Type, omfang, tidspunkt og resultat: fire oplysninger, kunden kan forvente dokumenteret

En NIS2-kunde, der beder om dokumentation for jeres sikkerhedstest, har brug for mere end en liste over fund. Kunden skal kunne se, hvilken slags test det var, hvad den dækkede, hvornår den fandt sted, og hvad den viste, med en vurdering af hvert fund. Den formulering kommer fra gennemførelsesforordning (EU) 2024/2690, bilagets punkt 6.5.2, litra c: testenes type, omfang, tid og resultater dokumenteres, herunder med en vurdering af den kritiske betydning og af afbødende foranstaltninger for hver konstatering.

Forordningen gælder direkte for bestemte digitale udbydere. SAMSIK’s vejledning bruger næsten samme ord for de enheder, NIS 2-loven omfatter, så kravet møder jer også fra andre kunder. Teksten er ikke juridisk rådgivning.

Hvorfor netop disse fire

De fire oplysninger er det mindste, der skal til, for at et testresultat kan bruges af andre end dem, der var med. Mangler én af dem, bliver resultatet svært at tolke. En rapport uden omfang kan ikke fortælle, om fravær af fund betyder noget. En rapport uden dato kan ikke fortælle, om den beskriver løsningen, som den er i dag. Og en rapport uden vurdering af fundene overlader det til kunden at gætte, hvad der haster.

SAMSIK’s vejledning om foranstaltninger tilføjer, at oplysningerne bør dokumenteres, så de er forståelige for tredjeparts eksperter. Det er netop kundens situation: Kunden skal kunne vise sin myndighed eller sin revisor, hvad der er undersøgt hos leverandørerne. → Kunden skal kunne vise tilsynet jeres testresultat

Type: hvilken slags test

Typen fortæller, hvad testen var i stand til at finde. En sårbarhedsscanning, en penetrationstest og en gennemgang af opsætningen giver forskellige slags svar. Det er ikke nok at skrive “sikkerhedstest”, for ordet dækker alt fra en automatisk kørsel til flere ugers manuelt arbejde.

Skriv typen præcist, og sig, hvad testeren havde som udgangspunkt, fx en almindelig brugerkonto i løsningen eller ingen adgang. Det er en del af typen, fordi det afgør, hvilke risici testen kunne belyse. Hvis testen kombinerede flere typer, så skriv det for hver del. Har testen fx bestået af en penetrationstest af kundeportalen og en gennemgang af opsætningen af en server, er det to typer med to forskellige styrker, og kunden skal kunne se, hvilket resultat der hører til hvilken. → Sårbarhedsscanning eller penetrationstest

Omfang: hvad testen dækkede

Omfanget er en oplysning, kunden kan mangle. Det skal fremgå, hvilke systemer, adgangsveje og funktioner der var med, og lige så vigtigt, hvad der ikke var. Forordningens punkt 6.5.2, litra b, knytter omfanget til de komponenter, en risikoanalyse har udpeget, så en kort begrundelse hører med.

For en leverandør med flere kunder er det også vigtigt at skrive, om testen omfattede den fælles platform, kundens egen opsætning eller begge. En kunde, der kun bruger en del af løsningen, vil vide, om netop den del var med. Det samme gælder integrationer og adgangsveje, der kun findes for den enkelte kunde, fx en særlig forbindelse til kundens eget net. → Dokumenteret testmetode

Tid: hvornår testen fandt sted

Tidspunktet ser ud som den letteste oplysning, men den har to sider. Testperioden skal stå, så kunden ved, hvilken version af løsningen resultatet gælder. Og det skal fremgå, om der er sket væsentlige ændringer siden, fordi kunden ellers ikke kan bedømme, om resultatet stadig er gyldigt.

Kunden vil sammenholde datoen med sine egne krav til, hvor ofte der skal testes, og med eventuelle ændringer, I har meldt. Et resultat fra før en stor ændring kan være korrekt og alligevel ikke svare på kundens spørgsmål. Skriv derfor versionsnummer eller udgivelsesdato for den testede løsning, hvis I har en, så kunden kan sammenholde den med det, kunden kører i dag. → Testfrekvens efter risiko

Resultat: fund med vurdering og handling

Resultatet er mere end en liste over fund. Forordningen kræver for hvert fund en vurdering af den kritiske betydning og en vurdering af afbødende foranstaltninger. SAMSIK’s vejledning siger, at resultaterne som minimum bør dokumenteres med en vurdering af, hvor kritiske de er, og hvilke kompenserende handlinger der er udført.

For hvert fund bør kunden altså kunne se:

Beskrivelse · hvad der blev fundet, på et niveau kunden kan forstå.
Kritisk betydning · hvor alvorligt fundet er, og efter hvilke kriterier.
Afbødende foranstaltning · hvad der er gjort eller planlagt, og hvornår.
Status · åbent, rettet, rettet og efterprøvet eller accepteret med begrundelse.

ENISA’s ikke-bindende vejledning foreslår at bedømme testresultater med kriterier svarende til dem, enheden bruger i sin risikovurdering. Det gør det lettere for kunden at bruge jeres vurdering direkte. Er I og kunden uenige om alvoren af et fund, bør begge vurderinger fremgå, så uenigheden ikke forsvinder i dokumentet. → Status på rettelser

Et tænkt eksempel

En leverandør af et system til registrering af patientprøver får sin rapport afvist af en hospitalskunde med beskeden “kan ikke anvendes”. Leverandøren spørger hvorfor og får svaret, at rapporten ikke sagde, hvilken del af systemet der var testet, og at to fund stod uden vurdering eller plan.

Leverandøren sender et kort følgebrev: testtype og udgangspunkt, de tre moduler, der var med, og det modul, der ikke var, testperioden og en bekræftelse af, at der ikke er sket væsentlige ændringer siden, samt en oversigt over alle fund med alvor, handling og status. Kunden kan nu bruge resultatet, uden at rapporten er skrevet om. Fremover lader leverandøren de fire oplysninger stå på rapportens første side.

Det skal I lade være med

At skrive “sikkerhedstest” som type · skriv, hvilken test det var.
At udelade det, der ikke var med · omfanget skal også sige, hvad der blev holdt ude.
At sende et gammelt resultat uden at nævne ændringer siden · kunden kan ikke vurdere gyldigheden.
At liste fund uden vurdering · forordningen kræver vurdering og afbødning for hvert fund.
At blande status og alvor sammen · et rettet fund var stadig alvorligt, da det blev fundet.

Hvad kan og ikke kan konkluderes

De fire oplysninger gør et testresultat muligt at forstå og bruge for en kunde, der ikke var med. De gør ikke resultatet dækkende for andet end det, der var i omfanget, og de siger ikke, at kunden lever op til sine egne krav. Hvordan dokumentet afleveres, og om kunden skal have et resumé, en erklæring eller hele rapporten, er en særskilt beslutning. → Resumé, erklæring eller hel rapport