Byggeri og ejendomsdrift adskiller sig ved, at IT ikke kun findes på kontoret. Der er midlertidige byggepladser, projektrum, som mange virksomheder deler, og bygninger med styring af varme, ventilation og adgang. En penetrationstest i den branche bør derfor afgrænses efter, hvilken af de tre verdener spørgsmålet handler om, og hvem der ejer de systemer, der indgår.
Svaret hviler på ejerskabet. Entreprenøren, bygherren, ejendomsadministratoren og de tekniske leverandører kan hver have deres del. Testen kan kun omfatte det, den, der bestiller, råder over eller har fået tilladelse til.
Byggepladsen som midlertidigt kontor
En byggeplads kan have skurvogne med net, computere, printere og forbindelse til virksomhedens systemer. Pladsen findes i en periode og flytter så videre. Det betyder, at opsætningen ofte bliver lavet hurtigt og nedtaget igen, uden at nogen har set på den undervejs.
Et spørgsmål til en test kan være, hvad en uvedkommende på pladsens net kan nå af virksomhedens centrale systemer. Hvis byggepladserne sættes op efter samme skabelon, kan det give mening at teste skabelonen frem for den enkelte plads. Så kan resultatet bruges på de næste pladser, men konklusionen gælder stadig kun den opsætning, der blev testet. → Et nyt kontor kobles på netværket
Når en plads lukkes, skal forbindelser og adgange også lukkes. En test kan ikke erstatte den rutine, men den kan vise, om der står forbindelser tilbage fra tidligere projekter.
Projektrum, som mange deler
I byggeprojekter deles tegninger, beskrivelser og tidsplaner ofte i fælles projektrum med rådgivere, underentreprenører og bygherre. Mange eksterne brugere kommer og går i løbet af et projekt. Det rejser spørgsmål om, hvem der kan se hvad, og om adgangen bliver fjernet, når en partner er færdig.
Hvis projektrummet er en løsning, som en leverandør driver for mange kunder, er det leverandøren, der skal give tilladelse til en egentlig test. Det, virksomheden selv råder over, er opsætningen: hvem der er inviteret, hvilke mapper de kan se, og hvordan deling er sat op. → Fildeling og samarbejdsværktøjer
En test kan belyse, om en partner med adgang til ét projekt kan se oplysninger fra et andet. Det kræver testbrugere i de relevante roller og et projekt med opdigtede data, så rigtige tegninger og kontrakter ikke indgår.
Fund i et fælles projektrum kan berøre flere parter. Aftal på forhånd, hvem der får rapporten, og hvem der skal rette. En bygherre, der har bestilt testen, er ikke nødvendigvis den, der administrerer projektrummet, og en entreprenør kan have sin egen opfattelse af, hvad der er dens ansvar.
Bygningernes egne systemer
I ejendomme styres varme, ventilation, lys, adgangskontrol og kameraer ofte af systemer, der er koblet på et net. De er typisk leveret og vedligeholdt af tekniske leverandører, og de kan have fjernadgang, så leverandøren kan servicere dem uden at møde op. → Adgangskontrol og bygningsautomatik på netværket
En test af bygningssystemer kræver særlig omtanke. En forstyrrelse kan få betydning for indeklima, adgang til bygningen eller sikkerheden for dem, der opholder sig i den. Afgrænsningen skal derfor aftales nøje med leverandøren, og det skal være klart, hvem der kan stoppe testen, og hvordan systemerne genoprettes, hvis noget går galt.
Spørgsmålet til testen er ofte, om bygningssystemerne er adskilt fra andre net, og hvem der kan nå dem udefra. Leverandørernes fjernadgang er en del af det billede. → Leverandørers fjernadgang til jeres systemer
Lejere, ejere og administratorer
I en ejendom med flere lejere kan nettet være delt, så lejernes udstyr og bygningens systemer står tæt på hinanden. Det skal afklares, hvem der ejer nettet, og om lejerne har deres eget. En test bestilt af ejendommens ejer kan ikke omfatte lejernes systemer uden deres tilladelse.
Mange ejendomsadministratorer har en lejerportal, hvor lejere ser kontrakter, betalinger og sager. Portalen samler oplysninger om mange lejere, og adskillelsen mellem dem er et centralt spørgsmål, hvis portalen testes. → Kunders oplysninger skal holdes adskilt
Hvis administratoren driver ejendomme for flere ejere, skal det også afklares, hvem der kan bestille en test af hvad. Ejerens interesse og administratorens systemer er ikke nødvendigvis det samme. En skriftlig aftale om, hvem der bestiller, hvem der giver tilladelse, og hvem der får resultatet, forebygger uenighed, når rapporten foreligger.
Fysisk adgang hører også med
Adgangskort, nøglebokse og døre styret af systemer kan være en del af billedet i både byggeri og ejendomme. En undersøgelse af den fysiske adgang er dog en særskilt opgave med sine egne tilladelser og bør ikke gemmes i en almindelig penetrationstest. → Fysisk adgang som tillæg til testen
Det, en almindelig test kan sige noget om, er de systemer, der administrerer adgangen: hvem der kan oprette og ændre adgangskort, og om administrationen kan nås fra steder, hvor den ikke burde kunne nås. Den slags spørgsmål kan indgå, hvis systemets ejer og leverandør har sagt ja, og hvis det er beskrevet, hvad der sker, hvis en dør eller en adgangskontrol holder op med at virke under testen.
Vælg et tidspunkt, hvor en forstyrrelse får mindst mulig betydning, og hvor driftspersonale kan være til stede. For bygninger, der bruges døgnet rundt, kræver det en særlig aftale om vagt og kontakt.
Det skal I lade være med
- At teste bygningssystemer uden leverandøren · en forstyrrelse kan ramme mennesker i bygningen.
- At teste lejernes udstyr uden deres tilladelse · ejerens ja dækker ikke lejernes systemer.
- At glemme byggepladsens forbindelser, når den lukker · adgange fra gamle projekter kan stå tilbage.
- At bruge rigtige projektdata i testen · opdigtede projekter er at foretrække.
- At antage, at projektrummet er leverandørens problem alene · opsætningen og invitationerne er jeres.
- At blande fysisk adgang ind i en almindelig test · den kræver særskilte rammer.
Hvad kan og ikke kan konkluderes
En test kan vise, hvordan den valgte byggeplads, det valgte projektrum eller de valgte bygningssystemer klarede sig i testperioden, og om skillelinjerne var, som de var tegnet. Resultatet kan ikke overføres til andre pladser, projekter eller ejendomme, der ikke indgik.
Et resultat for én ejendom siger ikke noget om de andre. Og en test af bygningens net er ikke en vurdering af lejernes sikkerhed eller af de tekniske leverandørers egne systemer.
Tjekliste for byggeri og ejendomme
- ☐ Er det afklaret, hvem der ejer de systemer, der skal testes?
- ☐ Er byggepladsens opsætning beskrevet, og testes skabelonen?
- ☐ Er projektrummets opsætning og eksterne brugere med i overvejelsen?
- ☐ Er bygningssystemernes leverandører inddraget, og er stop aftalt?
- ☐ Er lejernes net og systemer holdt uden for, medmindre de har sagt ja?
- ☐ Bruges opdigtede projekter og lejere i testen?
- ☐ Er fysisk adgang behandlet som en særskilt opgave?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
