I en ejerledet virksomhed ender spørgsmålet om IT-sikkerhed ofte på samme bord som alt andet: ejerens. En penetrationstest giver her mening, når den svarer på noget, ejeren selv skal beslutte, og når der bagefter er en klar plan for, hvem der handler på resultatet.
Om testen passer til en ejerledet virksomhed, afhænger derfor mindre af størrelsen og mere af ansvaret. Ejeren kan bestille, godkende omfanget og tage stilling til fundene uden lange godkendelsesveje. Det er en styrke. Bagsiden er, at viden og beslutninger let samles hos én person, som i forvejen har mange andre opgaver.
Kort vej fra spørgsmål til beslutning
Hvor en større organisation har en IT-chef, en sikkerhedsansvarlig og en direktion, der skal enes, kan ejeren ofte afgøre sagen alene. Det gør det muligt at bestille en afgrænset test hurtigt og at prioritere rettelser uden et langt forløb.
Den korte vej kræver dog, at beslutningen bliver skrevet ned. Når ejeren siger ja i en samtale med IT-partneren, mangler der ofte en beskrivelse af, hvad der er aftalt, og hvad der er fravalgt. Et kort dokument med systemer, periode og kontaktperson gør det muligt for alle at se, hvad opgaven omfatter. → Opgavebeskrivelsen
Det skriftlige har også betydning, når testen berører systemer, som andre driver. Ejerens tilladelse dækker virksomhedens egne forhold. Den dækker ikke automatisk hostingfirmaets eller softwareleverandørens.
Den korte vej gælder også undervejs. Hvis testeren støder på noget, der kræver en hurtig afgørelse, for eksempel om en del af webshoppen skal lukkes midlertidigt, kan ejeren beslutte med det samme. Det forudsætter, at testeren ved, at ejeren er den rette at ringe til, og at ejeren har sagt ja til at blive kontaktet i testperioden.
Hvad vil ejeren vide?
Ejerens spørgsmål er sjældent formuleret teknisk. Det kan lyde sådan: Kan nogen udefra komme ind i ERP-systemet? Kan en kunde i kundeportalen se andre kunders ordrer? Hvad sker der, hvis en medarbejders konto bliver misbrugt? Den slags spørgsmål er gode udgangspunkter, fordi de knytter testen til det, virksomheden lever af.
Spørgsmålet skal derefter oversættes til et område, testeren kan arbejde med. Et spørgsmål om ERP-systemet udefra peger mod de tjenester, der er synlige fra internettet. Et spørgsmål om kundeportalen peger mod roller og adskillelse af data. Testeren foreslår formen. Ejeren siger, hvad der står på spil. → Den første penetrationstest
Ejeren bør også sige, hvad resultatet skal bruges til. Skal det støtte valget af en ny løsning, besvare en kunde eller give et grundlag for næste års budget? Formålet påvirker, hvordan rapporten bør skrives, og hvem der skal kunne læse den.
Teknisk indsigt er ikke en forudsætning
En ejer uden teknisk baggrund kan sagtens bestille og bruge en penetrationstest. Det kræver, at rapporten har et resumé, der forklarer de vigtigste fund i almindeligt sprog, og at der holdes et møde, hvor ejeren kan spørge til betydningen. Bed om begge dele, når opgaven aftales.
Ejeren behøver ikke forstå, hvordan et fund blev påvist. Ejeren skal kunne forstå, hvad fundet betyder for forretningen, hvor alvorligt testeren vurderer det, og hvad der foreslås. Giver rapporten kun mening for en tekniker, er det et spørgsmål til testeren og ikke en mangel hos ejeren. → Resuméet i pentestrapporten
En betroet rådgiver kan også være med til gennemgangen og oversætte de tekniske dele, mens ejeren træffer beslutningerne. Rollerne bør dog holdes adskilt. Den, der skal rette fundene, bør ikke være den eneste, der fortolker dem for ejeren.
Hvem tager opgaven bagefter?
Fundene skal fordeles. I en ejerledet virksomhed kan det være en ekstern IT-partner, en driftsleverandør eller en medarbejder, der har IT som en af flere opgaver. Afklar før testen, hvem det er, og om rettelserne ligger inden for den eksisterende aftale eller kræver en ny.
Prioriteringen bør ejeren selv stå for. Testeren vurderer alvorligheden, og IT-partneren vurderer indsatsen, men ejeren kender virksomhedens planer og ved, hvilke systemer forretningen ikke kan undvære. En enkel liste med fund, ansvarlig, frist og status er nok til at holde styr på arbejdet. → Fra rapport til handlingsplan
Et fund, der ikke rettes, er også en beslutning. Skriv den ned sammen med begrundelsen. Så kan ejeren senere se, at fravalget var bevidst, og tage det op igen, når forholdene ændrer sig.
Når alt hviler på én person
Den svageste del af beslutningskæden kan være, at kun ejeren kender aftalen. Er ejeren syg, på ferie eller optaget af andet, kan en henvendelse fra testeren om et alvorligt fund blive liggende. Udpeg derfor en stedfortræder, der kan træffe beslutninger i testperioden, og giv testeren kontaktoplysningerne.
Det samme gælder rapporten. Den beskriver virksomhedens svagheder og skal opbevares forsvarligt, men ikke så lukket, at kun ejeren kan finde den. Aftal, hvem der har adgang, og hvor den ligger. → Deling af pentestrapporten
Har virksomheden en bestyrelse, en familiebestyrelse eller et advisory board, kan det have interesse i resultatet i overordnet form. Ejeren afgør, hvor meget der deles, men bestyrelsens spørgsmål kan med fordel indgå, når testen planlægges. → Bestyrelsen spørger, om sikkerheden holder
Det skal I lade være med
- At aftale testen mundtligt · uden en skreven beskrivelse kan ingen bagefter se, hvad der var med.
- At lade IT-partneren både vælge, rette og vurdere · ejeren mister det uafhængige blik på resultatet.
- At gemme rapporten, så kun ejeren kan finde den · opfølgningen går i stå, hvis ejeren er væk.
- At springe resuméet over · en rapport, ejeren ikke kan læse, bliver sjældent brugt.
- At lade fravalg stå ubeskrevne · et fund, der bevidst ikke rettes, skal fremgå som en beslutning.
- At teste uden at afsætte ressourcer til opfølgning · rettelserne kræver tid og penge.
Hvad kan og ikke kan konkluderes
En penetrationstest kan give ejeren et konkret billede af, hvordan de aftalte systemer holdt under testen, og hvilke fund der kræver handling. Den siger intet om forhold uden for opgaven, og den er hverken en vurdering af virksomhedens samlede sikkerhed eller af IT-partnerens arbejde.
At ejeren har bestilt en test og fulgt op på den, viser, at ansvaret er taget alvorligt. Det dokumenterer ikke, at virksomheden er sikker. Hvad der er undersøgt, og hvad der står tilbage, fremgår af rapporten og af den plan, ejeren har godkendt.
Tjekliste for ejeren
- ☐ Er spørgsmålet til testen formuleret i forretningens sprog?
- ☐ Er det beskrevet, hvad resultatet skal bruges til?
- ☐ Er opgaven skrevet ned med systemer, periode og kontakt?
- ☐ Er der en stedfortræder, der kan beslutte i testperioden?
- ☐ Er det aftalt, hvem der retter, og under hvilken aftale?
- ☐ Er der afsat tid til en gennemgang af rapporten?
- ☐ Ved mindst én anden end ejeren, hvor rapporten ligger?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
