Du er kontorchef, bogholder eller økonomiansvarlig, og en dag står du også som virksomhedens kontaktperson for IT, fordi driften ligger hos en MSP, altså en ekstern driftsleverandør. Når der skal laves en penetrationstest, bliver du bindeleddet mellem testeren, MSP’en og ledelsen. Din rolle hviler ikke på teknisk viden, men på tre ting: at du ved, hvad virksomheden har sagt ja til, at du ved, hvem der må beslutte hvad, og at du stiller de rigtige spørgsmål, når rapporten kommer.
Hvad der forventes af dig, og hvad der ikke gør
Ingen forventer, at du kan vurdere en firewallregel. Til gengæld er det dig, der repræsenterer virksomheden, når to eksterne parter skal arbejde i jeres systemer. Det betyder, at du skal kunne svare på spørgsmål som: Er det i orden, at testen kører tirsdag? Må testeren kontakte MSP’en direkte? Hvem i ledelsen skal orienteres, hvis noget går galt?
Selve bestillingen og aftalerne med leverandøren er køberens del og er beskrevet på penetrationtest.dk. Her handler det om forløbet, fra aftalen er underskrevet, til rapporten er gennemgået.
Et praktisk råd er at føre en enkel log fra start: en side, hvor du noterer datoer, aftaler, hvem du har talt med, og hvad der blev besluttet. Den behøver ikke være teknisk. Den skal bare kunne svare på, hvem der sagde ja til hvad, og hvornår. Når rapporten kommer, eller når ledelsen spørger, hvordan det gik, er det loggen, du læser op fra, og ikke din hukommelse. Den gør det også lettere for din stedfortræder at tage over, hvis du er væk.
Det, du afklarer og godkender før testen
Før første testdag er der nogle punkter, hvor MSP’en og testeren venter på et svar fra virksomheden. Det svar kommer fra dig eller fra den leder, du går til.
- Hvad der testes · få en liste i almindelige ord: hjemmesiden, mailen, det interne net eller noget andet. Spørg, hvis noget er uklart.
- Hvornår · testperioden skal passe med virksomhedens kalender. Undgå lønkørsel, årsafslutning og travle sæsoner.
- Tilladelsen · virksomheden giver skriftlig tilladelse til testen. Det skal være en person med bemyndigelse, der skriver under.
- MSP’ens rolle · ved MSP’en, at testen kommer, og har de udpeget en kontaktperson? Se også → MSP’en og penetrationstesten
- Andre leverandører · har I systemer hos andre, fx et lønsystem eller en webshop, skal de også vide besked, hvis de er med.
En vejledning fra myndigheder i blandt andet USA, Storbritannien og Australien om sikkerhed hos driftsleverandører anbefaler, at kontrakten tydeligt angiver, hvem der ejer hvilke sikkerhedsopgaver. Det er værd at slå op i jeres aftale før testen, fordi det afgør, hvem der skal rette bagefter. Sikkerdigital.dk har en leverandørpakke med spørgsmål til IT-leverandøren, som kan bruges, hvis aftalen ikke giver svaret.
Hvem ringer til hvem under testen
Skriv en kort telefonliste og del den med testeren og MSP’en. Den skal svare på fire spørgsmål:
- Hvem testeren ringer til ved alvorlige fund · aftal, om det skal være dig, MSP’ens tekniske kontakt eller jer begge.
- Hvem MSP’en ringer til, hvis noget holder op med at virke · det er den, der har adgangen til at genstarte, og det skal du vide, hvem er.
- Hvem medarbejderne går til · hvis de oplever noget mærkeligt, skal de vide, om de skal kontakte dig eller MSP’ens servicedesk. → Brugerne under testen
- Hvem der er stedfortræder for dig · ferie og sygdom stopper ikke testen.
Telefonlisten skal også sige, hvordan I genkender testeren. Hvis nogen ringer og påstår at være testeren eller MSP’en og beder om en adgangskode, skal svaret være nej, indtil personen er bekræftet via det nummer, der står på listen.
Hvem der må beslutte et stop
Et stop er den vigtigste beslutning under forløbet, og den skal være aftalt på forhånd. Der er to situationer:
- Driften er ramt · et system er nede eller langsomt. Her bør MSP’en kunne bede testeren om at holde pause med det samme og orientere dig bagefter.
- Forretningen er ramt · der er en vigtig frist, en kunde, der klager, eller en leder, der er bekymret. Her er det virksomheden, altså dig eller din leder, der beslutter.
Det vigtige er, at både testeren og MSP’en ved, hvem der kan sige stop, og at et stop kan siges kort uden at skulle forklares. Hvordan beredskabet ser ud fra driftens side, står i → Beredskab under testen.
Når rapporten kommer
Rapporten er skrevet til fagfolk, og det er helt i orden ikke at forstå alle afsnit. MSP’en kan gennemgå den med dig, og hvordan MSP’en forbereder det møde, er beskrevet i → MSP’en som oversætter af rapporten. Du skal ikke gætte på den tekniske betydning. Du skal stille de spørgsmål, som kun virksomheden kan stille:
- Hvad betyder fundet for os? · hvilke data eller hvilken del af forretningen kunne blive ramt.
- Hvem retter? · MSP’en, en anden leverandør eller virksomheden selv.
- Er det med i aftalen? · eller koster rettelsen ekstra. → Fund uden for driftsaftalen
- Hvornår er det rettet? · og hvordan får I besked, når det er gjort.
- Hvad skal ledelsen beslutte? · fx budget, nye regler for medarbejderne eller valg mellem løsninger.
Bed om svarene på skrift. Så har du noget at følge op på, og ledelsen kan se, hvad der er aftalt.
Det skal I lade være med
- At lade MSP’en både teste og godkende sig selv. Testeren skal være uafhængig af driften.
- At give adgangskoder over telefonen. Heller ikke til en, der siger, at det er en del af testen.
- At lade spørgsmål om ansvar vente til rapporten. Afklar dem, før testen begynder.
- At holde ledelsen uden for. De skal kende perioden og kunne træffe beslutninger.
- At lukke rapporten uden en plan. Hvert fund skal have en ejer og en dato.
Hvad kan og ikke kan konkluderes
Testen viser, hvad testeren fandt i de aftalte systemer i testperioden. Den siger ikke, om MSP’en generelt gør et godt eller dårligt arbejde, og den dækker ikke systemer, der ikke var med. Det, testen giver dig, er et konkret grundlag at tale med MSP’en og ledelsen ud fra.
Tjekliste til kontaktpersonen
- ☐ Har jeg en liste over, hvad der testes, i almindelige ord?
- ☐ Er tilladelsen underskrevet af en med bemyndigelse?
- ☐ Kender MSP’en og andre leverandører testperioden?
- ☐ Er telefonlisten delt med testeren og MSP’en?
- ☐ Ved testeren og MSP’en, hvem der kan sige stop?
- ☐ Har jeg en stedfortræder?
- ☐ Har jeg mine spørgsmål klar til rapportgennemgangen?
Kilder
- CISA, NCSC (UK) m.fl.: Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A): fælles vejledning fra myndigheder i USA, Storbritannien, Australien, Canada og New Zealand; anbefaler, at kontrakter tydeligt angiver ejerskab af sikkerhedsroller og ansvar.
- Sikkerdigital.dk: Leverandørpakken: spørgeskema og vejledning til samtalen med IT-leverandøren, herunder hvordan ansvaret er fordelt.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: MSP’en som oversætter af rapporten · Fund uden for driftsaftalen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
