En penetrationstest er ikke en øvelse i beredskab, men rapporten kan alligevel vise, at planen bygger på forudsætninger, der ikke holder. Hvis testeren kunne nå backupsystemet med de samme konti som resten af nettet, eller hvis de administratorkonti, planen regner med til genopretning, var blandt dem, der blev overtaget, er planen svagere end den ser ud. Svaret ligger i at læse rapporten med planen ved siden af og spørge for hvert alvorligt fund: hvis det her var sket for alvor, kunne vi så gøre det, planen siger?
Hvorfor en pentest siger noget om planen
En beredskabsplan beskriver, hvordan I opdager, begrænser og kommer jer efter en hændelse. Den hviler på antagelser om, hvad der stadig virker, når noget er gået galt: at backup kan gendannes, at bestemte konti er til at stole på, at nogen kan træffe beslutninger, og at I kan nå de rigtige leverandører.
En pentest afprøver ikke planen direkte. Men den viser, hvad en angriber kan nå, og dermed hvilke af planens antagelser der kan blive ramt. NCSC anbefaler i sin vejledning om håndtering af hændelser, at planen hænger sammen med planerne for genopretning, forretningskontinuitet og krisestyring. Fundene kan vise, hvor den sammenhæng er skrøbelig.
Fund, der rammer genopretningen
Den del af planen, fundene kan ramme mest direkte, er den, der handler om at komme tilbage i drift.
- Backup inden for rækkevidde · hvis testeren kunne nå backupsystemet eller ændre i kopierne, kan genopretningen ikke regnes for sikker. → Backupsystemet som mål
- Genopretning kræver overtagne konti · hvis de konti, I skal bruge til at genoprette, var blandt dem, testeren fik adgang til, skal planen have en anden vej.
- Afhængighed af katalogtjenesten · hvis alt, også backup og fjernadgang, kræver login gennem det samme katalog, går alt ned sammen.
- Dokumentation på de ramte systemer · hvis planen, kontaktlisten og netværkstegningen kun ligger på filservere, der kan blive krypteret, er de ikke til rådighed, når de skal bruges.
NCSC nævner også, at det skal øves at gendanne filer fra backup. En gendannelse, der aldrig er prøvet, er en antagelse, ikke en del af planen. → Backup og gendannelsespunkt før testen
Fund, der rammer opdagelsen og kommunikationen
Planen starter med, at nogen opdager, at noget er galt. Hvis testen viste, at testerens aktivitet ikke kunne ses i logningen, eller at ingen reagerede på alarmer, hviler planens første trin på noget, der ikke virker i dag. → Fund om logning og overvågning
Notér i planen, hvilke kilder der i praksis vil afsløre en hændelse, og hvem der ser dem uden for arbejdstid. Er svaret uklart, er det en mangel ved planen, ikke kun ved overvågningen.
Planen forudsætter, at de involverede kan tale sammen. Hvis testen viste, at en overtaget konto kunne læse andres e-mail eller administrere Microsoft 365, kan den samme kanal ikke regnes for fortrolig under en hændelse. En angriber, der stadig er inde, kan læse med, når I koordinerer. → Microsoft 365-test for IT-afdelingen
Beskriv derfor en reservekanal i planen, som ikke afhænger af jeres egen lejer eller jeres eget katalog, og sørg for, at de vigtigste personer kender den på forhånd. Det samme gælder telefonnumre: en kontaktliste, der kun findes i et system, I måske ikke kan logge på, hjælper ikke.
Fund, der rammer beslutningerne
En beredskabsplan skal sige, hvem der må beslutte at isolere et system, tage en tjeneste ned eller kontakte myndigheder. NCSC anbefaler, at teknisk personale ved, hvem der kan godkende kritiske handlinger, og hvordan de nås, også hos leverandører, og at der er stedfortrædere.
Testen kan vise noget om det. Hvis testforløbet krævede beslutninger undervejs, fx om et skrøbeligt system skulle tages ud af testen, så se på, hvor hurtigt de blev truffet, og om den rigtige person kunne findes. Det er en lille, men brugbar prøve på planens beslutningsveje. → Beredskab under testen
Fund, der rammer leverandørerne
Et miljø kan afhænge af flere leverandører under en hændelse: driftsleverandøren, leverandøren af forretningssystemet, internetudbyderen. Hvis testen viste, at en leverandørs adgang var en vej ind, skal planen tage højde for, at netop den adgang kan være en del af problemet.
- Kontakt · aktuelle kontaktoplysninger og et nummer, der virker uden for arbejdstid.
- Ansvar · hvad leverandøren gør, og hvad I selv gør, når hændelsen rammer deres område.
- Afbrydelse · hvordan I lukker en leverandørs adgang hurtigt, hvis den er kompromitteret. → Driftsværktøjer med bred adgang
Fra fund til ændringer i planen
Lav en kort liste over de forudsætninger i planen, som fundene sætter spørgsmålstegn ved. For hver forudsætning beslutter I, om planen skal ændres, eller om fundet skal rettes, så forudsætningen holder igen. Svaret kan være begge dele: fundet rettes, og planen får en reservevej, indtil rettelsen er på plads.
- Planens ejer · den, der har ansvaret for beredskabsplanen, skal have listen, også hvis det ikke er IT.
- Midlertidig tilføjelse · en kort note i planen om, hvad der gælder, mens rettelserne pågår.
- Øvelse · når planen er ændret, kan den afprøves i en øvelse. NCSC anbefaler at opdatere planerne efter hændelser og at øve dem, så medarbejderne ved, hvad de skal gøre.
Det skal I lade være med
- At læse rapporten uden at se på planen. Fundene kan ramme planens forudsætninger direkte.
- At regne en pentest for en beredskabsøvelse. Den afprøver ikke, om planen bliver fulgt.
- At gemme planen kun på de systemer, den skal genoprette. Den skal kunne findes, når de er nede.
- At lade genopretningen afhænge af konti, testeren overtog. Planen har brug for en vej uden om.
- At glemme leverandørernes rolle. Deres adgang kan være både hjælp og problem.
- At ændre planen uden at fortælle dem, der skal bruge den. En plan, ingen kender, virker ikke.
Hvad kan og ikke kan konkluderes
En gennemgang af planen med rapporten ved siden af kan vise, hvilke forudsætninger der ikke holder, og hvor planen skal have en reservevej. Den kan ikke vise, at planen virker under en rigtig hændelse, eller at medarbejderne kan følge den under pres. Det kræver en øvelse, og den er en anden opgave end en penetrationstest.
Tjekliste til planen efter testen
- ☐ Er hvert alvorligt fund holdt op mod planens forudsætninger?
- ☐ Kan backup gendannes, selv om de fund, testen viste, blev udnyttet?
- ☐ Findes der en vej til genopretning uden de konti, testeren overtog?
- ☐ Kan planen, kontakterne og tegningerne findes, når systemerne er nede?
- ☐ Er det klart, hvem der beslutter, og hvem der er stedfortræder?
- ☐ Er leverandørernes kontakt, ansvar og afbrydelse beskrevet?
- ☐ Har planens ejer fået listen, og er en øvelse planlagt?
Kilder
- NCSC: 10 Steps, Incident management: planen skal hænge sammen med genopretning, forretningskontinuitet og krisestyring; øv gendannelse fra backup; teknisk personale skal vide, hvem der kan godkende kritiske handlinger, også hos leverandører, og have stedfortrædere; planer opdateres efter hændelser og øves.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Pentest eller øvelse, når IT vil afprøve opdagelse og reaktion · Læring i driften efter testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
