Tre tilbud på den samme test kan have tre forskellige længder, tre forskellige opbygninger og tre forskellige slutsummer, og alligevel er det svært at se, hvad der egentlig adskiller dem. Svaret er en fast arbejdsgang: alle tilbudsgivere får samme grundlag, hvert tilbud læses ind i det samme ark, uklarheder afklares skriftligt, og valget begrundes i et kort notat. Så bliver forskellene i scope, metode, rapport og retest synlige, og prisen kan læses som en følge af dem.
Hvad et tilbud bør dække, er beskrevet for sig. → Sammenlign tilbud på penetrationstest Her handler det om fremgangsmåden, fra bunken af PDF-filer til en beslutning, I kan forklare bagefter.
Ét grundlag til alle, før tilbuddene kommer
Sammenligningen begynder, før nogen har regnet på opgaven. Send det samme dokument til alle tilbudsgivere, og giv de samme svar til alle, hvis nogen spørger. Et svar, der kun gives i telefonen til én leverandør, gør de øvrige tilbud skæve.
Dokumentet skal beskrive formål, systemer, roller og ønsket leverance. Hvis kundeportalen har både private kunder, erhvervskunder og medarbejdere, skal det stå. Er ERP-systemet holdt ude, skal det også stå. → Opgavebeskrivelsen
Bed desuden om, at tilbuddene svarer på de samme få spørgsmål i samme rækkefølge. Det gør ikke tilbuddene ens, men det gør dem lettere at lægge ved siden af hinanden.
Arbejdsgangen i seks trin
Når tilbuddene er modtaget, kan de behandles i en fast rækkefølge:
- Læs alle tilbud igennem én gang uden at notere noget. Første gennemlæsning giver et indtryk af, hvad hver leverandør har forstået ved opgaven.
- Udfyld sammenligningsarket punkt for punkt for hvert tilbud.
- Markér hvert punkt som inkluderet, udeladt eller uafklaret.
- Send skriftlige spørgsmål om de uafklarede punkter, og giv alle samme frist.
- Opdatér arket med svarene, og gem dem sammen med tilbuddene.
- Vægt og beslut ud fra formålet, og skriv beslutningen ned.
Rækkefølgen holder prisen ude af de første trin. Det er bevidst. Ser man slutsummen først, er det fristende at læse resten af tilbuddet som en forklaring på den.
Det samme ark til alle tilbud
Arket behøver ikke være avanceret. Et regneark eller et dokument med faste rækker er nok. Det vigtige er, at hvert tilbud bliver læst ind under de samme overskrifter:
- Scope · hvilke systemer, adresser, funktioner og brugerroller der er med, og hvad der er holdt ude.
- Udgangspunkt · udefra, internt, med eller uden login, og hvilke oplysninger testeren får på forhånd.
- Metode · hvordan arbejdet er beskrevet, og om der henvises til en kendt metode eller standard.
- Bemanding · hvem der udfører arbejdet, og hvem der gennemgår resultatet fagligt.
- Rapport · resumé, tekniske fund, alvorlighed, dækning, begrænsninger og sprog.
- Retest · om kontrol af rettelser indgår, for hvilke fund, inden for hvilken periode og med hvilken dokumentation.
- Betingelser · tidsplan, tidsrum for test, forudsætninger hos jer og forhold, der kan ændre omfanget.
En henvisning til en metode siger noget om tilgangen, men ikke alt om dækningen. → Metoden i tilbuddet
Når prisen er meget forskellig
En stor forskel i slutsum er sjældent et mysterium, når arket er udfyldt. Typisk kan den forklares af forhold som disse: antallet af roller og funktioner, der faktisk testes; om test med login er med; om både kundeportalen og den API, den bruger, indgår; om rapporten skal på et andet sprog; om retest er med eller tilkøb; og om testen skal foregå uden for normal arbejdstid. Hastende opgaver kan også koste mere. → Hvad påvirker omfanget og prisen?
Læs derfor prisen sammen med den leverede mængde arbejde, ikke som et tal for sig. Et lavt tilbud, der kun dækker webshoppens offentlige sider, er ikke billigere end et tilbud, der dækker kundekonti og ordrehistorik. Det er et andet produkt.
Spørg, hvis det er uklart, hvad prisen bygger på. Mange leverandører angiver et antal dage eller en fast pris for et beskrevet omfang. Begge dele kan sammenlignes, når omfanget er det samme. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Afklaringsrunden
Uafklarede punkter er ikke det samme som manglende punkter. Formulér spørgsmålene, så de kan besvares kort: Indgår medarbejderrollen i ERP-systemet? Er retest med for alle fund eller kun de alvorlige? Leveres rapporten med et resumé til ledelsen?
Send spørgsmålene skriftligt, og bed om skriftlige svar. Hvis et svar ændrer et tilbud, skal ændringen fremgå af en ny version eller et tillæg, så den kan genfindes i aftalen senere. Del ikke en leverandørs løsning med de andre; spørg i stedet alle om det samme.
Hold øje med svar, der flytter forudsætninger over på jer. Hvis en leverandør skriver, at testkonti, adgang via driftsleverandøren eller et testmiljø skal stilles til rådighed, er det en opgave hos jer, som skal med i planen og i sammenligningen. → Kontrakten om penetrationstesten
Vægtning og beslutningsnotat
Vægten afhænger af, hvorfor testen bestilles. Skal rapporten videre til en kunde, vejer rapportens form og sprog tungere. Skal testen afklare adskillelsen mellem kunder i kundeportalen, vejer dækningen af rollerne tungest. Skriv vægtningen ned, før tilbuddene vurderes, så den ikke tilpasses det tilbud, man allerede foretrækker.
Beslutningsnotatet kan være kort: formålet, de tilbud der blev modtaget, de væsentlige forskelle, svarene fra afklaringsrunden og begrundelsen for valget. Notatet gør det lettere at forklare valget for ledelsen, og det gør det lettere at bestille næste test. → Uafhængig penetrationstest
- ☐ Fik alle tilbudsgivere samme dokument og samme svar?
- ☐ Er alle tilbud læst ind i samme ark?
- ☐ Er hvert punkt markeret som inkluderet, udeladt eller uafklaret?
- ☐ Er afklaringsspørgsmålene besvaret skriftligt?
- ☐ Blev vægtningen fastlagt før vurderingen?
- ☐ Er retest og rapportsprog afklaret i alle tilbud?
- ☐ Er beslutningen skrevet ned med begrundelse?
Det skal I lade være med
- At se på slutsummen først · den farver læsningen af resten.
- At udfylde huller med egne antagelser · et uafklaret punkt skal afklares hos leverandøren.
- At give én leverandør ekstra oplysninger · så sammenlignes tilbud på forskelligt grundlag.
- At tælle en metodehenvisning som dækning · den beskriver tilgangen, ikke hvad der testes.
- At glemme retest i sammenligningen · et tilbud uden retest kan se mindre ud, end opgaven bliver.
- At ændre vægtningen undervejs · så bliver arket en begrundelse efter beslutningen.
Hvad kan og ikke kan konkluderes
En fast arbejdsgang viser, hvilke tilbud der dækker det samme, og hvor forskellene i pris kommer fra. Den viser ikke, hvor godt arbejdet bliver udført. Det kan kun vurderes ud fra rapporten bagefter og den dokumentation, der følger med. → Sådan læser I en pentestrapport
Arbejdsgangen kan heller ikke rette op på et uklart udgangspunkt. Er formålet ikke beskrevet, vil tilbuddene svare på forskellige spørgsmål, uanset hvor omhyggeligt de sammenlignes.
Kilder
- CREST: Implementation & Procurement Guides: købervejledninger om at forberede, vælge og styre en penetrationstest.
- NCSC: Penetration testing: råd om at afklare formål og omfang, før en test bestilles.
Senest gennemgået: november 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Retest efter penetrationstest · Krav til penetrationstesteren
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
