En teknisk penetrationstest handler ikke om brugerne, men de kan alligevel mærke den: et system er langsommere end normalt, en konto er låst, eller en kollega har hørt, at nogen tester sikkerheden. Hvad brugerne skal have at vide, afhænger af testens formål, og det er en beslutning for opgavens ejer. Når beslutningen er truffet, er det IT, der skal formulere beskeden. Den gode besked er kort, siger, hvad brugerne kan opleve, og gentager det vigtigste: alle normale sikkerhedsregler gælder, og alt mistænkeligt skal stadig meldes.
Hvem bestemmer, om brugerne skal vide det
Om medarbejderne orienteres, og hvor meget, er et valg, der træffes ud fra testens formål. Køberens overvejelser om det står på penetrationtest.dk. Er testen rent teknisk, er der normalt intet i vejen for, at de berørte kender til den. Er medarbejdernes reaktion en del af det, der undersøges, skal kredsen være lille.
Den amerikanske standardorganisation NIST beskriver i sin vejledning om sikkerhedstest, at modstand mod test kan komme fra både administratorer og almindelige brugere, og at det hjælper at gøre test til en fast del af sikkerhedspolitikken, så de ikke kommer bag på nogen. Det er en god grund til at tale om test som noget normalt, også når den konkrete test ikke annonceres i detaljer.
Hvad brugerne kan opleve
Beskeden skal beskrive de mulige virkninger i almindeligt sprog. Tag kun det med, der passer til testen.
- Langsomhed · enkelte systemer kan svare langsommere i perioden.
- Låste konti · en konto kan blive låst, hvis testen omfatter login. → Låste konti under testen
- Advarsler · beskyttelsesprogrammet på maskinen eller i mailen kan vise flere meddelelser end normalt.
- Ukendte navne i lister · testkonti kan dukke op i delte mapper, kanaler eller adresselister, hvis testen kræver det.
- Kortvarige afbrydelser · hvis noget går galt, kan et system være utilgængeligt et stykke tid.
Spørg testeren, hvilke af virkningerne der er realistiske for netop denne test. En ekstern test af hjemmesiden giver andre virkninger for brugerne end en intern test af kontornettet, og beskeden bliver mere troværdig, når den passer til det, der rent faktisk kan ske. Undgå at love, at intet vil ske. En besked, der siger, at brugerne ikke vil mærke noget, bliver svær at forklare, hvis de gør.
Hvad brugerne skal gøre
Det vigtigste i beskeden er det, brugerne skal gøre, og det er stort set det samme, som de altid skal.
- Meld som altid · kontakt servicedesken, hvis noget ikke virker eller ser mærkeligt ud. → Servicedesken under testen
- Gæt ikke på, at det er testen · det er IT, der afgør, om noget hænger sammen med testen.
- Del aldrig adgangskode eller koder · heller ikke med en, der siger, at det er en del af en test.
- Godkend ikke ukendte loginforespørgsler · en anmodning om at bekræfte et login, som brugeren ikke selv har startet, skal afvises og meldes.
- Tal ikke om testen udadtil · oplysninger om, at der testes, og hvad der testes, hører ikke til på sociale medier eller i mails til andre.
Punkt to og tre er de vigtigste. Den største risiko ved at fortælle om testen er, at brugerne begynder at afskrive mistænkelige ting som en del af den. Hvis en angriber er aktiv i samme uge, er det præcis den reaktion, der ikke må komme. → Alarmer under testen
Sådan skrives beskeden
Beskeden kan sendes som en kort mail eller et opslag på intranettet. Følgende rækkefølge virker.
- Hvad og hvornår · der gennemføres en planlagt kontrol af sikkerheden i en bestemt periode.
- Hvad I kan opleve · de få virkninger, der passer til testen.
- Hvad I skal gøre · de fem punkter ovenfor i kort form.
- Hvem I kontakter · servicedeskens normale nummer eller adresse.
Skriv ikke, hvilke systemer der testes, hvem testeren er, eller hvordan testen foregår. Det er ikke nødvendigt for brugerne, og det gør beskeden mindre værdifuld for en udenforstående, der får fat i den. Lad beskeden komme fra IT-chefen eller ledelsen, så den har vægt, og send den kort før testen, så den ikke er glemt.
Vær opmærksom på, at en mail om, at der testes, selv kan blive efterlignet. Henvis derfor til de kanaler, brugerne allerede kender, fx servicedeskens sædvanlige nummer, og ikke til et nyt nummer eller et link i mailen.
Særlige grupper
Nogle brugere skal have mere end den generelle besked.
- Ledere i berørte afdelinger · skal kende perioden og vide, at de kan kontakte IT, hvis deres medarbejdere er generet.
- Systemejere uden for IT · skal vide, hvilke af deres systemer der er med, og hvem de ringer til.
- Brugere med særlige roller · fx dem, der administrerer et forretningssystem eller har adgang til betalinger, kan møde testkonti eller usædvanlige ændringer og skal vide, hvad de gør.
- Fjernarbejdere og eksterne · skal have samme besked, hvis de bruger de systemer, der testes.
Efter testen
Når testen er slut, er det en god idé at give en kort meddelelse om, at perioden er ovre. Den behøver ikke sige noget om resultatet. Den lukker perioden, så brugerne ikke bliver ved med at tro, at mærkelige ting kan være testen.
Hvis rettelserne efter testen ændrer noget, brugerne mærker, fx tofaktor, nye regler for adgangskoder eller færre rettigheder på maskinen, er det en ny besked med sin egen forklaring. → Skærpelser, brugerne mærker
Det skal I lade være med
- At love, at brugerne ikke vil mærke noget. Det kan ikke garanteres.
- At beskrive testens systemer og metode. Det har brugerne ikke brug for.
- At lade beskeden give indtryk af, at mærkelige ting nok er testen. Alt meldes som normalt.
- At give et nyt telefonnummer eller link i beskeden. Brug de kendte kanaler.
- At glemme at lukke perioden. Fortæl, når testen er slut.
Hvad kan og ikke kan konkluderes
Hvis brugerne har meldt det, de skulle, i testperioden, viser det, at de kendte vejen til servicedesken. Det siger ikke noget om, hvordan de reagerer på et målrettet forsøg på at narre dem. Det er en anden type test med egne aftaler. Til gengæld kan antallet og arten af henvendelser vise, hvor godt beskeden virkede, og det er nyttigt næste gang.
Tjekliste til beskeden
- ☐ Er det besluttet, hvem der skal orienteres, og hvor meget?
- ☐ Beskriver beskeden de mulige virkninger uden at love for meget?
- ☐ Står det tydeligt, at alt mistænkeligt stadig skal meldes?
- ☐ Henviser beskeden kun til kendte kanaler?
- ☐ Har særlige grupper fået ekstra besked?
- ☐ Er der sendt en meddelelse, når perioden er slut?
Kilder
- NIST SP 800-115: modstand mod test kan komme fra administratorer og brugere; at gøre test til en del af sikkerhedspolitikken giver en proces, der ikke kommer bag på nogen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Låste konti under testen · Alarmer under testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
