Testspørgsmålet i kundens sikkerhedsspørgeskema: et præcist svar

Et sikkerhedsspørgeskema fra en NIS2-kunde kan rumme ét eller to felter om test, og de kan blive besvaret med et ja, der siger for lidt. Et brugbart svar hviler på fem oplysninger: hvad der blev testet, hvordan, hvornår, af hvem, og hvad der skete med fundene. Med dem kan kunden bruge svaret i sin egen vurdering af leverancen, og I undgår opfølgende spørgsmål, der kunne have været besvaret første gang.

Resten af skemaet kan handle om politikker, beredskab, adgangsstyring og uddannelse. Dem besvarer I hver for sig. Her gælder det kun testfeltet, sådan som det ser ud, når kunden selv er omfattet af NIS2. Spørgeskemaer som helhed, set fra en softwareleverandørs side, er emnet på pentestrapport.dk.

Hvorfor kunden spørger

En omfattet kunde skal efter NIS 2-loven have foranstaltninger, der bl.a. omfatter forsyningskædesikkerhed (§ 6, stk. 1, nr. 4). Styrelsen for Samfundssikkerheds vejledning om foranstaltninger beskriver, at kunden bør have kriterier for at vælge leverandører, herunder leverandørens cybersikkerhedspraksis. Spørgeskemaet er en af de måder, kunden indsamler den viden på.

ENISA’s tekniske vejledning nævner leverandørspørgeskemaer som et muligt grundlag for at vurdere en leverandørs praksis. Vejledningen er ikke bindende, men den forklarer, hvorfor skemaerne er blevet så udbredte i leverandørkæden. Jeres svar kan altså ende i kundens dokumentation over for et tilsyn, og det er grunden til at skrive det præcist. → Kundens brev om NIS2

Sådan kan spørgsmålet lyde

Formuleringerne varierer, men et testfelt kan ligne en af disse:

Gennemfører I regelmæssig penetrationstest? · kunden vil vide, om test er en fast praksis.
Udføres testen af en uafhængig tredjepart? · kunden spørger til, hvem der tester.
Hvornår blev den seneste test gennemført? · kunden vurderer, om resultatet stadig er aktuelt.
Er alle kritiske og høje fund lukket? · kunden spørger til opfølgningen.
Kan I fremsende rapporten? · kunden vil se dokumentationen selv.

Læs hvert felt for sig. Et ja til det første siger intet om det fjerde, og et svar, der blander dem sammen, bliver uklart. Hvis et ord som regelmæssig eller uafhængig ikke er defineret, kan I skrive, hvordan I forstår det, og svare ud fra den forståelse. → Krav om test af en uafhængig tredjepart

KL har i sin kommunale NIS2-drejebog en skabelon til screening af leverandører. Ét af spørgsmålene er, om leverandøren udfører “regelmæssige risikovurderinger og tekniske tests (kan være penetrationstests og sårbarhedsscanninger)”. Spørgsmålet rummer to ting, så svar på hver for sig: hvordan I vurderer risikoen ved leverancen, og hvilke tekniske test I har fået gennemført.

Fem oplysninger, der gør svaret præcist

Et svar på et par linjer kan rumme det hele:

Omfang · hvilken del af leverancen der indgik, fx kundeportalen og jeres fjernadgang til kundens drift.
Type · penetrationstest, sårbarhedsscanning eller en kombination.
Tidspunkt · måned og år for testen og for eventuel efterprøvning af rettelser.
Udførende · intern funktion eller ekstern testleverandør.
Resultat og opfølgning · om alvorlige fund er rettet, og hvad der står åbent.

Gennemførelsesforordning 2024/2690 gælder kun for bestemte digitale udbydere, men dens bilag, pkt. 6.5.2, litra c, nævner netop testens type, omfang, tidspunkt og resultater som det, der skal dokumenteres. Selv om forordningen ikke gælder jer, er de fire oplysninger en god ramme for svaret. → Fire oplysninger om testen

Når svaret ikke er et rent ja

Nogle leverandører har testet noget, men ikke det, kunden spørger til. Måske blev kontornettet testet, mens den løsning, kunden bruger, aldrig har været med. Så skriv det. Et svar som “kontornettet blev testet i foråret; kundeportalen indgår i den næste test” er mere brugbart for kunden end et ja, der senere viser sig ikke at dække.

Det samme gælder åbne fund. Hvis et alvorligt fund endnu ikke er rettet, så nævn det sammen med planen og eventuelle midlertidige tiltag. Kunden får alligevel et spørgsmål om det, hvis rapporten senere bliver delt. → Åbne fund på afleveringstidspunktet

Har I slet ikke testet, så sig det, og beskriv, hvad I vil gøre. En kort plan med omfang og tidspunkt kan være et acceptabelt svar for kunden, især hvis I er en ny leverandør. → Når kravet er uklart

Rapporten i et skemafelt

Feltet, der beder om at uploade rapporten, er det sted, hvor svaret kræver mest omtanke. En fuld rapport om jeres løsning er følsom, også når den ligger i kundens leverandørportal. Overvej at sende et resumé eller en erklæring og tilbyde den fulde rapport under aftalte vilkår, hvis kunden har brug for den.

Skriv i feltet, hvad der er vedlagt, og hvad kunden kan få ud over det. Så kan kundens sikkerhedsansvarlige se, at dokumentationen findes, uden at den sendes videre i et system, hvor mange har adgang. → Resumé, erklæring eller hel rapport

Et fast svar, der kan genbruges med omtanke

Når flere NIS2-kunder sender skemaer, kan de stille næsten samme spørgsmål om test. Det giver mening at have en fast tekst liggende, men den skal vedligeholdes. Gem den sammen med datoen for den test, den bygger på, og den version af leverancen, der indgik. Så kan den, der udfylder næste skema, se med det samme, om teksten stadig er rigtig.

Tilpas altid omfanget til den enkelte kunde. To kunder kan bruge forskellige dele af leverancen, og et svar, der passer til den ene, kan være misvisende over for den anden. En kommune, der kun bruger jeres bookingmodul, har ikke gavn af et svar, der handler om integrationen til et produktionsanlæg.

Udpeg også én person, der godkender testsvarene, før de sendes. Det er ikke nødvendigvis salg eller kundeservice, der kender testens afgrænsning bedst, og et forkert svar kan blive hængende i kundens leverandørregister i lang tid.

Det skal I lade være med

At svare ja uden omfang · kunden kan ikke se, om testen dækker det, kunden bruger.
At kopiere sidste års svar · tidspunkt og resultat ændrer sig fra år til år.
At kalde en scanning en penetrationstest · brug det ord, der passer til det, I faktisk har fået lavet.
At skjule åbne fund · nævn dem med plan og status.
At uploade den fulde rapport uden vilkår · aftal først, hvordan den opbevares og deles.

Hvad kan og ikke kan konkluderes

Et præcist svar i testfeltet viser kunden, hvilken del af leverancen der er afprøvet, og hvordan I følger op. Det kan indgå i kundens leverandørvurdering sammen med jeres øvrige svar. Det viser ikke, at jeres sikkerhed som helhed er tilstrækkelig, og det afgør ikke, om kunden opfylder sine egne krav. Teksten er ikke juridisk rådgivning.