Testeren finder en server, der ikke står på nogen liste, en forbindelse mellem to net, som tegningen siger ikke findes, eller en cloudtjeneste, som en anden afdeling har sat op. Den slags afvigelser mellem dokumentation og virkelighed er ikke bare en irritation, der forsinker testen. De er fund i sig selv, fordi de viser, at driften træffer beslutninger på et billede, der ikke er rigtigt. Svaret hviler på at behandle afvigelsen i to trin: under testen afgøres det, om det ukendte må testes, og efter testen findes årsagen til, at dokumentationen ikke fulgte med.
Typer af afvigelser
Afvigelser kan have mange former. Det er nyttigt at kunne skelne dem, fordi de peger på forskellige årsager.
- Ukendte systemer · servere, apparater eller tjenester, som ingen oversigt nævner. → Enheder uden ejer
- Systemer, der skulle være væk · udstyr eller tjenester, der står som nedlagt, men stadig kører.
- Forbindelser uden for tegningen · trafik mellem net eller lokationer, som tegningen siger er adskilte.
- Regler, der ikke svarer til beskrivelsen · åbninger i firewalls eller adgange, der er bredere end dokumenteret.
- Rettigheder, der har bevæget sig · konti eller grupper med andre rettigheder end dem, der står i beskrivelsen.
- Tjenester sat op uden for IT · cloudtjenester, domæner eller værktøjer, som en anden afdeling har taget i brug. → Overblik over jeres internetvendte systemer
Hvorfor en afvigelse er et fund
Den britiske myndighed NCSC skriver i sine ti trin til cybersikkerhed, at hændelser kan opstå, fordi man ikke fuldt ud forstår sit miljø, og anbefaler at nedlægge systemer, der ikke længere bruges eller ikke kan knyttes til et forretningsbehov. En afvigelse, testen finder, er netop sådan et hul i forståelsen.
Konsekvensen rækker ud over testen. Rettelser, opdateringer, overvågning og beredskab bygger på dokumentationen. Et system, der ikke står på listen, får ikke opdateringer efter planen, bliver ikke overvåget og glemmes, når der skal gendannes efter en hændelse. En forbindelse, der ikke står på tegningen, bliver ikke taget med, når segmenteringen vurderes.
Derfor skal rapporten nævne afvigelsen, selv om den ikke er en svaghed i klassisk forstand. Bed testeren om at beskrive den som et selvstændigt punkt, ikke som en bemærkning i en fodnote.
Under testen: må det ukendte testes
Når testeren støder på noget, der ikke er med i aftalen, er det første spørgsmål, om det må testes. Det afgøres ikke af testeren alene og heller ikke af kontaktpersonen alene.
- Testeren stopper og melder · til kontaktpersonen, med en beskrivelse af, hvad der er fundet.
- IT afklarer ejerskab · hvem ejer systemet, og hører det overhovedet til organisationen?
- Opgavens ejer beslutter · om systemet skal med i testen, holdes udenfor eller behandles særligt.
- Beslutningen noteres · i driftsloggen og i aftalen, hvis den ændres. → Driftslog over testperioden
Ejerskabet er vigtigt. Et system, der ser ud til at høre til jer, kan tilhøre en leverandør, en lejer i samme bygning eller en anden virksomhed i koncernen. Det må ikke testes uden tilladelse fra den rette ejer. Det gælder også, selv om testeren teknisk kan nå det. Et ukendt system, der viser sig at tilhøre en anden, skal stadig nævnes i rapporten, fordi forbindelsen til jeres net er en oplysning, I skal tage stilling til sammen med den rette ejer.
Hvis det ukendte system ser skrøbeligt ud, gælder samme forsigtighed som for de systemer, der var kendt på forhånd. → Skrøbelige systemer
Efter testen: find årsagen
En afvigelse kan rettes på to måder: ved at opdatere dokumentationen eller ved at ændre virkeligheden. Begge kan være nødvendige. Men inden I vælger, så find ud af, hvorfor afvigelsen opstod.
- Ændring uden registrering · nogen har lavet en ændring uden om ændringsstyringen. → Testen i jeres ændringsstyring
- Nedlæggelse, der ikke blev gjort færdig · systemet blev erklæret nedlagt, men ingen slukkede det.
- Dokumentation uden ejer · tegningen bliver ikke opdateret, fordi ingen har ansvaret.
- Indkøb uden om IT · en afdeling har købt en tjeneste direkte.
- Leverandørens ændringer · en driftsleverandør har ændret noget uden at melde det tilbage.
Hver årsag peger på en procesrettelse. Hvis kun dokumentationen opdateres, vil den samme type afvigelse dukke op ved næste test.
Rettelserne ind i den normale arbejdsgang
Afvigelserne skal behandles som andre fund: med en ejer, en prioritet og en dato. → Fra fund til opgave
Prioriteringen afhænger af, hvad afvigelsen betyder for risikoen. Et ukendt system på internettet er mere presserende end en forkert beskrivelse af et internt net, der ikke påvirker adgangen. En forbindelse mellem kontornettet og et produktionsanlæg, som tegningen siger ikke findes, er alvorligere end en server, der står i den forkerte kolonne i et regneark.
Brug lejligheden til at se på, hvordan dokumentationen holdes ved lige. NCSC anbefaler automatiserede tilgange, så oplysningerne om aktiver er præcise, opdaterede og ensartede. Hvordan det gøres, afhænger af jeres miljø, men princippet er, at dokumentationen helst skal opdateres som en del af ændringen, ikke som en opgave bagefter.
Næste test som kontrol
En afvigelse, der er rettet, kan kontrolleres ved næste test. Giv testeren den opdaterede dokumentation og bed om, at rapporten nævner, om den passer. Hvis den gør, er det et tegn på, at procesrettelsen virker. Hvis nye afvigelser dukker op, er det et tegn på, at årsagen ikke er fundet endnu.
Det er også en god grund til at give testeren den dokumentation, I har, og ikke en tilrettet version. Kun ved at lade testeren arbejde ud fra jeres reelle grundlag får I at vide, hvor det halter. → Netværkstegning og systemoversigt
Det skal I lade være med
- At rette tegningen og gå videre. Find årsagen, så afvigelsen ikke gentager sig.
- At lade testeren afgøre, om det ukendte må testes. Det er en beslutning for ejeren.
- At antage, at et ukendt system er jeres. Kontrollér ejerskabet.
- At skjule afvigelser i rapportens bilag. De hører med i hovedteksten.
- At sende en tilrettet dokumentation til testeren. Så får I ikke afvigelserne at se.
Hvad kan og ikke kan konkluderes
Afvigelser, testen finder, viser, at dokumentationen ikke er dækkende på de punkter. De viser ikke, hvor mange andre afvigelser der findes. Testen ser kun det, den når inden for afgrænsningen og tiden. En test uden afvigelser er et godt tegn, men ikke et bevis på, at dokumentationen er komplet.
Tjekliste til afvigelser
- ☐ Er det aftalt, at testeren stopper og melder, når noget ukendt dukker op?
- ☐ Er ejerskabet kontrolleret, før et ukendt system testes?
- ☐ Står afvigelserne som selvstændige punkter i rapporten?
- ☐ Er årsagen til hver afvigelse fundet?
- ☐ Har hver afvigelse en ejer og en dato?
- ☐ Får testeren næste gang den opdaterede dokumentation?
Kilder
- NCSC: 10 Steps, Asset management: hændelser kan opstå, fordi man ikke fuldt ud forstår sit miljø; nedlæg systemer, der ikke bruges eller ikke kan knyttes til et forretningsbehov; automatiserede tilgange til præcise og opdaterede oplysninger om aktiver.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Glemte subdomæner · Fra fund til opgave
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
