En linje om, at testen udføres efter en anerkendt metode, fortæller køberen, hvilken ramme testeren orienterer sig efter, men ikke hvad der bliver undersøgt i jeres systemer. Henvisningen er nyttig, når den bliver koblet til jeres scope: hvilke dele af metoden bruges, hvilke bruges ikke, og hvor i rapporten kan det ses. Uden den kobling er metodenavnet en etiket.
De fire navne, der går igen i tilbud, er forskellige slags dokumenter med forskellige ophavsmænd og formål. Når køberen kender forskellen, kan henvisningen bruges til at stille bedre spørgsmål og til at sammenligne tilbud på mere end ordvalg.
Fire navne, fire slags dokumenter
- PTES · Penetration Testing Execution Standard er udarbejdet af en gruppe fagfolk fra sikkerhedsbranchen og blev påbegyndt i 2009. Den deler en penetrationstest op i syv hovedafsnit, fra aftalerne før testen til rapporten. Standarden skriver selv, at den ikke indeholder tekniske retningslinjer for selve testarbejdet.
- OSSTMM · Open Source Security Testing Methodology Manual udgives af organisationen ISECOM. Version 3 er fra 2010 og dækker fem kanaler: mennesker, fysisk sikkerhed, trådløs kommunikation, telekommunikation og datanetværk.
- OWASP-testguiden · Web Security Testing Guide udgives af OWASP Foundation og handler om test af webapplikationer. Den seneste stabile udgave er 4.2, og projektet oplyser, at version 5 er under udarbejdelse.
- SP 800-115 · en teknisk vejledning fra det amerikanske standardiseringsinstitut fra 2008. Den beskriver planlægning, gennemførelse og opfølgning af sikkerhedstest og skriver selv, at den ikke er tænkt som et komplet program for informationssikkerhedstest.
Ingen af de fire er dansk lovgivning, og ingen af dem er en certificering af den virksomhed, der henviser til dem. OWASP Top 10 er en femte henvisning, men den er en liste over risikoområder, ikke en testmetode. → OWASP Top 10 for købere
Hvad en henvisning faktisk lover
En henvisning siger, at testeren har en struktur at arbejde ud fra. Det kan give et forløb, der er lettere at følge, og en fælles betegnelse for faser og områder. For køberen er det en hjælp, fordi spørgsmål kan knyttes til et kendt dokument i stedet for til en leverandørs egne ord.
Henvisningen kan også fortælle noget om testens bredde. Nævner tilbuddet OWASP-testguiden, handler opgaven formentlig om en webapplikation som kundeportalen eller webshoppen. Nævner tilbuddet OSSTMM, kan opgaven omfatte flere kanaler end netværket, og så bør det fremgå, om fysisk adgang eller medarbejdere er med. → Typer af penetrationstest
PTES er den af de fire, der siger mest om køberens egen del. Standarden begynder med aftalerne før testen, og det er netop der, scope, tilladelser og kontaktveje bliver fastlagt. En tilbudsgiver, der henviser til PTES, bør derfor kunne forklare, hvad I skal levere og beslutte, før testen går i gang.
Hvad den ikke lover
En metode lover ikke, at alle dens dele er gennemført. Testguiden og OSSTMM beskriver langt flere undersøgelser, end en afgrænset opgave kan nå. OSSTMM siger det selv: en rapport efter metoden behøver ikke vise, at hele manualen er fulgt, men skal vise, hvad der blev testet, og hvad der ikke blev.
En metode lover heller ikke kvalitet. To testere kan henvise til samme ramme og levere meget forskellige resultater, afhængigt af erfaring, tid og adgang. Kompetencerne skal vurderes for sig. → Krav til penetrationstesteren
Endelig er alder et forhold. SP 800-115 er fra 2008 og OSSTMM 3 fra 2010. De kan stadig bruges som baggrund, men en henvisning til dem siger ikke, at nyere teknologier som cloudtjenester eller Microsoft 365 er dækket på en bestemt måde.
Metoden skal passe til opgaven
Bed tilbudsgiveren forklare, hvorfor netop den nævnte ramme passer til jeres opgave. En test af ERP-systemets webadgang kan naturligt bygge på testguiden. En opgave, der også omfatter adgangen til kontoret eller telefonen, peger mod en bredere ramme. En henvisning til PTES siger mest om forløbet og mindre om, hvilke tekniske områder der undersøges.
Spørg også, hvilke dele af rammen der ikke bruges, og hvorfor. Et ærligt fravalg er mere nyttigt end en henvisning, der lader alt stå åbent. → Scope i en penetrationstest
Brug henvisningen, når tilbud sammenlignes
Når to tilbud nævner forskellige metoder, er det ikke nok at konstatere forskellen. Oversæt henvisningerne til konkrete spørgsmål, som begge tilbudsgivere kan svare på:
- Område · hvilke systemer, funktioner og roller indgår?
- Dele af metoden · hvilke afsnit eller testområder i rammen bruges?
- Fravalg · hvad i rammen er bevidst udeladt?
- Dokumentation · hvor i rapporten fremgår det, hvad der er testet?
Svarene gør tilbuddene sammenlignelige, også når metodenavnene er forskellige. → Sammenlign tilbud på penetrationstest
Metoden i rapporten
Rapporten bør nævne den ramme, der er brugt, og vise, hvilke områder der blev undersøgt, og hvilke der ikke blev. Det gør det muligt for en revisor, en kunde eller jer selv ved næste test at se, hvad konklusionen dækker.
Hvis en kunde eller en regel kræver en dokumenteret testmetode, er metodebeskrivelsen i rapporten ikke en formalitet. PCI DSS krav 11.4.1 nævner en metode, der bygger på anerkendte tilgange til penetrationstest. Under NIS2 kan kravet komme gennem kunder; den side af sagen er beskrevet på nis2-pentest.dk. → Penetrationstest og standarder
Det skal I lade være med
- At læse metodenavnet som en dækningsgaranti · bed om de dele af rammen, der faktisk bruges.
- At sammenligne tilbud på navne · oversæt henvisningen til område, fravalg og dokumentation.
- At forveksle en liste med en metode · OWASP Top 10 beskriver risici, ikke en testfremgangsmåde.
- At antage, at en metode er et kvalitetsstempel · erfaring og tid afgør resultatet.
- At overse alderen · ældre rammer siger ikke noget om nyere teknologier.
- At glemme rapporten · metoden skal kunne ses i leverancen, ikke kun i tilbuddet.
Hvad kan og ikke kan konkluderes
En henvisning til en kendt metode viser, at testeren har valgt en beskrevet ramme, og den giver køberen et fælles sprog at stille spørgsmål i. Sammen med en rapport, der viser, hvad der blev testet, kan den underbygge, at testen var tilrettelagt og ikke tilfældig.
Henvisningen viser ikke, at hele rammen er fulgt, at testen var grundig, eller at et krav fra en kunde eller en standard er opfyldt. Det skal vurderes ud fra scope, rapport og det konkrete krav.
Tjekliste til metodeafsnittet i tilbuddet
- ☐ Hvilken ramme nævnes, og hvem står bag den?
- ☐ Er det forklaret, hvorfor rammen passer til opgaven?
- ☐ Fremgår det, hvilke dele af rammen der bruges?
- ☐ Er fravalg i rammen nævnt og begrundet?
- ☐ Er en liste som OWASP Top 10 holdt adskilt fra metoden?
- ☐ Vil rapporten vise, hvad der blev testet, og hvad der ikke blev?
- ☐ Passer metodebeskrivelsen til eventuelle krav fra kunder eller standarder?
Kilder
- Penetration Testing Execution Standard, kopi på Read the Docs (det officielle pentest-standard.org svarer ikke): de syv hovedafsnit og oplysningen om, at standarden ikke indeholder tekniske retningslinjer; FAQ om ophav og start i 2009.
- ISECOM: OSSTMM 3: de fem kanaler og kravet om, at rapporten viser, hvad der blev og ikke blev testet.
- OWASP Web Security Testing Guide: udgave 4.2 som seneste stabile og version 5 under udarbejdelse.
- NIST SP 800-115: vejledningens formål, udgivelse i 2008 og forbeholdet om, at den ikke er et komplet testprogram.
- PCI DSS krav 11, gengivet på Microsoft Learn: krav 11.4.1 om en defineret metode til penetrationstest.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Penetrationstest fra start til slut · Sådan læser I en pentestrapport
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
