En rådgivningsvirksomhed opbevarer oplysninger, som klienterne har betroet den, og som ofte ikke findes andre steder i samme samling. Regnskaber, kontrakter, korrespondance og personoplysninger ligger side om side. En penetrationstest kan belyse, om de systemer, der rummer og deler disse oplysninger, holder adskillelsen mellem klienter og mellem medarbejdere.
Hvad testen bør omfatte, afhænger af, hvordan oplysningerne bevæger sig: hvor de modtages, hvor de opbevares, og hvordan de sendes tilbage til klienten. Hos en revisor eller et advokatfirma kan de tre bevægelser fx mødes i en klientportal, i fildeling med klienter og modparter og i mailen. Hvilke systemer der er i spil, varierer, så en kortlægning er første skridt.
Fortrolighed som udgangspunkt
Rådgivere har forpligtelser over for klienterne, som går ud over almindelig forretningsfortrolighed. Hvad de indebærer i det enkelte fag, afgøres af de regler og den praksis, der gælder for faget, og af aftalerne med klienterne. Teksten her er ikke juridisk rådgivning.
For testen betyder det, at spørgsmålet ikke kun er, om en udefrakommende kan få adgang. Det er også, om én klient kan se en anden klients oplysninger, og om medarbejdere kun har adgang til de sager, de arbejder på, hvis virksomheden har valgt at skelne. Det er et spørgsmål om adskillelse, og det kan afprøves.
Hvis oplysningerne omfatter personoplysninger, gælder databeskyttelsesreglerne også. Datatilsynet vejleder om behandlingssikkerhed, og en test kan indgå som et af flere elementer i virksomhedens vurdering. Den afgør ikke i sig selv, om reglerne er overholdt.
Klientportalen
En klientportal giver klienter mulighed for at uploade bilag, hente dokumenter og følge sager. Når den er tilgængelig fra internettet og rummer oplysninger fra mange klienter i samme løsning, bliver adskillelsen mellem klienter det centrale spørgsmål.
En test af portalen bør have mindst to testklienter, så det kan afprøves, om den ene kan nå den andens dokumenter. Klienter med flere brugere, fx en virksomhed hvor både direktør og bogholder har adgang, bør også indgå, hvis portalen tillader det. → Kunders data holdt adskilt
Er portalen et standardprodukt fra en leverandør, gælder en delt ansvarsfordeling. Virksomheden ejer sin opsætning, sine brugere og sine data, mens leverandøren ejer produktet. Testen må holde sig til virksomhedens egen del, og leverandøren skal som regel give tilladelse.
Fildeling og sagsarkiv
Ud over portalen kan filer deles via links, delte mapper eller samarbejdsrum med klienter og modparter. Et delingslink, der aldrig udløber, eller en mappe, der er delt bredere end tiltænkt, er forhold, som en test kan pege på. → Fildeling
Internt kan sagsarkivet være organiseret, så alle medarbejdere har adgang til alt. Det kan være et bevidst valg i en lille virksomhed. Hvis virksomheden i stedet har besluttet, at visse sager skal være begrænset, er det værd at få afprøvet, om begrænsningen virker i praksis.
Mail og Microsoft 365
Når klienter, modparter og myndigheder kommunikerer med rådgiveren via mail, og dokumenter sendes frem og tilbage den vej, bliver mailen en del af den fortrolige behandling. Indstillingerne for mail, videresendelse og adgang til postkasser har derfor stor betydning. → Mail i en penetrationstest
Bruger virksomheden en samlet kontorpakke i skyen til mail, dokumenter og samarbejde, hænger de tre dele sammen gennem de samme identiteter. En test kan omfatte opsætningen af identiteter, deling og administrative indstillinger, men det skal afgrænses præcist, hvad der indgår. → Microsoft 365 for købere
Selve phishing og andre forsøg på at påvirke medarbejdere er en særskilt opgave med egne rammer. Den bør ikke gemmes i en almindelig bestilling.
Adgang hjemmefra og fra mobile enheder hører også med i overvejelserne, hvis medarbejdere arbejder med sager uden for kontoret. Det handler om, hvordan login og adgang til dokumenter er sat op, ikke om at teste selve telefonerne.
Branchesystemer og leverandøradgang
Revisorer og advokater bruger systemer, der er udviklet til faget: sagsstyring, tidsregistrering, regnskabsprogrammer og dokumentskabeloner. Nogle drives af leverandøren, andre installeres lokalt, og i begge tilfælde kan leverandøren have adgang for at yde support.
Systemerne kan være forbundet med hinanden og med offentlige løsninger, fx til indberetning. Forbindelserne bør med i kortlægningen, så det er tydeligt, hvilke af dem testen omfatter, og hvilke der ligger hos andre. En integration, som ingen har nævnt, bliver hverken testet eller bevidst udeladt.
Leverandørernes adgang er et selvstændigt spørgsmål. Hvordan logger supporten ind, hvem hos leverandøren kan gøre det, og bliver adgangen lukket igen? Svarene afgør, om leverandøradgangen skal med i testen, og hvilke tilladelser der skal indhentes. → Leverandørers adgang
Rapporten er selv fortrolig
En pentestrapport beskriver svagheder i virksomhedens systemer og kan indeholde eksempler på oplysninger, testeren har set. Den skal derfor behandles mindst lige så fortroligt som de oplysninger, den handler om.
Aftal på forhånd, hvordan testeren må håndtere klientoplysninger, hvis de bliver synlige under testen, og at eksempler i rapporten anonymiseres. Testdata og testklienter bør bruges, hvor det er muligt, så rigtige klienters oplysninger ikke indgår i dokumentationen. → NDA og fortrolighed
Hvis en klient beder om dokumentation for test, er det ikke nødvendigvis den fulde rapport, der skal udleveres. En kort erklæring om opgaven og konklusionen kan dække behovet, men det afhænger af, hvad klienten konkret spørger om.
Internt bør det også være besluttet, hvem der må læse rapporten. I et partnerejet firma kan det være naturligt, at partnerkredsen ser resuméet, mens de tekniske detaljer kun går til dem, der skal rette.
Det skal I lade være med
- At teste portalen med én testklient · Adskillelsen mellem klienter kan ikke vurderes uden mindst to.
- At bruge rigtige klientsager som testdata · Testen skal ikke selv blive en kilde til eksponering.
- At glemme leverandørens tilladelse · Portal og branchesystemer kan være drevet af andre.
- At sende rapporten med almindelig mail · Den beskriver svagheder og skal behandles fortroligt.
- At bruge testen som svar på et juridisk spørgsmål · En test viser tekniske forhold, ikke om reglerne er overholdt.
Hvad kan og ikke kan konkluderes
En test kan vise, om adskillelsen mellem klienter og mellem medarbejdere holdt i de systemer og roller, der indgik. Den kan pege på delinger og opsætninger, der giver bredere adgang end tiltænkt.
Den kan ikke dokumentere, at virksomheden overholder sine fortrolighedsforpligtelser eller databeskyttelsesreglerne. Systemer uden for scope er heller ikke belyst, og testen siger intet om medarbejdernes adfærd uden for dens rammer.
Tjekliste før testen
- ☐ Er det kortlagt, hvor klientoplysninger modtages, opbevares og deles?
- ☐ Er klientportal, fildeling og mail placeret i eller uden for scope?
- ☐ Er der mindst to testklienter, også med flere brugere?
- ☐ Har leverandører af portal og branchesystemer givet tilladelse?
- ☐ Er håndteringen af klientoplysninger under testen aftalt?
- ☐ Er det besluttet, hvem der må læse rapporten, og hvordan den opbevares?
Kilder
- Datatilsynet: vejledning om behandlingssikkerhed ved personoplysninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Testerklæring · Social engineering-test
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
