om persondatasikkerhed og håndtering af brud.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Kun de offentlige systemer betyder noget · Ekstern eller intern penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
