En forening har ofte oplysninger om mange medlemmer, men få penge og ingen fast IT-medarbejder. En penetrationstest kan være relevant, hvis der er et bestemt system, hvor et svigt vil ramme medlemmer, donorer eller ansøgere, og hvis nogen i organisationen kan tage imod resultatet og sørge for opfølgningen.
Svaret på, om testen giver mening, hviler altså på to ting: et afgrænset system med noget på spil og en ansvarlig, der kan handle. Mangler den ansvarlige, bliver rapporten ikke brugt, uanset hvor god den er.
Hvor ligger oplysningerne?
Foreninger og fonde har ofte deres data fordelt på flere systemer: et medlemssystem, en hjemmeside med tilmelding, et regneark hos kassereren, en mailliste og måske en ansøgningsportal eller en donationsløsning. Nogle er leveret af en ekstern leverandør, andre er sat op af en frivillig.
Start med at lave en oversigt. Hvilke systemer findes, hvem har sat dem op, hvem har adgang, og hvilke oplysninger ligger hvor? Oversigten er nyttig, selv hvis der aldrig bliver bestilt en test. Den viser, hvor der er oplysninger, som organisationen har ansvar for, og hvor ansvaret i praksis ligger hos en enkelt person.
Behandling af personoplysninger er underlagt regler, som Datatilsynet vejleder om. En penetrationstest kan indgå i arbejdet med at vurdere sikkerheden, men den er ikke et svar på alle de spørgsmål, reglerne rejser. Teksten er ikke juridisk rådgivning.
Frivillige med adgang
Frivillige kommer og går. Mange har brug for adgang til medlemslister, tilmeldinger eller fælles mapper for at løse deres opgaver, og adgangen bliver ikke altid fjernet, når en frivillig stopper. Delte logins og private enheder kan også være en del af billedet.
En penetrationstest kan belyse, hvad en bruger med en bestemt rolle kan nå i det system, der testes. Det kan være relevant, hvis medlemssystemet har roller til frivillige, lokalafdelinger og bestyrelse. Spørgsmålet kan være, om en frivillig i én lokalafdeling kan se medlemmer i en anden. → Login og adgangskoder
Testen kræver testkonti i de relevante roller og helst testmedlemmer frem for rigtige personer. Bed leverandøren eller den, der administrerer systemet, om at oprette dem, og aftal, at de slettes igen bagefter. Så undgår organisationen, at oplysninger om virkelige medlemmer indgår i testen og i rapporten.
Mange af spørgsmålene om frivilliges adgang er dog organisatoriske. Hvem giver adgang, hvem fjerner den, og hvem holder øje med det? Det kan en test ikke løse. En gennemgang af rutiner og opsætning kan være et bedre første skridt, hvis der ikke findes nogen faste rutiner. → Penetrationstest eller IT-sikkerhedsaudit
Leverandørens system eller jeres eget
Mange foreninger bruger et medlemssystem eller en ansøgningsportal, som en leverandør udvikler og driver for flere organisationer. Så er det ikke foreningen, der kan give tilladelse til en test af systemet. Leverandøren skal spørges, og ofte vil det være mere relevant at bede leverandøren om dokumentation for deres egne test. → Leverandøren siger, at alt er sikkert
Det, foreningen selv råder over, kan være hjemmesiden, tilmeldingsformularer, opsætningen af mail og fildeling og eventuelle løsninger, en frivillig har bygget. Det er her, en test bestilt af foreningen kan give svar. Hvis hjemmesiden kører på en almindelig platform med udvidelser, kan den være et naturligt udgangspunkt.
Fonde med en ansøgningsportal har en særlig situation. Portalen modtager ofte oplysninger fra ansøgere, der ikke er medlemmer, og som forventer, at deres ansøgninger kun bliver set af dem, der skal behandle dem. Adskillelsen mellem ansøgere kan være et godt spørgsmål til en test, hvis portalen er fondens egen.
Når pengene er få
Et stramt budget betyder, at testen skal være smal. Vælg det system, hvor et svigt vil ramme flest mennesker eller de mest følsomme oplysninger, og skriv ned, hvad der er valgt fra. En smal test af medlemssystemets roller kan give mere end en bred test, der kun når overfladen. → Budgettet rækker til én test
Omfanget af testen afhænger af systemet, de roller, der skal indgå, og den rapport, der ønskes. Bed om pris og tilbud på det konkrete system, så organisationen kan vurdere, om det står mål med behovet.
Husk også at afsætte ressourcer til rettelserne. Hvis medlemssystemet er udviklet af en frivillig, der er stoppet, kan det være svært at finde nogen, der kan rette fundene. Det er en vigtig oplysning at have, før testen bestilles, fordi den kan ændre, hvad der er klogt at teste.
Bestyrelsen bærer ansvaret
I en forening eller fond er det ofte bestyrelsen, der har det overordnede ansvar. Bestyrelsen skifter, og viden om IT forsvinder let, når et medlem går af. Udpeg derfor en ansvarlig for testen, og sørg for, at rapporten og beslutningerne bliver gemt et sted, hvor næste bestyrelse kan finde dem. → Pentestrapporten i bestyrelsen
Rapporten bør kun deles med dem, der skal bruge den. Den beskriver svagheder, og den bør ikke ligge i en fælles mappe, som alle frivillige har adgang til. → Opbevaring og sletning af rapport og testdata
Det skal I lade være med
- At teste uden en ansvarlig · en rapport uden ejer bliver liggende.
- At teste leverandørens system uden tilladelse · det er leverandøren, der skal sige ja.
- At bruge en test i stedet for rutiner · frivilliges adgang kræver faste regler, ikke kun en kontrol.
- At teste bredt med få midler · en smal test giver et svar, der kan bruges.
- At glemme, hvem der kan rette · et system uden vedligeholder er et fund i sig selv.
- At lægge rapporten i en fælles mappe · den skal kun deles med dem, der bruger den.
Hvad kan og ikke kan konkluderes
Resultatet beskriver det testede system i testperioden, herunder om rollerne for frivillige og lokalafdelinger fungerede som tiltænkt. Fravalgte systemer står ubelyst, og spørgsmål om rutiner, samtykke eller opbevaring af medlemsdata løses ikke af en test alene.
At en forening har fået testet sit medlemssystem, er et skridt i arbejdet med sikkerheden. Det er ikke en erklæring om, at alle oplysninger er sikre, eller at alle regler er overholdt. Resultatet gælder den udgave af systemet, der blev testet, og kan forælde, når systemet ændres.
Tjekliste for foreningen eller fonden
- ☐ Findes der en oversigt over systemer, adgange og oplysninger?
- ☐ Er det afklaret, hvilke systemer organisationen selv råder over?
- ☐ Er der en navngiven ansvarlig for testen og opfølgningen?
- ☐ Er det klart, hvem der kan rette fundene?
- ☐ Er det valgte system det, hvor et svigt rammer flest eller mest følsomt?
- ☐ Er det aftalt, hvor rapporten opbevares, og hvem der kan se den?
Kilder
- Datatilsynet: vejledning om behandling og sikkerhed af personoplysninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Ny hjemmeside på WordPress · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
