Ingen fund i rapporten: sådan forklarer I resultatet til kunden

Det lyder som den bedste nyhed, en leverandør kan sende: testen fandt intet. Men en NIS2-kunde, der skal bruge resultatet i sin egen vurdering af jer, kan læse et resultat uden fund med skepsis. Var omfanget for snævert, testen for kort, eller havde testeren ikke adgang til det, der betyder noget? Svaret hviler på, at et resultat uden fund er et resultat som alle andre: det skal dokumenteres med type, omfang, tid og hvad der blev afprøvet, så kunden kan se, hvad fraværet af fund dækker.

Kunden skal kunne se, at ingen fund er et resultat af en undersøgelse og ikke af en manglende undersøgelse. Teksten er ikke juridisk rådgivning.

Hvordan en NIS2-kunde læser ingen fund

Kunden bruger jeres dokumentation i sin leverandøropfølgning og måske i sin egen risikovurdering. Bilaget til forordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere og bruges som model af andre, beder i punkt 6.5.2, litra c, om dokumentation af testenes type, omfang, tid og resultater. Det gælder også, når resultatet er, at der ikke blev fundet noget.

For kunden er spørgsmålet ikke, om der var fund, men om resultatet kan bruges som grundlag. En rapport med tre middelalvorlige fund og en klar plan kan være mere overbevisende end en tom fundliste uden forklaring, fordi kunden kan se, at testen faktisk ramte noget. Det betyder ikke, at I skal være utilfredse med et godt resultat. Det betyder, at beskrivelsen af testen skal fylde mere, når fundlisten fylder mindre. → Type, omfang, tid og resultat

Det, kunden skal kunne se

Følgende gør et resultat uden fund brugbart for kunden:

Omfang i detaljer · hvilke dele af leverancen der blev testet, og hvilke der ikke gjorde.
Adgangsniveau · om testeren testede uden adgang, som almindelig bruger, som administrator eller med flere roller.
Testperiode og indsats · hvornår, og hvor længe testen stod på.
Hvad der blev afprøvet · på et overordnet niveau, fx adgangskontrol mellem kunder, login og supportadgang.
Observationer · forhold, der ikke er fund, men som testeren anbefaler at se på.

Det sidste punkt er værd at tage med. Testere kan notere forhold, der ikke kvalificerer som fund, fx hærdning, der kunne være stærkere. De viser kunden, at testen gik i dybden. Aftal med testeren før testen, at observationer tages med i rapporten, også når der ikke er egentlige fund. Ellers kan det ske, at rapporten kun indeholder en tom liste, selv om testeren har noteret flere forhold undervejs. → Hvad I skal bede testleverandøren om

Når kunden spørger, om testen var grundig nok

Det er et rimeligt spørgsmål, og det bør ikke tages som mistillid. Kunden har ikke selv set testen og skal kunne forklare sin vurdering af jer over for sin ledelse.

Svaret er ikke at forsikre kunden om, at testeren var dygtig, eller at henvise til testerens omdømme. Svaret er at vise afgrænsningen, adgangsniveauet og hvad der blev afprøvet, og at tilbyde, at testeren kan svare på spørgsmål om metoden. Er omfanget faktisk snævert, så sig det, og forklar hvorfor. Måske var det et bevidst valg at koncentrere testen om den del, kunden bruger mest, eller måske er resten testet ved en anden lejlighed. Begge dele er gode forklaringer, når de står på skrift. En snæver test uden fund er stadig en oplysning, når kunden ved, hvad den dækker. → Afgrænsning mod kunden

Ingen fund i dag, men opfølgningen fortsætter

Et resultat uden fund betyder ikke, at kundens opfølgning på jer stopper. Forordningens punkt 5.1.6 beder enheden overvåge leverandørernes sikkerhedspraksis med planlagte mellemrum og ved væsentlige ændringer. Kunden vil derfor stadig spørge, hvornår næste test er, og hvad I gør mellem testene.

Skriv i dokumentationen, hvornår I planlægger næste afprøvning, og hvad der får jer til at teste tidligere, fx en større ændring i leverancen. SAMSIK’s vejledning om foranstaltninger, afsnit 6.b, nævner, at test bør gennemføres med passende planlagte mellemrum og ved større ændringer eller væsentlige hændelser. → Kontroller mellem to test

Resultatet som en del af en serie

Et enkelt resultat uden fund er mindre interessant for kunden end en række resultater over tid. Har tidligere test haft fund, der nu er rettet og efterprøvet, viser en test uden fund, at opfølgningen virker. Har testen ændret omfang eller metode, skal det fremgå, så kunden ikke sammenligner noget, der ikke kan sammenlignes.

Vedlæg gerne en kort oversigt over de seneste test med omfang og antal fund pr. alvorlighed. Den giver kunden et bedre grundlag end en enkelt rapport. Den generelle forklaring af, hvad en pentest uden fund betyder, finder I på penetrationtest.dk. → Kundens løbende opfølgning på leverandører

Et tænkt eksempel

En leverandør af et system til booking af mødelokaler sender en testrapport uden fund til en region. Regionens sikkerhedsansvarlige spørger, om testen overhovedet omfattede den del, hvor medarbejdere og eksterne brugere har forskellige rettigheder.

Leverandøren sender et supplement: testen blev udført med fire brugerroller, herunder administrator, og omfattede adgangskontrollen mellem roller og den eksterne supportadgang. Integrationen til regionens identitetsstyring var ikke med. Testeren noterede to observationer om hærdning af sessionshåndteringen, som leverandøren har planlagt at se på. Regionen noterer resultatet og beder om, at integrationen kommer med i næste test. Leverandøren tilføjer samtidig en linje om integrationen i sin testplan, så den ikke bliver glemt, når næste test skal bestilles.

Det skal I lade være med

At sende en tom fundliste uden beskrivelse af omfanget · kunden kan ikke vurdere, hvad den dækker.
At skrive, at leverancen er sikker · testen fandt intet inden for det, der blev afprøvet.
At udelade observationer, fordi de ikke er fund · de viser, at testen gik i dybden.
At bruge resultatet som grund til at udskyde næste test · kundens opfølgning fortsætter.
At blive fornærmet over kundens spørgsmål · kunden skal kunne forklare sin vurdering.

Hvad kan og ikke kan konkluderes

Et resultat uden fund viser, at testen i den aftalte periode og det aftalte omfang ikke fandt svagheder, testeren vurderede som fund. Det siger ikke, at der ikke findes svagheder, og det siger intet om dele uden for omfanget. Hvor meget resultatet kan bære i kundens vurdering, afhænger af, hvor tydeligt omfang og afprøvning er beskrevet. → Hvad testdokumentationen ikke kan bevise