Hvad I skal bede testleverandøren om, når kunden skal have dokumentationen

Når I bestiller en penetrationstest, fordi en NIS2-kunde har krævet det, er det ikke jer, der er den egentlige læser af resultatet. Det er kunden, og måske kundens revisor eller myndighed. Derfor skal dokumenterne aftales med testleverandøren, før testen begynder, ikke når rapporten er skrevet. Svaret er en kort bestilling, der siger, hvilke dokumenter I skal have, hvad de skal indeholde, og hvem de skal kunne læses af.

Grundlaget er det, kunden kan forvente at modtage. Gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere og kræver i bilagets punkt 6.5.2 en dokumenteret testmetode og dokumentation af testens type, omfang, tid og resultater. SAMSIK’s vejledning om foranstaltninger bruger samme punkter over for de øvrige enheder under NIS 2-loven. Teksten er ikke juridisk rådgivning.

Start med kundens krav

Før I taler med testeren, så saml det, kunden har bedt om: brevet, aftalens bestemmelser om test, spørgsmålene i kundens sikkerhedsspørgeskema og eventuelle krav til, hvem der må teste. Testeren kan ikke levere det, kunden har brug for, hvis testeren ikke ved, hvad det er.

Send kravene med i forespørgslen, og bed testeren om at sige, hvilke af dem testen kan dække, og hvilke den ikke kan. Et krav om fx dokumentation for jeres politik for sårbarhedshåndtering kan ikke opfyldes med en test, og det er bedre at vide det, før I bestiller.

Send også det, kunden har sagt om omfanget. Punkt 6.5.2, litra b, knytter testen til de komponenter, en risikoanalyse har udpeget som relevante for sikker drift. Har kunden peget på bestemte dele af leverancen, fx en portal, en integration eller jeres fjernadgang, skal de stå i bestillingen. Har kunden ikke sagt noget, så foreslå selv et omfang, og få kunden til at bekræfte det, før testen starter. Så kan testeren skrive omfanget i rapporten med en begrundelse, kunden genkender. → Fire oplysninger om testen

Dokumenterne, I skal bede om

En NIS2-kunde kan have brug for flere dokumenter end den fulde rapport. Bed om disse fra starten:

Fuld rapport · med testtype, omfang, testperiode, fund, alvor og anbefalinger.
Resumé · på få sider, i et sprog, en ikke-specialist hos kunden kan læse.
Erklæring · et kort dokument, der bekræfter, at testen er gennemført, med omfang og periode.
Retestdokument · efter efterprøvning af rettede fund, med henvisning til de oprindelige fund.
Kildeudgave uden kundenavne · hvis resultatet skal bruges over for flere kunder.

Det skal stå i bestillingen, at resumé og erklæring udarbejdes af testeren og ikke af jer, hvis kunden lægger vægt på, at dokumentationen kommer fra en uafhængig part. → Resumé, erklæring eller hel rapport

Metode og alvor, kunden kan genkende

Punkt 6.5.2, litra b, taler om en dokumenteret testmetode. Bed testeren om at beskrive metoden i rapporten og henvise til den standard eller vejledning, den bygger på. ENISA’s tekniske vejledning, som ikke er bindende, nævner blandt andet OWASP’s testvejledning for webapplikationer som eksempel på en anerkendt kilde. → Dokumenteret testmetode

Spørg også, hvilken skala testeren bruger til at vurdere alvor. ENISA foreslår at vurdere testresultater med kriterier, der ligner dem, enheden bruger i sin risikovurdering. Bruger kunden en bestemt skala, fx CVSS, så bed testeren om at angive den ved hvert fund, ud over testerens egen vurdering. Det sparer kunden for at oversætte, og det gør det lettere for kunden at sammenligne jeres resultat med resultater fra andre leverandører. → CVSS i kundens krav

Oplysninger om testeren

Kunden kan spørge, hvem der har udført testen, og hvordan testeren er uafhængig af jer. Bed testleverandøren om at skrive i rapporten, hvem der har testet, hvilken rolle hver person havde, og at testeren ikke har deltaget i udvikling eller drift af det testede. Står der krav i aftalen om bestemte kvalifikationer, så bed om dokumentation for dem.

Kunden kan også have krav om fortrolighed om testerens arbejde og om sletning af testdata, når opgaven er afsluttet. Tag det med i bestillingen, og bed om at få bekræftet, hvornår testdata og adgange er fjernet. Kunden kan spørge til det, især hvis testen er foregået i et miljø med kundens data. → Oplysninger om testleverandøren i dokumentationen

Retest og opfølgende spørgsmål

To ting kan blive overset, når testen bestilles: retesten og testerens tilgængelighed bagefter. Aftal, at efterprøvning af rettede fund er en del af opgaven, hvor længe efter testen den kan bestilles, og hvilket dokument den giver. Aftal også, at testeren kan svare på opklarende spørgsmål fra jer, hvis kunden spørger til et fund. Kunden har ikke nødvendigvis kontakt med testeren direkte, men spørgsmålene kommer alligevel.

Begge dele påvirker omfanget af opgaven, ligesom antallet af dokumenter og kravene til dem. Tag dem med, når I beder om pris og tilbud, så de ikke bliver en overraskelse bagefter. → Retest som dokumentation over for kunden

Et tænkt eksempel

En leverandør af et system til tidsbestilling hos en kæde af privathospitaler skal have en test, fordi kæden har krævet det i en ny aftale. Leverandøren sender testleverandøren kædens brev, aftalens bestemmelse om årlig test og to spørgsmål fra kædens sikkerhedsspørgeskema.

I bestillingen står: fuld rapport på dansk, resumé på to sider, erklæring udstedt af testleverandøren, CVSS ved hvert fund, retest inden for tre måneder og mulighed for at stille spørgsmål i tre måneder efter afleveringen. Testleverandøren svarer, at et af spørgsmålene i skemaet handler om leverandørens egen hændelseshåndtering og ikke kan besvares med testen. Leverandøren svarer selv på det spørgsmål og sender kæden alle dokumenterne samlet.

Det skal I lade være med

At bestille testen uden kundens krav · testeren kan ikke ramme det, testeren ikke kender.
At skrive resuméet selv, når kunden vil have det fra en uafhængig part · bed testeren om det.
At glemme retesten i bestillingen · den bliver sværere at aftale bagefter.
At acceptere en alvorlighedsskala, kunden ikke bruger · bed om kundens skala ved siden af.
At love kunden dokumenter, testeren ikke har bekræftet · aftal dem først.

Hvad kan og ikke kan konkluderes

En bestilling, der beskriver kundens krav og de dokumenter, I skal bruge, gør det langt mere sandsynligt, at testresultatet kan bruges over for kunden uden omskrivning. Den gør ikke testen mere dækkende, end omfanget tillader, og den sikrer ikke, at kunden accepterer resultatet.