En pentestrapport, som ingen har ansvaret for, bliver læst én gang og derefter lagt væk, mens fundene står åbne i systemerne. Om rapporten bliver brugt, hænger mindre sammen med dens kvalitet end med, om der før testen var udpeget en modtager, en ejer af opfølgningen og en dato, hvor nogen spørger til status.
Det er let at genkende situationen bagefter. Testen blev bestilt, gennemført og afleveret. Afslutningsmødet var godt. Så kom sommerferien, en opgradering af ERP-systemet og et skifte af hostingfirma, og et år senere bestilles en ny test, der finder de samme ting. Rapporten var ikke dårlig. Den havde bare ingen at høre til.
Rapporten er ikke målet
Formålet med en penetrationstest er ikke at få en rapport. Formålet er at kende svaghederne og gøre noget ved dem. Rapporten er bindeleddet mellem testen og rettelserne, og den mister sin værdi, hvis den ikke fører videre.
Det lyder selvfølgeligt, men testen kan let blive et punkt, der skal krydses af. En kunde har bedt om dokumentation, eller et kontraktkrav skal opfyldes. Når rapporten er sendt videre, føles opgaven løst. Men kunden har fået et dokument om svagheder, der stadig findes. Hvis kunden senere spørger, hvad der er sket med fundene, er det svaret, der tæller, og ikke at rapporten blev leveret til tiden.
Hvorfor rapporter bliver liggende
Der er nogle genkendelige grunde til, at en rapport går i stå. De handler mere om organisering end om teknik.
- Ingen ejer · rapporten blev sendt til en fælles postkasse eller til flere personer, og hver især regnede med, at en anden tog den.
- Sproget · ledelsen forstod ikke de tekniske afsnit, og teknikerne vidste ikke, hvad ledelsen forventede.
- Intet budget · rettelserne krævede penge eller timer hos en leverandør, som ingen havde afsat.
- Uklart ansvar · det var ikke aftalt, om virksomheden eller driftsleverandøren skulle rette. → Hvem retter? Ansvar mellem virksomhed og leverandør
- Bestilt af den forkerte grund · testen skulle opfylde et krav, og ingen havde tænkt på, hvad der skulle ske bagefter.
Fælles for grundene er, at de kan forudses. De kan derfor også håndteres, før testen begynder.
Beslut modtageren, før testen bestilles
Den vigtigste beslutning ligger før testen. Hvem skal modtage rapporten, og hvem har ansvaret for, at den bliver til handling? Skriv det i bestillingen sammen med scope og tidsplan.
Modtageren er ikke nødvendigvis den, der retter. Det er den, der sørger for, at fundene bliver fordelt, at nogen tager stilling til dem, og at status bliver fulgt. Det kan være IT-chefen, en sikkerhedsansvarlig eller projektlederen for det testede system. Det skal være én navngiven person med mandat til at fordele opgaver og bede om ressourcer.
Overvej samtidig, hvem der ellers skal have noget ud af rapporten. Ledelsen har brug for resuméet og de beslutninger, der kræver deres mandat. Systemejere og leverandører har brug for de fund, der gælder dem. → Pentestrapporten i bestyrelsen
De første uger efter afleveringen
Rapporten skal bruges, mens den er ny, og mens de personer, der var med, stadig husker forløbet. Afslutningsmødet er et godt sted at begynde: her kan uklarheder afklares, og hvert fund kan få en foreløbig ejer. → Afslutningsmødet
Derefter skal fundene ind i det system, hvor virksomheden i forvejen styrer sine opgaver. En rapport i en mappe bliver ikke fulgt op. En opgave i det fælles opgavesystem med ejer og frist bliver det. Hvordan fundene bliver til konkrete opgaver, er beskrevet i → Fra rapport til handlingsplan.
Hvis rettelserne kræver penge, skal det frem nu og ikke ved næste budgetrunde. Rapporten kan bruges som begrundelse, når der skal afsættes midler. → Rapporten som grundlag for budgettet
En fast dato for opfølgning
En handlingsplan uden opfølgning går i stå på samme måde som en rapport. Sæt derfor en dato, hvor ejeren gennemgår status: hvad er rettet, hvad er efterprøvet, hvad er besluttet ikke at rette, og hvad står stadig åbent?
Gentag gennemgangen, indtil alle fund har fået en afklaring. Hyppigheden afhænger af, hvor alvorlige fundene er, og hvor mange der er. Det vigtigste er, at datoerne står i kalenderen på forhånd.
Brug også opfølgningen til at forberede næste test. Fund, der stadig er åbne, skal med i næste bestilling, så testeren kan se, om de er rettet. Fund, der går igen fra test til test, er et tegn på, at noget i opfølgningen ikke virker. → Fund, der går igen
Når opfølgningen alligevel går i stå
Selv med en ejer og en plan kan arbejdet gå i stå. Ejeren skifter job, en leverandør svarer ikke, eller en akut sag tager al opmærksomhed i flere måneder. Det kan ske i enhver organisation, og det er ikke en katastrofe, hvis det bliver opdaget.
Gør det derfor synligt, når en frist overskrides. En kort status til ledelsen med de fund, der er forsinket, og årsagen til forsinkelsen, holder sagen i live. Hvis ejeren forlader virksomheden, skal rollen overdrages med det samme sammen med handlingsplanen og de beslutninger, der er truffet. En plan, der står uden ejer, er tilbage i skuffen.
Det skal I lade være med
- At sende rapporten til en fælles postkasse · én person skal have ansvaret for at bringe den videre.
- At betragte opgaven som løst, når rapporten er sendt til kunden · kunden har fået viden om svagheder, ikke om rettelser.
- At vente med budgettet til næste år · rettelser uden penge bliver ikke lavet.
- At lade fundene blive i rapportens format · de skal ind i det system, hvor opgaver i forvejen følges.
- At holde ledelsen udenfor · uden mandat kan ejeren ikke få ressourcer til rettelserne.
- At bestille næste test uden at se på den forrige · de åbne fund skal med.
Hvad kan og ikke kan konkluderes
En rapport, der er fulgt op, kan dokumentere, hvilke fund der er rettet, efterprøvet eller bevidst accepteret, og hvem der har taget beslutningerne. Det giver et grundlag, der kan forsvares over for ledelse, kunder og revisorer.
En rapport, der har ligget i skuffen, dokumenterer kun, at svaghederne var kendt på et bestemt tidspunkt. Den kan ikke bruges som tegn på, at noget er rettet. Og den kan ikke sige, om systemerne har ændret sig siden. Jo længere den har ligget, jo mindre siger den om systemerne i dag.
Tjekliste mod rapporten i skuffen
- ☐ Er modtageren af rapporten udpeget, før testen bestilles?
- ☐ Har modtageren mandat til at fordele opgaver og bede om budget?
- ☐ Har hvert fund en ejer efter afslutningsmødet?
- ☐ Er fundene lagt ind i det system, hvor opgaver følges?
- ☐ Er der afsat budget til rettelserne?
- ☐ Står datoerne for opfølgning i kalenderen?
- ☐ Er åbne fund med i bestillingen af næste test?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Prioritering af rettelser · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
