Et tilbud på løbende test via en platform og et tilbud på en afgrænset penetrationstest kan begge kalde sig penetrationstest, men de leverer ikke det samme. Valget mellem dem afhænger af, hvad I skal kunne dokumentere, hvem der skal bruge resultatet, og hvor hurtigt jeres systemer ændrer sig. En model er ikke bedre end den anden i sig selv. Den skal passe til det spørgsmål, I vil have besvaret.
Løbende test sælges også under den engelske betegnelse penetration testing as a service. Betegnelsen dækker over vidt forskellige ydelser, så det er indholdet og ikke navnet, der skal vurderes.
To modeller, to slags leverance
Den afgrænsede opgave har et scope, en periode og en rapport. Den beskriver, hvad der blev undersøgt, på hvilket tidspunkt, og med hvilke forudsætninger. Rapporten er et samlet dokument, der kan læses, arkiveres og vises til andre.
Den løbende model har en liste over aktiver og kontroller, en abonnementsperiode og et instrumentpanel eller en portal, hvor fund dukker op, efterhånden som de bliver fundet. Leverancen er en strøm af resultater frem for ét dokument. Nogle platforme kan også danne en rapport for en periode, men det skal I spørge efter. → Automatisk eller manuel penetrationstest
For køberen er forskellen vigtig, fordi de to leverancer bruges forskelligt. En portal er nyttig for den, der retter. En rapport er nyttig for den, der skal beslutte eller dokumentere.
Hvem tester, og hvor meget en person er med
Spørg, hvor stor en del af arbejdet der udføres af automatiske kontroller, og hvor stor en del af en tester. Spørg også, om det er de samme testere hele perioden, og om de kender jeres systemer og de forretningsgange, systemerne understøtter. I den løbende model kan bemandingen skifte, og det har betydning for, om sammenhænge i kundeportalen eller ERP-systemet bliver set.
Den britiske myndighed NCSC beskriver penetrationstest som en måde at få sikkerhed for, at jeres egen håndtering af sårbarheder virker, og ikke som den primære måde at finde sårbarheder på. Det er en nyttig rettesnor, når en løbende ydelse markedsføres som en erstatning for jeres egen sårbarhedsstyring. → Sårbarhedsstyring og penetrationstest
Fund, status og retest
I den afgrænsede opgave er retest en ydelse, der skal aftales, enten i tilbuddet eller bagefter. I den løbende model kan genkontrol ske automatisk, når I melder et fund rettet. Spørg, hvem der kontrollerer rettelsen, om kontrollen er automatisk eller manuel, og hvordan status vises.
Afklar også, hvordan fund prioriteres, når de kommer løbende. En lang liste, der vokser uge for uge, kræver, at nogen hos jer følger op. Ellers samler fundene sig i portalen, uden at nogen tager stilling. → Retest efter penetrationstest
Endelig er ejerskab til data et spørgsmål, som er let at overse ved indgåelsen og svært at løse ved udløbet. Hvad sker der med fund og historik, når abonnementet slutter? Kan I eksportere dem i en form, I selv kan bruge?
Hvad modtagerne kan bruge resultatet til
En kunde, der beder om dokumentation, kan have bestemte forventninger til formen. Nogle kunder kan acceptere et udtræk fra en portal, mens andre kan bede om en rapport med scope, periode og konklusion. Et udtræk viser fundene, men ikke nødvendigvis, hvad der blev undersøgt uden fund, og det er netop den oplysning, en modtager kan have brug for. Spørg modtageren, hvad der forventes, før I vælger model. → En kunde beder om pentestrapporten
En revisor eller et forsikringsselskab kan have egne krav til, hvad der tæller som test. Afklar med dem, om løbende kontrol, en afgrænset opgave eller begge dele kan indgå. Ingen af modellerne er i sig selv en garanti for, at et krav er opfyldt. → Revisoren og sikkerhedstesten
Når kravet nævner en frekvens
Nogle regelsæt nævner, hvor hyppigt der skal testes. PCI DSS krav 11.4.2 og 11.4.3 kræver intern og ekstern penetrationstest mindst hver tolvte måned og efter væsentlige ændringer, udført af en kvalificeret intern eller ekstern tester med organisatorisk uafhængighed. Krav 11.4.4 kræver, at testen gentages for at bekræfte rettelserne.
Et sådant krav kan opfyldes på forskellige måder, men det beskriver en test med en metode og et resultat, ikke blot en kørende kontrol. Hvis I vil bruge en løbende ydelse over for et krav, skal I kunne vise, at den svarer til kravets ordlyd. Standardernes rolle er beskrevet i → Penetrationstest og standarder
Ændringstakten afgør meget
Virksomheder, der udgiver ny kode til webshoppen hver uge, har et andet behov end virksomheder, hvis kontornet er uændret fra år til år. Hyppige ændringer taler for løbende kontrol af det, der ændrer sig. Store ændringer, som en ny kundeportal eller en flytning til cloud, taler for en afgrænset test, hvor en tester ser på helheden.
De to modeller kan kombineres. En løbende kontrol af de internetvendte systemer og en afgrænset test af et udvalgt område er én mulighed. Når flere test skal bestilles over tid, kan en rammeaftale være en anden. → Rammeaftale om penetrationstest
Hvad der påvirker omfanget i begge modeller, kan I drøfte ud fra pris og tilbud.
Det skal I lade være med
- At vælge ud fra navnet · spørg til indholdet bag betegnelsen.
- At regne en portal for en rapport · afklar, om I kan få et samlet dokument for en periode.
- At lade fundene hobe sig op · en løbende strøm kræver en fast ejer hos jer.
- At antage, at løbende betyder dækkende · nye systemer skal tilføjes aktivt.
- At glemme exit · aftal, hvad der sker med fund og historik, når abonnementet slutter.
- At love modtagere noget på forhånd · spørg kunde, revisor og forsikring, hvad de vil se.
Hvad kan og ikke kan konkluderes
Løbende test kan vise, hvad de konfigurerede kontroller og testere har fundet på de omfattede aktiver i perioden. En afgrænset test kan vise, hvordan et bestemt område holdt på et bestemt tidspunkt under de aftalte forhold.
Ingen af modellerne kan vise, at systemer uden for scope er sikre, eller at der ikke findes svagheder, som kontrollerne og testerne ikke så. Resultatet er stadig et udsnit og ikke en garanti. → Penetrationstest er et øjebliksbillede
Tjekliste før I vælger model
- ☐ Hvem skal bruge resultatet, og hvad forventer de at modtage?
- ☐ Hvor stor en del af arbejdet udføres af en tester?
- ☐ Hvordan prioriteres og ejes fund, der kommer løbende?
- ☐ Hvordan kontrolleres rettelser, og hvem gør det?
- ☐ Kan I få en samlet rapport for en periode?
- ☐ Hvad sker der med data, når aftalen slutter?
- ☐ Passer modellen til jeres ændringstakt og eventuelle krav om frekvens?
Kilder
- NCSC (UK): Penetration testing: penetrationstest som afprøvning af sårbarhedsstyringen og ikke den primære måde at finde sårbarheder på.
- PCI DSS krav 11, gengivet på Microsoft Learn: krav 11.4.2 til 11.4.4 om frekvens, uafhængighed og gentaget test efter rettelser.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Årlig penetrationstest · Cyberforsikring og penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
