En rapport uden fund kan føles som en lettelse, men den kan også rejse tvivl om, hvorvidt testen var grundig nok. Hvad den betyder, afhænger af tre ting: hvad der var i scope, hvor meget adgang og tid testeren havde, og hvordan rapporten beskriver det, der blev afprøvet.
Svaret er derfor, at ingen fund betyder, at testeren ikke påviste svagheder i de undersøgte dele under de aftalte forhold. Det betyder ikke, at systemet er sikkert. Begge dele kan være rigtige på samme tid, og forskellen er vigtig, når resultatet skal bruges.
Et resultat er ikke det samme som en garanti
En penetrationstest er en afgrænset undersøgelse inden for en bestemt periode. Testeren afprøver udvalgte veje ind og vurderer, hvad der kan opnås. Hvis ingen af dem fører til et fund, er det en oplysning om netop de veje, ikke om alle tænkelige.
NCSC i Storbritannien beskriver penetrationstest som en måde at få sikkerhed for, at virksomhedens egen håndtering af sårbarheder virker, og ikke som den primære metode til at finde dem. Set i det lys er en test uden fund et tegn på, at den løbende indsats har holdt på de områder, testen dækkede. → Testen garanterer ikke sikkerhed
Begynd med scope og forudsætninger
Før I drager en konklusion, så læs rapportens beskrivelse af opgaven igen. Hvilke systemer, adresser og funktioner indgik? Hvilke brugerroller havde testeren adgang til? Var noget undtaget eller ikke tilgængeligt under testen?
En kundeportal, der kun blev testet uden login, kan godt være uden fund, mens funktionerne bag login aldrig blev afprøvet. Et kontornet, hvor testeren kun fik adgang fra gæstenettet, siger ikke meget om det administrative net. Resultatet gælder det udgangspunkt, der blev aftalt. → Test med og uden login
Notér også, om der opstod forhindringer undervejs. Et testvindue, der blev afkortet, eller en testkonto, der ikke virkede, kan forklare et tyndt resultat bedre end et sikkert system.
Tjek desuden miljøet. Hvis webshoppen blev testet på en kopi, gælder resultatet kopien. Forskelle mellem kopien og driften, for eksempel andre integrationer eller en anden opsætning, bør fremgå, før resultatet bruges om den løsning, kunderne faktisk møder. → Penetrationstest i produktion eller testmiljø
Hvad en god rapport uden fund indeholder
En rapport uden fund bør stadig vise arbejdet. Uden en beskrivelse af, hvad der blev afprøvet, kan læseren ikke skelne mellem en grundig test med et godt resultat og en overfladisk test.
- Scope og afgrænsning · hvad der indgik, og hvad der ikke gjorde.
- Testperiode · hvornår arbejdet foregik.
- Afprøvede områder · en beskrivelse i almindelige ord af, hvilke typer svagheder testeren har undersøgt.
- Forudsætninger · adgang, roller og miljø, som testen foregik under.
- Begrænsninger · forhold, der har påvirket dækningen.
- Observationer · forhold, der ikke er svagheder, men som testeren vil gøre opmærksom på.
En rapport kan også rumme informative bemærkninger eller lavt vurderede forhold. Den kan altså være uden alvorlige fund uden at være helt tom. Læs de mindre punkter, før I kalder resultatet rent. → Sådan læser I en pentestrapport
Spørgsmål til testeren
Brug afslutningsmødet til at forstå resultatet i stedet for blot at modtage det. Gode spørgsmål er konkrete og knyttet til jeres løsning.
- Hvilke områder brugte I mest tid på, og hvorfor?
- Var der dele af scope, I ikke nåede, eller som ikke kunne afprøves?
- Hvad skulle ændres, for at testen kunne gå dybere?
- Er der observationer, der ikke kom med som fund, men som vi bør kende?
- Hvilke ændringer i løsningen ville gøre en ny test relevant?
Svarene hjælper jer med at beskrive resultatet præcist over for andre. De kan også pege på, at næste test bør have et andet udgangspunkt, flere roller eller mere tid. → Afslutningsmødet efter penetrationstesten
Når ingen fund vækker mistanke
Nogle gange er et resultat uden fund overraskende, fordi løsningen er ny, kompleks eller tidligere har haft problemer. Mistanken skal behandles sagligt. Det kan skyldes, at løsningen faktisk er godt bygget, men det kan også skyldes et for snævert scope eller manglende adgang.
Sammenlign rapporten med opgavebeskrivelsen og tilbuddet. Blev de aftalte områder dækket? Er metoden beskrevet tilstrækkeligt til, at I kan vurdere indsatsen? Hvis svarene er uklare, så spørg skriftligt og få et skriftligt svar. Antallet af fund er i sig selv ikke et mål for kvalitet, hverken når der er mange eller ingen. → At måle testen på antallet af fund
Hvis tvivlen består, kan en anden tester med et andet udgangspunkt give et supplerende billede ved næste lejlighed. Det er en beslutning om dækning, ikke en dom over den første test.
Sådan bruger I resultatet
Over for ledelsen kan resultatet formuleres som det, det er: i de undersøgte dele og under de beskrevne forhold blev der ikke påvist svagheder. Tilføj scope og testperiode, så ingen læser mere ind i det end grundlaget bærer.
Over for kunder eller samarbejdspartnere gælder det samme. En erklæring om, at testen ikke gav fund, skal stadig angive, hvad der blev testet, og hvornår. → Testerklæring til kunder
Resultatet er også et øjebliksbillede. Nye funktioner, nye integrationer og nye kendte sårbarheder i de komponenter, I bruger, kan ændre billedet efter testen. Planlæg næste test ud fra ændringerne, ikke ud fra hvor godt det gik sidst.
Gem til sidst jeres egne noter fra afslutningsmødet sammen med rapporten. Når nogen om et år spørger, hvorfor testen var uden fund, er testerens svar om dækning og begrænsninger lige så vigtige som selve konklusionen.
Det skal I lade være med
- At kalde systemet sikkert · Rapporten beskriver, hvad der ikke blev påvist, ikke hvad der ikke findes.
- At overse scope · Et resultat uden fund gælder kun de dele, der var med.
- At ignorere observationer og lave vurderinger · De kan stadig give anledning til forbedringer.
- At skære i næste test, fordi denne gik godt · Ændringer i løsningen afgør behovet.
- At mistænke testeren uden grundlag · Sammenlign med opgavebeskrivelsen, og spørg konkret.
Hvad kan og ikke kan konkluderes
En penetrationstest uden fund kan underbygge, at de aftalte dele modstod de afprøvninger, testeren gennemførte i testperioden. Sammen med en klar beskrivelse af scope og metode er det et brugbart resultat.
Den kan ikke vise, at der ikke findes svagheder, at dele uden for scope er i orden, eller at løsningen vil være uden fund efter senere ændringer.
Tjekliste, når rapporten er uden fund
- ☐ Er scope, roller og miljø beskrevet i rapporten?
- ☐ Fremgår det, hvilke områder der blev afprøvet?
- ☐ Er begrænsninger og forhindringer undervejs nævnt?
- ☐ Er observationer og lave vurderinger læst og vurderet?
- ☐ Er resultatet formuleret præcist over for ledelse og kunder?
- ☐ Er næste test planlagt ud fra ændringer i løsningen?
Kilder
- NCSC (UK): Penetration testing: penetrationstest som kontrol af virksomhedens håndtering af sårbarheder.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Penetrationstesten er et øjebliksbillede · Scope i en penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
