Mail og filudveksling med kunden som del af testen

Meget af det, en leverandør og en kunde deler, går ikke gennem selve løsningen. Det går gennem mail, en filportal, en delt mappe eller vedhæftninger i et supportsystem. Når en NIS2-kunde vil vide, om leverancen er testet, er det derfor rimeligt at spørge, om de kanaler er med. Svaret hviler på et enkelt kriterium: hører kanalen med til den måde, kundens data eller adgang til kundens systemer bevæger sig på, er den en del af leverancen og bør indgå i testens omfang eller være dokumenteret på anden måde.

Det betyder ikke, at hele jeres mailsystem skal testes, fordi I skriver med kunden. Det betyder, at de kanaler, hvor kundens oplysninger ligger eller passerer, skal være identificeret, og at kunden kan få at vide, hvordan de er dækket. Teksten er ikke juridisk rådgivning.

Kanalerne, kundens data går igennem

Skriv først op, hvilke kanaler I faktisk bruger med kunden. Det kan være nogle af disse:

Almindelig mail · korrespondance, ordrer, fejlrapporter og nogle gange vedhæftede filer med kundedata.
Filportal eller overførselstjeneste · til større filer, udtræk og leverancer.
Delte mapper · i en samarbejdstjeneste, hvor både jeres og kundens medarbejdere har adgang.
Supportsystem · sager med skærmbilleder, logfiler og vedhæftninger.
Automatisk overførsel · faste filer, der sendes mellem systemer på bestemte tidspunkter. → Integrationer og dataudveksling

For hver kanal kan I notere, hvilke oplysninger der går igennem, hvem der har adgang, og hvor længe oplysningerne bliver liggende. Det er grundlaget for at beslutte, hvad testen skal dække. Glem ikke kanaler, som kunden har valgt, fx en samarbejdstjeneste, hvor kunden har inviteret jeres medarbejdere ind. Den er kundens, og kunden bestemmer over den, men jeres medarbejderes konti og adgang dér er en del af jeres ansvar over for kunden.

Hvorfor kunden spørger

NIS 2-lovens § 6, stk. 1, nr. 8, handler om politikker og procedurer for brug af kryptografi og, hvor det er relevant, kryptering. Nr. 9 handler blandt andet om adgangskontrolpolitikker. Begge dele er relevante, når kundens data ligger i en kanal hos jer.

For de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 gælder for, er reglerne mere detaljerede. Bilagets punkt 9.2, litra a, nævner beskyttelse af data i hvile og under overførsel. Punkt 6.7.2, litra k, beder de omfattede enheder om en plan for at indføre internationalt aftalte og interoperable moderne standarder for e-mailkommunikation. Andre NIS2-kunder har ikke de samme pligter, men kan bruge punkterne som forbillede, når de spørger jer. → Kryptering: hvad kunden kan bede jer dokumentere

Hvad en test kan sige om kanalerne

En penetrationstest kan belyse en del af det, kunden er interesseret i, uden at gå i teknisk detalje:

Adgangen · om kun de rette personer kan nå filerne, og om en ekstern bruger kan se mere end sin egen kundes mappe.
Login · om filportalen og den delte samarbejdstjeneste kræver stærk autentificering, og om den kan omgås. → Multifaktorlogin som NIS2-foranstaltning
Delingslinks · om links til filer udløber, og om de kan gættes eller videresendes uden kontrol.
Opbevaring · om gamle filer bliver liggende og stadig kan nås, længe efter de er brugt.
Domæneindstillinger for mail · om jeres maildomæne er sat op, så andre har sværere ved at sende mail, der ligner jeres.

Det sidste punkt er relevant, fordi kunden skal kunne stole på, at en mail fra jer om en rettelse eller en ny fil faktisk kommer fra jer. Falske mails i en leverandørs navn er en kendt vej til at narre kundens medarbejdere, og kunden har derfor en egen interesse i, at jeres domæne er beskyttet.

Hvad en test ikke dækker

En test kan ikke vise, om medarbejderne bruger kanalerne rigtigt, fx om kundedata bliver sendt i almindelig mail, når de burde gå gennem portalen. Det er et spørgsmål om regler og uddannelse. Den kan heller ikke dække den mail- eller samarbejdstjeneste, I køber hos en anden udbyder, ud over jeres egen opsætning af den. Udbyderens del dokumenteres af udbyderen. → Cloudtjenester i leverancen

Hvis kunden spørger til reglerne for, hvordan kundedata deles, er svaret en beskrivelse af jeres procedure, ikke en testrapport. → Når testen ikke er svaret

Testrapporten går også gennem en kanal

Når testen er færdig, skal resultatet afleveres til kunden. Det er netop den type fil, der ikke bør gå i almindelig mail. Brug den kanal, I har gennemgået, eller aftal en særskilt måde med kunden. Aftal også, hvem hos kunden der modtager filen, og hvor længe den må ligge i kanalen, før den fjernes. En rapport, der beskriver svagheder i jeres løsning, er selv en følsom oplysning, og den bør behandles derefter hos både jer og kunden. → Sikker aflevering af testresultater

Et tænkt eksempel

En leverandør af lønadministration til en kommune modtager hver måned en fil med medarbejderoplysninger via en filportal og sender rettelser tilbage via mail. Kommunen spørger, om filudvekslingen er med i den årlige test.

Leverandøren har tidligere kun testet lønsystemet. Ved næste test kommer filportalen med: login, adgang mellem kommunens mapper og andre kunders mapper samt udløb af delingslinks. Maildomænets indstillinger gennemgås også. Samtidig beslutter leverandøren, at rettelser med persondata fremover går gennem portalen og ikke mail. Kommunen får rapporten og en kort beskrivelse af, hvilke kanaler der bruges til hvad. Kommunen kan så selv vurdere, om beskrivelsen og testen tilsammen svarer på spørgsmålet.

Det skal I lade være med

At glemme kanalerne, fordi de ikke er en del af produktet · kundens data ligger der alligevel.
At teste hele mailsystemet uden afgrænsning · det, der betyder noget, er det, kunden berøres af.
At love, at medarbejdere aldrig sender kundedata i mail · det kan en test ikke dokumentere.
At teste en købt samarbejdstjeneste ud over jeres egen opsætning · udbyderens regler gælder.
At sende testrapporten i den kanal, der lige har fået et kritisk fund · vent til fundet er rettet.

Hvad kan og ikke kan konkluderes

En test, der omfatter filportal, delte mapper og maildomænets indstillinger, kan dokumentere, hvordan adgang, login og deling modstod testen på testtidspunktet. Den kan ikke dokumentere, hvordan medarbejderne bruger kanalerne, eller hvad der sker hos den udbyder, I køber tjenesten af. Kunden vurderer selv, om det er nok.