Mange bestillinger beskriver grundigt, hvad der skal testes, men siger næsten intet om, hvad testeren og rapporten skal leve op til. En kravspecifikation lukker det hul: den samler jeres krav til leverandøren, til gennemførelsen og til leverancen, og den gør kravene målbare, så I bagefter kan se, om de er opfyldt. Den bør som minimum indeholde krav til bemanding, til arbejdet under testen, til fortrolighed og data, til rapporten og til retest, og hvert krav bør være markeret som enten skal eller bør.
To dokumenter i samme bestilling
Opgavebeskrivelsen fortæller, hvad der er genstand for testen: formål, systemer, roller og rammer. Kravspecifikationen fortæller, hvilke betingelser leverandøren og resultatet skal opfylde. De to kan godt stå i samme fil, men de besvarer forskellige spørgsmål og bør holdes adskilt. → Opgavebeskrivelsen
Adskillelsen har en praktisk fordel. Kravene til rapport, fortrolighed og retest ændrer sig sjældent fra test til test, mens systemerne gør. En virksomhed, der tester webshoppen det ene år og ERP-systemet det næste, kan genbruge det meste af kravspecifikationen og skrive en ny opgavebeskrivelse.
Hvad der skal med i testen, er et valg, der træffes før begge dokumenter. → Scope i en penetrationstest
Skal-krav og bør-krav
Skriv hvert krav som en sætning, der kan besvares med ja eller nej. “Rapporten skal have et resumé til ledelsen” kan kontrolleres. “Rapporten skal være af høj kvalitet” kan ikke.
Del kravene i to grupper:
- Skal-krav · betingelser, uden hvilke tilbuddet ikke kan bruges. Et tilbud, der ikke opfylder dem, falder fra.
- Bør-krav · ønsker, der tæller med i vurderingen, men som en leverandør kan svare nej til eller foreslå et alternativ til.
Hold antallet af skal-krav nede. Mange skal-krav gør det svært for tilbudsgiverne at svare ærligt og kan udelukke gode løsninger af formelle grunde. Bed leverandøren svare på hvert krav enkeltvis, så svarene kan lægges ved siden af hinanden. → Sammenlign tilbud på penetrationstest
Krav til leverandøren og bemandingen
Her beskrives, hvem der skal udføre arbejdet, og hvordan I får det at vide. Typiske punkter:
- Navngivne personer · hvem der tester, og hvem der gennemgår resultatet fagligt.
- Relevant erfaring · med den type system, der testes, fx webapplikationer med flere brugerroller.
- Udskiftning · at en ændring i bemandingen meddeles og godkendes på forhånd.
- Underleverandører · om de må bruges, og i givet fald hvem de er.
- Uafhængighed · at leverandøren oplyser, om den har været med til at udvikle eller drive det, der testes.
Krav om certificeringer kan stå her, men skriv, hvem de skal gælde for, og hvorfor de er relevante for opgaven. → Krav til penetrationstesteren
Krav til gennemførelsen
Afsnittet beskriver, hvordan arbejdet skal foregå, mens det står på. Det er her, driftsleverandøren og hostingfirmaet ofte har forudsætninger, som skal med.
- Tidsrum · hvornår der må testes, og hvornår der ikke må.
- Kontakt under testen · hvem testeren kontakter, og hvordan.
- Kritiske fund · at alvorlige fund meldes med det samme og ikke først i rapporten.
- Stop · hvem der kan stoppe testen, og hvordan den genoptages.
- Testerens aktivitet · at testeren kan oplyse, hvornår og hvorfra der er testet, så aktiviteten kan skelnes fra et reelt angreb.
- Oprydning · at testkonti, filer og ændringer fjernes eller listes, når testen slutter.
Tag også stilling til miljøet. Skal testen foregå i produktion, kan kravet være, at handlinger, der kan påvirke driften eller kundernes data, kun udføres efter aftale. Skal den foregå i et testmiljø, bør kravspecifikationen sige, at forskelle mellem testmiljø og produktion skal noteres i rapporten. → Penetrationstest i produktion eller testmiljø
Krav til fortrolighed og data
En penetrationstest kan give testeren adgang til oplysninger, som ikke skal længere end nødvendigt. Kravspecifikationen bør derfor sige, at testeren kun tilgår persondata og forretningsdata i det omfang, det er nødvendigt for at påvise et fund, og at sådanne data ikke kopieres ud. Krav om fortrolighedsaftale hører også hjemme her.
Beskriv, hvordan rapport og arbejdsmateriale må opbevares og sendes, hvem der må modtage dem, og hvornår leverandørens kopi af arbejdsmaterialet skal slettes. Skriv desuden, at rapporten tilhører jer, så der ikke opstår tvivl om, hvem der må dele den videre.
Krav til rapporten
Rapportkravene er acceptkriterierne. De afgør, om leverancen kan godkendes. Formulér dem, så de kan efterprøves, når rapporten kommer:
- Resumé · et afsnit, der kan læses af en leder uden teknisk baggrund.
- Dækning · hvad der blev testet, i hvilken periode, og hvad der ikke kunne testes.
- Fund · beskrivelse, alvorlighed, begrundelse og forslag til rettelse på et niveau, så driftsleverandøren kan handle.
- Alvorlighed · hvilken skala der bruges, og hvordan den er anvendt.
- Sprog og form · fx en udgave på engelsk eller en kundeversion, hvis rapporten skal videre.
- Gennemgang · et møde, hvor rapporten forklares.
Kræv desuden, at rapporten er dateret og angiver den version eller det tidspunkt, testen gælder for. Uden den oplysning er det svært at bruge rapporten over for en kunde eller at sammenligne med næste test.
→ Sådan læser I en pentestrapport
Krav til retest
Skriv, om kontrol af rettelser skal indgå i tilbuddet eller tilbydes separat, hvilke fund den skal gælde, inden for hvilken periode den kan bestilles, og hvordan resultatet dokumenteres. Kræv, at en retest fører til en opdateret status for hvert fund og ikke kun til en mail om, at det ser fint ud. → Retest efter penetrationstest
Det skal I lade være med
- At blande krav og opgave sammen · så bliver dokumentet svært at genbruge.
- At skrive krav, der ikke kan kontrolleres · “høj kvalitet” og “grundig test” kan ikke godkendes eller afvises.
- At gøre alt til skal-krav · så falder tilbud fra af formelle grunde.
- At kopiere en skabelon uden at læse den · krav, der ikke passer til opgaven, skaber kun forvirring.
- At glemme driftsleverandørens forudsætninger · krav til gennemførelsen kan kræve dennes medvirken.
- At udelade krav til data · ellers er det uklart, hvad der må ske med det, testeren ser.
Hvad kan og ikke kan konkluderes
En kravspecifikation gør det muligt at afvise et tilbud, der ikke kan bruges, og at godkende eller reklamere over en leverance på et skriftligt grundlag. Den sikrer ikke, at testen finder alt, og den kan ikke erstatte en faglig vurdering af, om arbejdet er udført godt. Den skal også stemme overens med kontrakten; hvis de to siger noget forskelligt, bør det afklares, før aftalen underskrives. → Kontrakten om penetrationstesten
- ☐ Er hvert krav skrevet, så det kan besvares med ja eller nej?
- ☐ Er kravene markeret som skal eller bør?
- ☐ Er bemanding, udskiftning og underleverandører beskrevet?
- ☐ Er melding af kritiske fund og stop af testen med?
- ☐ Er fortrolighed, data og sletning af arbejdsmateriale beskrevet?
- ☐ Kan rapportkravene bruges som acceptkriterier?
- ☐ Er retest og dokumentationen af den beskrevet?
Kilder
- NCSC: Penetration testing: råd til købere om at afklare forventninger, omfang og rapportering før en test.
- CREST: Implementation & Procurement Guides: købervejledninger om forberedelse, levering og afslutning af penetrationstest.
Senest gennemgået: november 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Rules of engagement · Uafhængig penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
