En butikskæde består af mange steder, der ligner hinanden, men som er koblet til de samme centrale systemer. En penetrationstest i detailhandlen bør derfor afgrænses ud fra sammenhængen mellem butikkerne, kasseløsningen, netbutikken og de fælles systemer bag dem, og ikke ud fra én butik eller én hjemmeside alene.
Det korte svar er, at testen skal omfatte de forbindelser, der gør en svaghed ét sted til et problem mange steder. Hvilke det er, afhænger af, hvordan kæden er bygget op, og hvem der leverer de enkelte dele.
Butikker, der ligner hinanden
Når butikkerne er sat op efter samme skabelon, kan det være nærliggende at teste én og antage, at resultatet gælder for alle. Det kan være et rimeligt valg, men det er en antagelse og ikke et resultat. Rapporten dokumenterer den butik, der blev testet.
Hvis kæden vælger en enkelt butik som udgangspunkt, bør valget begrundes. Er butikken typisk for kæden? Er der butikker med en anden opsætning, for eksempel ældre butikker, butikker i et indkøbscenter med fælles net eller franchisebutikker med egne leverandører? Forskellene skal skrives ned, så konklusionen ikke bliver bredere end grundlaget.
En anden mulighed er at teste skabelonen, før den rulles ud til nye butikker. Så bliver resultatet en del af opsætningen og ikke kun en kontrol bagefter. → Nyt kontor på netværket
Kassen, butiksnettet og gæstenettet
I en butik kan der være flere net med forskellige formål: et til kasser og betalingsterminaler, et til medarbejdere, et til skærme og kameraer og et gæstenet til kunderne. Spørgsmålet til testen er ofte, om adskillelsen mellem dem holder, så en enhed på gæstenettet ikke kan nå kassesystemet.
Det er et bestillingsspørgsmål, ikke en teknisk opskrift. Beskriv de net, der findes, og hvad der efter planen må tale sammen. Testeren kan så undersøge, om virkeligheden svarer til planen under de aftalte forhold. → Trådløse net og gæstenet
Selve kasseløsningen og betalingsterminalerne kan være ejet eller administreret af en leverandør. Så er det leverandørens vilkår, der afgør, om udstyret må indgå i testen, eller om testen skal stoppe ved grænsen til leverandørens del. Et klart svar på det spørgsmål hører hjemme i opgavebeskrivelsen og ikke i en hurtig mail dagen før.
Skærme, kameraer, prisskilte og andre tilsluttede enheder hører også med i overvejelsen. De er ofte leveret og vedligeholdt af andre end kæden selv og kan stå på samme net som andet udstyr. → Printere, kameraer og IoT på netværket
Betalingskort og PCI DSS
Hvis kæden modtager betalingskort, kan PCI DSS stille krav til sikkerhedstest. Krav 11 i standarden handler om regelmæssig test af sikkerheden i systemer og net, herunder penetrationstest. Hvilke krav der gælder for kæden, afhænger blandt andet af, hvordan kortbetalingen er løst, og hvilke dele indløseren og betalingsleverandøren håndterer. Det skal afklares med de relevante parter.
En penetrationstest kan indgå i arbejdet med standarden, men den er ikke i sig selv en erklæring om overholdelse. Hvis testen skal bruges i den sammenhæng, skal det siges, når opgaven beskrives, så omfanget passer. → Betaling i webshoppen
Netbutikken og de fælles systemer
Netbutikken lever sjældent for sig selv. Den er typisk koblet til lager, kundeklub, ordrestyring og måske til butikkernes kasser, så kunder kan hente varer i butikken. Det er disse forbindelser, der gør, at en svaghed i netbutikken kan nå længere ind.
Når netbutikken skal testes, bør bestillingen derfor nævne, hvilke integrationer der er med, og hvilke der står uden for. Kundeklubben er et eksempel på et område, hvor mange kunders oplysninger samles, og hvor adskillelsen mellem kunderne er et centralt spørgsmål. → Penetrationstest for webshops i drift
ERP-systemet og de centrale lager- og prissystemer er ofte det, der binder kæden sammen. De kan være vigtigere at få belyst end den enkelte butik, fordi de berører alle butikker på én gang. Hvis budgettet kun rækker til én del, kan de centrale systemer derfor være et bedre valg end endnu en butik.
Mange leverandører, én kæde
En detailkæde har ofte leverandører til kasser, betaling, netbutik, skærme, kameraer og drift. Hver leverandør kan have fjernadgang til sin del. Det gør det nødvendigt at kende leverandørernes adgange og at indhente tilladelse, hvor testen berører systemer, som de driver. → Leverandørers fjernadgang
Timingen kræver også omtanke. En test midt i en travl salgsperiode kan forstyrre driften, og leverandørerne har måske ikke tid til at hjælpe. Vælg et tidspunkt, hvor kæden og leverandørerne kan håndtere et fund eller en forstyrrelse uden at miste salg.
Aftal desuden, hvordan butikkerne informeres. Personale, der oplever noget usædvanligt på kassen eller i netværket, skal vide, hvem de kontakter, og hvem der kan beslutte at stoppe testen.
Når rapporten kommer, skal fundene fordeles mellem kæden og leverandørerne. Et fund i butiksnettet kan ligge hos driftsleverandøren, et fund i netbutikken hos udvikleren og et fund i kasseløsningen hos kasseleverandøren. En oversigt over, hvem der ejer hvad, gør fordelingen hurtigere og opfølgningen mere overskuelig. Kæden bevarer ansvaret for helheden, også når rettelserne udføres af andre.
Det skal I lade være med
- At teste én butik og konkludere for alle · forskelle mellem butikkerne skal fremgå.
- At glemme gæstenettet · det står ofte i samme bygning som kasserne.
- At teste netbutikken uden integrationerne · forbindelserne til lager og kundeklub kan være det vigtigste.
- At læse en pentest som PCI DSS-godkendelse · testen er et bidrag, ikke en erklæring.
- At overse leverandørernes adgange · de skal kendes og indgå i tilladelserne.
- At teste i højsæsonen · en forstyrrelse koster mere, når der er travlt.
Hvad kan og ikke kan konkluderes
En test kan vise, hvordan de valgte butikker, net og systemer holdt under testen, og om adskillelsen mellem dem svarede til planen. Den kan ikke uden videre overføres til butikker, der ikke blev testet, eller til leverandørers systemer uden for opgaven.
Et resultat uden alvorlige fund i en enkelt butik siger ikke, at hele kæden er i orden. Det dokumenterer kun, hvad testeren fandt i den testede butik i testperioden. Skal resultatet bruges om flere butikker, må kæden selv kunne vise, at de er sat op på samme måde, og at ingen af dem har fået lokale tilføjelser siden.
Tjekliste for kæden
- ☐ Er det beskrevet, hvilke butikker der testes, og hvorfor?
- ☐ Er forskelle mellem butikkerne skrevet ned?
- ☐ Er nettene i butikken og deres formål beskrevet?
- ☐ Er netbutikkens integrationer placeret i eller uden for opgaven?
- ☐ Er betalingsløsningen og eventuelle PCI DSS-krav afklaret med de relevante parter?
- ☐ Er leverandørernes adgange kendt, og er tilladelser indhentet?
- ☐ Er tidspunktet valgt uden for de travleste perioder?
Kilder
- PCI DSS krav 11 (Microsoft Learn): krav om regelmæssig test af sikkerheden i systemer og net, herunder penetrationstest.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Testvindue
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
