Et fund, I ikke retter: sådan begrunder I det over for kunden

Ikke alle fund skal rettes. Nogle er så små, at rettelsen koster mere end den risiko, den fjerner, og andre dækkes bedre af en anden foranstaltning. Men når fundet ligger i en leverance til en NIS2-kunde, er det ikke kun jeres beslutning. Risikoen ved fundet kan ende hos kunden, og kunden skal kunne træffe sin egen beslutning om den. Svaret er en skriftlig begrundelse, der er god nok til, at kunden kan bruge den i sin egen risikoaccept, og som siger klart, hvad I forventer, at kunden selv tager stilling til.

Bag det står kundens regler. Bilaget til gennemførelsesforordning (EU) 2024/2690 lægger i punkt 2.1.1 accepten af resterende risici hos kundens ledelsesorgan eller hos personer, der er ansvarlige og bemyndigede til at styre risici. Punkt 6.10.3 kræver, at kunden dokumenterer og begrunder, hvorfor en sårbarhed ikke kræver afhjælpning. Forordningen gælder direkte for bestemte digitale udbydere; SAMSIK’s vejledning om foranstaltninger siger for de øvrige enheder under NIS 2-loven, at restrisiko skal accepteres af risikoejere. Teksten er ikke juridisk rådgivning.

Jeres accept er ikke kundens accept

Når I beslutter ikke at rette et fund, accepterer I en risiko i jeres egen virksomhed. Hvis fundet kan påvirke kundens data, adgange eller drift, har kunden en tilsvarende risiko, som kunden selv skal håndtere. I kan ikke acceptere den på kundens vegne.

Derfor er det ikke nok at skrive accepteret i en statusliste. Kunden skal have oplysninger nok til at vurdere fundet, og kunden skal vide, at beslutningen også er kundens. Nogle aftaler kræver direkte, at kunden godkender, før et fund må stå urettet. Står det i jeres aftale, er det den, der gælder.

Det modsatte gælder også. Ligger fundet udelukkende i jeres egne systemer og kan det ikke påvirke kunden, er der ikke noget for kunden at acceptere. Så er det tilstrækkeligt at skrive, hvorfor fundet ikke berører kunden, og at beslutningen er truffet hos jer. Vær dog sikker i jeres sag: et fund i et internt system kan godt have betydning for kunden, hvis systemet bruges til at drive eller opdatere leverancen. → Pligt til at håndtere sårbarheder i leverandøraftalen

Det, begrundelsen skal indeholde

En begrundelse, kunden kan bruge, svarer på de samme spørgsmål, som kunden selv skal kunne svare på over for sin ledelse eller sin myndighed:

Fundet · hvad det er, og hvilken del af leverancen det ligger i.
Konsekvensen for kunden · hvad der i værste fald kan ske, og hvor sandsynligt det er.
Hvorfor det ikke rettes · fx at rettelsen kræver en større ændring, eller at risikoen er lav.
Hvad der dækker risikoen · andre foranstaltninger, der mindsker den.
Hvem hos jer har besluttet det · rolle og dato.
Hvornår beslutningen tages op igen · fx ved næste test eller ved en bestemt ændring.

Forordningens punkt 2.1.2, litra j, beder kunden begrunde accepten af resterende risici på en forståelig måde. Jeres begrundelse er råmaterialet til det, så skriv den, så en person uden for jeres team kan følge den. → Dokumentation, som en sagkyndig tredjepart kan forstå

Kunden kan sige nej

Kunden har ikke pligt til at acceptere jeres vurdering. Bruger kunden en anden målestok for alvor, eller ligger fundet i en del af leverancen, der er kritisk for kundens drift, kan kunden kræve fundet rettet. ENISA’s tekniske vejledning til forordningen, som ikke er bindende, skriver, at det så vidt muligt ikke er tilrådeligt at acceptere risikoen ved de mest alvorlige sårbarheder uden at håndtere dem. En kunde, der følger vejledningen, vil være tilbageholdende med at acceptere alvorlige fund.

Hvis kunden afviser, er der tre veje: I retter fundet, I tilbyder en foranstaltning, der mindsker risikoen så meget, at kunden kan acceptere resten, eller I finder sammen med kunden en løsning i kundens egen ende. Hvilken vej der er rigtig, afhænger af fundet og af aftalen. Skriv resultatet ned, uanset hvilken vej det bliver. → Kunden vurderer et fund som mere alvorligt

Hvem hos kunden skal tage stilling?

En begrundelse, der ender i en indbakke hos indkøb, bliver ikke til en beslutning. Spørg kunden, hvem der kan acceptere risikoen ved et fund i jeres leverance, og send begrundelsen dertil. Hos en kunde under forordningen er det ledelsesorganet eller en person, der er bemyndiget til at styre risici. Ledelsens rolle er et emne for sig og nævnes kun kort her; for jer betyder det mest, at kundens svar kan tage tid, fordi det skal gennem den rette person.

Få kundens svar skriftligt, og læg det ved fundet i jeres statusliste. Så kan både I og kunden senere se, hvem der besluttede hvad. → Rapportens modtager hos kunden

Et tænkt eksempel

En leverandør af et system til tilmelding og opkrævning hos en forsyning af fjernvarme får et fund i en test: en ældre krypteringsindstilling er stadig tilladt på en intern forbindelse, som kun leverandørens egne servere bruger. En rettelse kræver udskiftning af en komponent, der først er planlagt næste år.

Leverandøren skriver en begrundelse: forbindelsen er kun tilgængelig internt, den er adskilt fra kundens data, og udskiftningen er planlagt. Begrundelsen sendes til forsyningens sikkerhedsansvarlige med en anmodning om stillingtagen. Forsyningen accepterer for et år, under forudsætning af at forbindelsen kommer med i næste test. Accepten ligger ved fundet i statuslisten med dato og navn på den, der besluttede det. Da udskiftningen bliver udskudt, sender leverandøren en ny begrundelse i god tid før accepten udløber.

Det skal I lade være med

At acceptere på kundens vegne · kunden skal selv tage stilling, når risikoen rammer kunden.
At skrive accepteret uden begrundelse · kunden kan ikke bruge det.
At lade en accept stå uden udløb · aftal, hvornår den tages op igen.
At sende begrundelsen til den forkerte modtager · find den, der kan beslutte.
At bruge accept til alvorlige fund for at undgå arbejde · kunden vil afvise det, og det svækker tilliden.

Hvad kan og ikke kan konkluderes

En skriftlig begrundelse og et skriftligt svar fra kunden dokumenterer, at et fund er vurderet, og at beslutningen om ikke at rette det er truffet af de rette personer på begge sider. Det fjerner ikke risikoen, og det binder ikke kunden til samme vurdering næste gang. Generel viden om risikoaccept efter en test findes på penetrationtest.dk.