Kunden kræver en pentestrapport:
hvad giver I dem?

Når en kunde beder om en pentestrapport, er det ikke altid selve dokumentet, kunden mangler. Kunden mangler et grundlag for at godkende jer som leverandør: at produktet er testet af en uafhængig part, hvad testen omfattede, hvornår den fandt sted, og hvordan I har fulgt op på fundene. pentestrapport.dk er skrevet til softwarehuse og SaaS-leverandører, der skal give kunden det grundlag uden at udlevere mere, end kunden har brug for, og uden at love mere, end testen kan bære.

Svaret i kort form: afklar først, hvad kunden skal bruge dokumentationen til. Bestil derefter en test, hvis omfang svarer til det, kunderne køber, og aftal på forhånd med testeren, hvilke dokumenter I kan vise frem. Giv så kunden den form, der passer til formålet og til, hvor langt I er i salget.

Kravet opstår i salget

Kravet om en rapport kan dukke op, hvor det passer dårligst: midt i en forhandling, ved en fornyelse eller når den første store erhvervskunde sender sin leverandørpolitik. Læs ordlyden, før I bestiller noget. Kravet kan gælde produktet, kontornettet eller begge dele, og det kan sætte betingelser for testerens uafhængighed og for rapportens alder.

→ Pentest af et SaaS-produkt: fra bestilling til kundeudlevering · Aftalen venter på en pentestrapport · Hvad skal kunden bruge rapporten til? · Produktet eller hele virksomheden

Spørgeskemaet kan komme først

Kravet kan også ligge som ét spørgsmål blandt mange i kundens sikkerhedsspørgeskema. Spørgsmålet om penetrationstest ser enkelt ud, men svaret binder jer: hvornår blev der testet, hvad var med, hvem testede, og står der fund åbne? Svar med det, I kan dokumentere. Har I endnu ikke fået lavet en test, er en plan med en dato et bedre svar end et ja, der ikke holder, når kunden beder om papirerne.

→ Sikkerhedsspørgeskema fra kunden · Spørgsmålet om penetrationstest i skemaet · Svar, I ikke kan dokumentere

Rapport, resumé eller erklæring

Den samme test kan vises frem i flere former. Et erklæringsbrev fra testeren bekræfter, at testen er udført, hvornår og med hvilket omfang. Et resumé viser omfang og fund fordelt efter alvor. Hele rapporten rummer detaljer om svagheder, som ikke bør ligge i indbakken hos en mulig kunde, der endnu ikke har skrevet under. En fast rækkefølge for, hvem der får hvad og på hvilke betingelser, giver ens svar fra alle sælgere. Åbne fund nævnes med status og plan; det er detaljerne, der holdes tilbage.

→ Hel rapport, resumé eller erklæring · Erklæringsbrevet fra testeren · Retestbevis til kunden

Testen skal dække det, kunderne køber

En rapport hjælper kun, hvis omfanget passer til den del af produktet, kunden bruger. For et SaaS-produkt kan kundernes spørgsmål handle om adskillelsen mellem kunderne, roller og rettigheder, API og integrationer og jeres egne medarbejderes supportadgang. Fortæl testeren fra starten, at rapporten skal bruges over for kunder. Så bliver omfangsafsnittet, versionen og testdatoerne skrevet, så kundens sikkerhedsfolk kan koble rapporten til det produkt, de køber.

→ Hvad skal med i en penetrationstest af et SaaS-produkt? · Multi-tenant: test af adskillelsen · Bestil testen til kundebrug

Produktet ændrer sig, rapporten gør ikke

En rapport beskriver én version på ét tidspunkt. Bagefter kommer der nye funktioner, nye integrationer og måske en ny arkitektur. Kunder, der vil have en rapport af en bestemt alder, eller som skriver test ind i kontrakten, forventer, at I har en rytme for test og efterprøvning, der hænger sammen med releaseplanen og med kundernes fornyelser. Læs testklausulen som en række løfter, I skal kunne holde år efter år.

→ Test ved hver release eller én gang om året? · Kunden vil have en rapport under et år gammel · Testklausulen i kundekontrakten

Standarder og tillid

Kunden kan nævne ISO 27001, SOC 2 eller en ISAE-erklæring i samme åndedrag som pentesten. De er noget andet end en test, men en test kan indgå i dokumentationen bag dem. Kundens grundlæggende spørgsmål kan desuden besvares, før de bliver stillet, på en tillidsside, der siger præcis det, dokumenterne kan bære.

→ ISO 27001 i softwarehuset · SOC 2-rapporten og pentesten · ISAE-erklæring og pentest · Tillidsside eller trust center

Nielco IT står bag

Bag pentestrapport.dk står Nielco IT, som er John Nielsen. Én konsulent, selvstændig siden 2009, med over 30 års erfaring i IT-sikkerhed og baggrund i finanssektoren, offentlige myndigheder og kritisk infrastruktur. Nielco IT er uvildig: ingen produkter at sælge og ingen leverandørpartnerskaber. En fortrolighedsaftale (NDA) underskrives på forespørgsel.

Sitet lover ikke, at en test opfylder en bestemt kundes krav eller fører til en certificering. Hvad der er tilstrækkeligt, afgør kunden. Begreberne og testforløbet forklaret for købere generelt står på penetrationtest.dk.

→ Alle artikler · Spørgsmål og svar · Ordliste · Om sitet

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest af SaaS hos Nielco IT