Sikker aflevering af testresultater til kunden

Et testresultat er en af de mest følsomme ting, I sender til en kunde. Det beskriver, hvor jeres løsning var svag, og indtil fundene er rettet, kan det bruges af andre end kunden. Sikker aflevering handler derfor om tre valg: hvem der skal modtage resultatet, ad hvilken kanal det sendes, og hvem der har adgang til det bagefter. Valgene hviler på kundens egne regler for håndtering og overførsel af oplysninger, som en NIS2-kunde kan have, og på jeres egen interesse i at beskytte løsningen.

Det kræver ikke særlige værktøjer, men det kræver, at nogen tager stilling, før dokumentet sendes. Teksten er ikke juridisk rådgivning.

Hvorfor kunden har regler for det

Gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere, fx cloud og administrerede tjenester, og kan bruges af andre NIS2-kunder som model for deres egne regler. Bilagets punkt 12.1 beder enheden klassificere sine aktiver, herunder oplysninger, efter krav til fortrolighed, integritet, autenticitet og tilgængelighed. Punkt 12.2.2, litra c, siger, at overførsler skal ske på en sikker måde, der passer til den type aktiv, der overføres. Punkt 9.2, litra a, nævner kryptografisk beskyttelse af data under overførsel.

Det er kundens egne forpligtelser, men de rammer jer, fordi kunden skal kunne vise, at følsomme oplysninger om en kritisk leverandør er modtaget og opbevaret efter reglerne. Spørg derfor kunden, hvordan kunden vil modtage resultatet, før I selv vælger. En kunde med en sådan klassifikation kan placere en pentestrapport om en kritisk leverandør i en af de mest beskyttede grupper. Kender I kundens klassifikation, kan I vælge en kanal, der passer til den, og I slipper for at gøre arbejdet om. → Hvor meget skal kunden vide om omfanget?

Modtageren: en navngiven person

Det første valg er det vigtigste. Et testresultat skal sendes til en navngiven person hos kunden, ikke til en fælles postkasse, et sagssystem eller en hel distributionsliste.

Navngiven modtager · aftalt på forhånd, gerne skriftligt i bestillingen eller aftalen.
Stedfortræder · en navngiven person mere, hvis den første er fraværende.
Bekræftet identitet · en henvendelse, der beder om resultatet, kontrolleres via en kontakt, I allerede kender.

Det sidste punkt er ikke overdrevet. En mail, der ser ud til at komme fra kunden og beder om “den seneste pentestrapport”, skal behandles med samme forsigtighed som en anmodning om at ændre et kontonummer. Ring til den kontakt, I kender, ikke til nummeret i mailen. → Rapportens modtager hos kunden

Kanalen: tre spørgsmål

Hvilken kanal der passer, afhænger af kundens regler og jeres egne muligheder. Stil tre spørgsmål til den kanal, I overvejer:

Er indholdet beskyttet undervejs · så ingen andre end modtageren kan læse det under overførslen?
Kræver adgangen modtagerens eget login · gerne med multifaktorlogin, frem for et link, alle med adressen kan åbne?
Kan adgangen lukkes igen · fx med en udløbsdato eller ved at fjerne modtagerens adgang, når dokumentet er hentet?

En delt mappe med personlig adgang og udløb kan opfylde alle tre. En almindelig vedhæftet fil i en mail opfylder ikke nødvendigvis nogen af dem. Har kunden en fast kanal til følsomme dokumenter fra leverandører, er den normalt det bedste valg, fordi kunden så kan dokumentere modtagelsen efter sine egne regler. → Mail og filudveksling med kunden

Det, der sendes: mindre er sikrere

Den sikreste del af et dokument er den, der ikke sendes. Det gælder især, mens der stadig er åbne fund, for netop de beskrivelser kan bruges af andre, indtil rettelserne er på plads. Overvej, om kunden har brug for den fulde rapport, eller om et resumé og en fundliste med status er nok. Jo færre tekniske detaljer der rejser, jo mindre kan gå galt, hvis dokumentet havner forkert.

Navngiv versionen tydeligt, så kunden ved, hvilken der er gældende, og send ikke flere udkast end nødvendigt. Hvert udkast er en kopi mere, der skal styres.

Er der et kritisk fund, som kunden skal kende med det samme, så adskil det fra den samlede aflevering. Giv kunden besked ad en aftalt kanal og med det, der skal til for at handle, og lad detaljerne følge med den ordinære dokumentation. → Resumé, erklæring eller hel rapport

Efter afleveringen

Afleveringen er ikke slut, når dokumentet er sendt:

Bekræftelse · bed modtageren bekræfte, at dokumentet er hentet.
Lukning · luk adgangen til delingen, når det er sket.
Egne kopier · fjern kopier i mailprogrammer, midlertidige mapper og på bærbare, som ikke skal gemmes.
Log · notér, hvem der fik hvad og hvornår, så I kan svare, hvis kunden eller I selv senere skal vide det.

Hvordan kunden opbevarer dokumentet bagefter, er kundens ansvar, men I kan aftale vilkår for det. → Kundens opbevaring af jeres rapport

Et tænkt eksempel

En leverandør af et system til en havns adgangskontrol skal aflevere testresultatet. Havnens sikkerhedsansvarlige har bedt om det, og havnen har en fast portal til leverandørdokumenter.

Leverandøren uploader resumé og fundliste til havnens portal og giver adgang til den sikkerhedsansvarlige og en navngiven stedfortræder. Den fulde rapport gennemgås på et møde i stedet for at blive sendt. Dagen efter beder en mail fra en ukendt adresse hos havnen om rapporten. Leverandøren ringer til den sikkerhedsansvarlige, som ikke kender afsenderen, og havnen undersøger sagen. Leverandøren svarer ikke på mailen og noterer henvendelsen i sin log over afleveringen.

Det skal I lade være med

At sende til en fælles postkasse · så ved ingen, hvem der har læst det.
At vedhæfte den fulde rapport til en almindelig mail · den kan videresendes uden kontrol.
At svare på en anmodning uden at kontrollere afsenderen · brug en kontakt, I kender.
At lade delingen stå åben · luk den, når dokumentet er hentet.
At glemme jeres egne kopier · de er lige så følsomme som kundens.

Hvad kan og ikke kan konkluderes

En aftalt modtager, en beskyttet kanal og en lukket deling mindsker risikoen for, at testresultatet havner forkert under afleveringen. Det siger intet om, hvordan dokumentet behandles hos kunden bagefter, og det erstatter ikke en aftale om opbevaring og sletning. Det beskytter heller ikke mod, at oplysningerne slipper ud andre steder, fx hos testleverandøren eller i jeres egne systemer. Derfor hører jeres egen håndtering af testresultater med, når I gennemgår, hvordan følsomme oplysninger om løsningen beskyttes.