Det, der vender mod internettet, er det mest synlige, men det er ikke det eneste, der kan give en uønsket adgang til virksomhedens oplysninger. Hvor meget de interne forhold betyder, afhænger af, hvilke veje ind der findes uden om de offentlige systemer, og hvad der står på spil, når nogen først er indenfor.
Påstanden bygger på et billede af virksomheden som en borg med en mur: holder muren, er resten ligegyldigt. Billedet passer dårligt til en virksomhed, hvor medarbejdere arbejder hjemmefra, leverandører har fjernadgang, og kundeportalen henter data direkte fra ERP-systemet. Muren har mange døre, og nogle af dem er ikke offentlige.
Veje ind, der ikke går gennem de offentlige systemer
En uønsket adgang behøver ikke at begynde med en svaghed i webshoppen eller kundeportalen. Den kan begynde et helt andet sted.
- Medarbejderkonti · et login, der er kommet i forkerte hænder, giver adgang som en almindelig bruger.
- Leverandørers adgang · en driftsleverandør eller en systemleverandør med fjernadgang er allerede indenfor. → Leverandørers fjernadgang
- Enheder · en bærbar, der har været brugt uden for kontoret, kobles på nettet igen.
- Gæstenettet · hvis adskillelsen ikke holder, er en besøgendes telefon på samme net som medarbejderne. → Trådløse net og gæstenet
- Mennesker · en medarbejder kan blive narret til at give adgang, uden at noget teknisk er brudt.
Fælles for vejene er, at de ender indenfor. Ingen af dem kræver, at webshoppen eller kundeportalen har en svaghed, og ingen af dem bliver opdaget af en test, der kun ser på de offentlige systemer. Spørgsmålet er så, hvad der kan nås derfra.
Det, der står på spil indenfor
De oplysninger, virksomheden er mest afhængig af, ligger ikke nødvendigvis på de offentlige systemer. De ligger i ERP-systemet, på fildrevene, i lønsystemet og i den backup, der skal redde virksomheden, hvis alt andet går galt. → Backup og gendannelse
Hvis en almindelig brugerkonto kan nå alt dette, er den interne opdeling svag, uanset hvor godt de offentlige systemer er beskyttet. Omvendt kan en god opdeling betyde, at en uønsket adgang til én pc ikke rækker længere end til den pc. Det er den forskel, en intern test kan belyse.
Administrative konti fortjener særlig opmærksomhed, også dem, som driftsleverandøren bruger. De kan ændre rettigheder, oprette brugere og slette data. Hvis det er let at nå fra en almindelig brugers position til en administrativ, er det en oplysning, ledelsen har brug for.
Offentligt og internt hænger sammen
Grænsen mellem offentlige og interne systemer er ikke så skarp, som påstanden forudsætter. Kundeportalen henter ordrer fra ERP-systemet. Webshoppen sender bestillinger videre til lageret. Fjernadgangen er en offentlig dør til det interne net.
Et fund i en integration kan derfor betyde, at en svaghed i et offentligt system rækker ind i de interne. Og en svaghed i et internt system kan blive synlig udefra gennem en portal, der viser dets data. Når virksomheden kun ser på den ene side, bliver sammenhængen overset. Det gælder også i testen: hvis integrationen mellem kundeportalen og ERP-systemet er holdt ude af scope, kan ingen af de to resultater sige noget om den. → Integrationer mellem systemer
Hvad en intern test kan belyse
En intern test tager udgangspunkt i en aftalt position indenfor. Det kan være en almindelig medarbejders pc og konto, en plads på gæstenettet eller den adgang, en leverandør har. Udgangspunktet skal beskrives præcist, fordi det bestemmer, hvad resultatet kan bruges til.
Spørgsmålene er nogle andre end ved en test udefra. Kan en bruger i salgsafdelingen nå økonomiafdelingens filer? Kan en konto uden særlige rettigheder få administrative rettigheder? Er backup beskyttet mod den, der har fået adgang til en almindelig pc? Svarene fortæller noget om, hvor langt en uønsket adgang kan række, og dermed om, hvor stor skaden kan blive.
Resultatet kan også bruges til at prioritere. Hvis opdelingen af nettet viser sig at være svag, kan det være vigtigere at rette end en mindre svaghed i et offentligt system. Den vurdering kan kun foretages, når begge sider er kendt.
Hvornår det offentlige er det rigtige første valg
Påstanden har en kerne af sandhed. Systemer, der kan nås fra hele verden, er udsat for alle, og for nogle virksomheder kan det være det rigtige sted at begynde. En webshop, der skal åbne, eller en kundeportal med fortrolige oplysninger kan være det mest presserende spørgsmål.
Det er et valg af rækkefølge og ikke en vurdering af, at det interne er ligegyldigt. Skriv valget ned, så det er tydeligt for ledelsen, at det interne endnu ikke er undersøgt, og at resultatet af den eksterne test ikke dækker det. Når det offentlige er testet, bør det interne komme med i planen, og valget mellem de to bør være bevidst. NIST SP 800-115 beskriver eksternt og internt perspektiv som to forskellige udgangspunkter, der giver forskellige oplysninger. Hvordan valget træffes, er beskrevet i → Ekstern eller intern penetrationstest.
En test, der bevidst starter bag forsvaret, kan svare på, hvad der sker, hvis det offentlige ikke holder. → Assume breach
Det skal I lade være med
- At lade synlighed afgøre vigtighed · det mest synlige system er ikke nødvendigvis det, der rummer de vigtigste oplysninger.
- At regne leverandørers adgang for intern og dermed tryg · den er en vej ind, som også skal vurderes.
- At glemme integrationerne · de forbinder de offentlige systemer med de interne.
- At antage, at gæstenettet er adskilt · få det efterprøvet, hvis det har betydning.
- At udskyde det interne på ubestemt tid · giv det en plads i planen, når det offentlige er testet.
- At give alle brugere adgang til alt · den interne opdeling afgør, hvor langt en uønsket adgang rækker.
Hvad kan og ikke kan konkluderes
En test af de offentlige systemer kan vise, hvad der kan nås og udnyttes udefra under de aftalte forhold. Den kan ikke sige noget om, hvad en medarbejderkonto, en leverandøradgang eller en enhed på kontornettet kan nå. Det kræver et internt udgangspunkt.
En intern test kan omvendt belyse opdelingen og rettighederne indenfor, men siger ikke i sig selv, hvor let det er at komme ind udefra. De to perspektiver supplerer hinanden, og ingen af dem dækker det hele alene.
Tjekliste til at vurdere det interne
- ☐ Ved I, hvilke veje ind der findes ud over de offentlige systemer?
- ☐ Er det kendt, hvad en almindelig brugerkonto kan nå?
- ☐ Er administrative konti og systemer skilt ud?
- ☐ Er leverandørers adgange kortlagt og afgrænset?
- ☐ Er gæstenettet adskilt fra kontornettet?
- ☐ Er integrationerne mellem offentlige og interne systemer kendt?
- ☐ Har en intern test en plads i planen?
Kilder
- NIST SP 800-115, afsnit 2.4.1: eksternt og internt perspektiv i sikkerhedstest.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Assume breach · Spørgsmål og svar · Intranet og interne webløsninger
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
