En lille virksomhed uden egen IT-afdeling kan godt få gavn af en penetrationstest, men bestillingen falder let mellem to stole: ledelsen kender ikke det tekniske, og IT-leverandøren er ikke den, der bør bestille. Det, der får testen til at lykkes, er en navngiven bestiller i virksomheden og et klart aftalt samarbejde med den eksterne leverandør.
Testen er altså ikke forbeholdt virksomheder med egne specialister. Den kræver, at nogen i virksomheden ejer opgaven, også uden at kunne den tekniske side. IT-leverandøren bidrager med viden om systemerne. Testeren undersøger. Beslutningerne bliver i virksomheden.
En bestiller, selv uden IT-folk
Udpeg én person som bestiller. Det kan være direktøren, en kontorchef eller den økonomiansvarlige. Personen skal ikke forstå teknikken, men skal kunne svare på, hvad virksomheden er afhængig af, træffe beslutninger undervejs og modtage rapporten.
Bestilleren er også testerens kontakt, hvis der opstår noget, som kræver en afgørelse. Derfor skal personen kunne træffes i testperioden eller have en stedfortræder. Går al kontakt gennem IT-leverandøren, kan beslutninger om virksomhedens egne systemer ende med at blive truffet af en anden end virksomheden.
Påstanden om, at små virksomheder ikke er interessante, er hverken et argument for eller imod en test. Det afgørende er, hvad der står på spil, hvis et bestemt system svigter. → Vi er for små til at være et mål
Kend jeres egne systemer først
Mange små virksomheder har ikke et samlet overblik over deres IT. Mail, hjemmeside, regnskab, kundeportal og fildeling kan være leveret af hver sin part. Bed IT-leverandøren om en enkel liste: hvilke systemer findes, hvem leverer dem, hvor ligger de, og hvem har administratoradgang.
Listen er nyttig i sig selv. Den viser, hvor afhængig virksomheden er af hver leverandør, og den er et godt grundlag, når testens område skal udpeges. Den viser også, hvor der skal indhentes tilladelse. Et system, som et hostingfirma eller en softwareleverandør driver, kan ikke testes alene med virksomhedens eget ja. → Leverandørens godkendelse mangler
Spørg samtidig, om leverandøren allerede udfører nogen form for sikkerhedskontrol. Scanning og overvågning har deres værdi, men de svarer ikke på de samme spørgsmål som en penetrationstest. → Hostingfirmaet tester for os
IT-leverandøren rådgiver, men vurderer ikke sig selv
IT-leverandøren er den naturlige rådgiver, når opgaven skal beskrives. Leverandøren kender opsætningen og kan pege på begrænsninger og driftshensyn. Men leverandøren har også sat meget af det op, som testen skal undersøge. Derfor bør leverandøren ikke selv være testeren, og den bør ikke være den eneste, der vælger, hvad der kommer med.
Gør leverandørens rolle konkret i en kort aftale: hjælp med listen over systemer, oprettelse af testkonti, en kontakt i testperioden og bistand til rettelser. Afklar, om indsatsen er dækket af den nuværende serviceaftale, eller om den faktureres særskilt. Det undgår en overraskelse på fakturaen og en leverandør, der ikke har sat tid af. → Driftsleverandøren og testen
Leverandøren skal også vide, hvornår testen foregår. En uanmeldt aktivitet kan ligne et angreb i leverandørens overvågning, og så kan testen blive stoppet, før den har givet et svar.
Vælg noget, der kan overskues
En første test i en lille virksomhed behøver ikke dække alt. Vælg det system eller den indgang, der vil ramme forretningen hårdest, hvis den svigter. For nogle er det webshoppen. For andre er det fjernadgangen til kontornettet eller den mailkonto, hvor fakturaer bliver godkendt.
Et snævert valg giver en rapport, virksomheden kan nå at handle på. En bred test af mange systemer kan give flere fund, end leverandøren har kapacitet til at rette, og så bliver rapporten liggende. Det, der vælges fra, skal skrives ned, så det er tydeligt, at det ikke er undersøgt. → Budgettet rækker til én test
Omfanget afhænger af de valgte systemer, den adgang testeren får, og den rapport, der ønskes. Spørg derfor efter pris og tilbud på det konkrete område frem for en samlet pakke, der skal passe til alle.
Når rapporten er modtaget
Rapporten skal læses af både bestilleren og IT-leverandøren, men med hver sit formål. Bestilleren skal forstå, hvad fundene betyder for virksomheden, og beslutte rækkefølgen. Leverandøren skal forstå de tekniske detaljer for at kunne rette. Bed om et afslutningsmøde, hvor begge deltager, så spørgsmål kan afklares med det samme. → Sådan læser I en pentestrapport
Fordel derefter fundene. Nogle hører under IT-leverandørens aftale. Andre ligger hos hostingfirmaet eller hos softwareleverandøren bag regnskabssystemet. Enkelte kræver en afgørelse, som kun virksomheden selv kan træffe, for eksempel om en funktion skal lukkes. Før en simpel liste over fund, ansvarlig og status.
Når leverandøren melder et fund rettet, så noter, om rettelsen er efterprøvet. En melding er en oplysning fra leverandøren. En kontrol er noget andet, og forskellen skal kunne ses på listen.
Rapporten tilhører virksomheden. Den bør opbevares hos bestilleren og ikke kun ligge i leverandørens mailboks, så den kan findes igen, hvis leverandøren skiftes.
Det skal I lade være med
- At lade IT-leverandøren bestille på jeres vegne · beslutningerne om jeres systemer skal ligge hos jer.
- At teste uden en liste over systemer · så ved ingen, hvad der blev valgt fra.
- At regne leverandørens scanning for en penetrationstest · de to svarer på forskellige spørgsmål.
- At glemme tilladelser fra hosting og softwareleverandører · jeres eget ja dækker ikke deres systemer.
- At vælge for bredt første gang · en rapport med flere fund, end nogen kan nå, bliver ikke brugt.
- At lade rapporten blive hos leverandøren · virksomheden skal selv have den og vide, hvor den ligger.
Hvad kan og ikke kan konkluderes
En test kan vise, hvordan det valgte system holdt under de aftalte forhold, og den kan give en lille virksomhed et konkret grundlag at prioritere ud fra. Systemer uden for opgaven er ikke belyst, og resultatet er heller ikke en bedømmelse af IT-leverandøren som helhed.
Ingen alvorlige fund er en oplysning om det undersøgte område under de givne forhold, ikke et løfte om, at der intet er. Resultatet gælder desuden det tidspunkt, testen blev udført på. Skifter virksomheden IT-leverandør, regnskabssystem eller hjemmeside, kan forudsætningerne for rapporten have ændret sig, og så bør det vurderes, om en ny test er relevant.
Tjekliste før bestillingen
- ☐ Er der én navngiven bestiller i virksomheden?
- ☐ Har IT-leverandøren leveret en liste over systemer og leverandører?
- ☐ Er tilladelser fra hosting og softwareleverandører afklaret?
- ☐ Er leverandørens rolle og betaling for indsatsen aftalt?
- ☐ Er det valgte område det, der vil ramme forretningen hårdest?
- ☐ Er fravalgte systemer skrevet ned?
- ☐ Er der aftalt et afslutningsmøde med både bestiller og leverandør?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Testkonti og testdata · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
