En IT-leverandør, der driver andres systemer, står med to forskellige spørgsmål om penetrationstest: hvordan holder vores egen platform, og hvordan holder kundernes miljøer? De to spørgsmål kræver hver sin bestiller og hver sin tilladelse. Leverandøren kan selv beslutte en test af sit eget miljø, mens en test af en kundes miljø hviler på kundens beslutning.
Den skelnen er grundlaget for resten. Tekniske emner som Active Directory, Microsoft 365 og cloudplatforme i dybden behandles på penetration-test.dk, hvor IT-folk og driftsleverandører er målgruppen. Her handler det om roller, tilladelser og dokumentation.
To miljøer, to beslutninger
Leverandørens eget miljø omfatter typisk de systemer, der bruges til at drive kunderne: fjernadgang, administrationsværktøjer, dokumentation, ticketsystem og de konti, medarbejderne arbejder med. Det er leverandørens ansvar, og leverandøren kan bestille en test af det.
Kundens miljø er kundens. Selv om leverandøren har administratoradgang, er det ikke leverandøren, der kan give tilladelse til en penetrationstest af kundens systemer. Kunden skal beslutte det, og kunden skal kende omfanget. Lovligheden af en test afhænger af, at den, der ejer eller råder over systemet, har givet samtykke. → Er en penetrationstest lovlig?
Grænsen er ikke altid skarp. Et overvågningsværktøj kan være leverandørens, men installeret på kundens servere. Et fælles hostingmiljø kan rumme mange kunders data. Beskriv derfor i opgaven, hvilke dele der tilhører hvem, før testen begynder.
Jeres egen platform er kundernes indgang
For en MSP er den egne platform ikke kun et internt anliggende. De værktøjer, der giver adgang til mange kunder på én gang, betyder, at en svaghed hos leverandøren kan få betydning for alle de kunder, der er koblet på. Det er et godt argument for at teste platformen og ikke kun kundernes miljøer.
Spørgsmålet til en test af egen platform kan være: Hvad kan en uvedkommende nå, hvis adgangen til en medarbejderkonto eller et administrationsværktøj misbruges? Hvilke kunder ville være berørt? Svaret kræver, at testen omfatter de systemer, der forbinder leverandøren med kunderne, og ikke kun leverandørens hjemmeside og kontornet. → Leverandørers fjernadgang til jeres systemer
Testen bør foretages af en anden part end den, der har bygget og driver platformen. En intern kontrol har sin værdi, men den giver ikke det samme uafhængige billede. → Uafhængig penetrationstest
Platformen ændrer sig, når der kommer nye kunder, nye værktøjer og nye medarbejdere. Overvej derfor, hvilke ændringer der bør føre til en ny vurdering, frem for at lade én test stå som svar i lang tid.
Når kunden vil have testet sit miljø
Mange kunder vender sig først til deres IT-leverandør, når de vil have en penetrationstest. Leverandøren kan hjælpe med at beskrive opgaven, skaffe oplysninger om miljøet og være kontakt i testperioden. Leverandøren bør dog ikke være den, der tester det miljø, den selv driver, hvis resultatet skal bruges som et uafhængigt grundlag.
Kunden skal være bestiller og modtager af rapporten. Leverandøren kan få de dele, der er nødvendige for at rette, men det er kundens beslutning. Det giver kunden mulighed for at vurdere fundene uden at være afhængig af leverandørens egen fortolkning.
Hvis leverandøren har flere kunder, der ønsker en test, kan det være fristende at samle dem i én opgave. Hver kunde skal dog give sin egen tilladelse og have sin egen rapport, medmindre andet er aftalt skriftligt med alle parter. → Driftsleverandøren og testen
Delte miljøer og andre kunders data
Hvis flere kunder deler infrastruktur, kan en test af én kundes miljø berøre andres. Leverandøren skal gøre opmærksom på det, og testens omfang skal afgrænses, så andre kunders systemer og data holdes uden for. Er det ikke muligt, kræver testen også de berørte kunders accept, eller den må begrænses.
Det samme gælder, når leverandøren selv køber ydelser hos et hostingfirma eller en cloududbyder. Deres vilkår kan sætte rammer for, hvad der må testes. Afklar det, før testen planlægges.
Overvågningen kræver også en aftale. Leverandørens egen driftscentral kan opdage testen og reagere, som om det var et angreb. Det kan være en del af formålet, men så skal en lille kreds kende til testen og kunne stoppe en unødig eskalering. Ellers bør vagten orienteres, så kunder ikke bliver kontaktet om en hændelse, der i virkeligheden er en aftalt test.
Kunderne spørger efter dokumentation
Kunder kan bede leverandøren om dokumentation for sikkerheden, for eksempel i forbindelse med en kontrakt eller egne krav fra myndigheder. NIS2-direktivets bilag I nævner udbydere af administrerede tjenester og administrerede sikkerhedstjenester blandt de sektorer, direktivet omfatter. Om en bestemt leverandør er omfattet, afhænger af blandt andet størrelse og den danske gennemførelse og skal afklares særskilt. Teksten er ikke juridisk rådgivning. → NIS2 i leverandørkæden
En rapport fra en test af egen platform kan være et svar til kunderne, men hele rapporten indeholder ofte oplysninger, der ikke bør deles bredt. En testerklæring eller et resumé kan være en løsning, hvis det er aftalt med testeren på forhånd. → Testerklæring til kunder
Det skal I lade være med
- At teste en kundes miljø på eget initiativ · kunden skal beslutte og kende omfanget.
- At teste det miljø, I selv driver, som eneste kontrol · kunden får ikke et uafhængigt billede.
- At glemme jeres egen platform · den er indgangen til alle de kunder, der er koblet på.
- At lade test af én kunde berøre andre · delte miljøer kræver en klar afgrænsning.
- At samle flere kunder i én opgave uden aftale · hver kunde skal give sin egen tilladelse.
- At sende hele rapporten til kunderne · aftal på forhånd, hvad der kan deles.
Hvad kan og ikke kan konkluderes
En test af leverandørens platform kan vise, hvordan de aftalte systemer holdt, og hvilke kunder et fund ville kunne berøre. Den siger ikke noget om de enkelte kunders miljøer. En test af en kundes miljø siger tilsvarende ikke noget om leverandørens egen platform eller om andre kunder.
At leverandøren har testet sin platform, er ikke en erklæring om, at kunderne er sikre. Det er et grundlag for at prioritere rettelser og et muligt svar til kunder, der spørger. Svaret skal altid nævne, hvad testen omfattede, og hvornår den blev udført.
Tjekliste for IT-leverandøren
- ☐ Er det klart, hvilke systemer der er jeres, og hvilke der er kundernes?
- ☐ Har hver kunde givet skriftlig tilladelse til test af sit miljø?
- ☐ Omfatter testen af egen platform de systemer, der forbinder jer med kunderne?
- ☐ Er testeren uafhængig af den, der driver miljøet?
- ☐ Er delte miljøer afgrænset, så andre kunder ikke berøres?
- ☐ Er det aftalt, hvad kunderne kan få at se?
Kilder
- NIS2-direktivet (EU) 2022/2555, bilag I: sektoren forvaltning af IKT-tjenester med udbydere af administrerede tjenester og administrerede sikkerhedstjenester.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
