Når testeren støder på noget uventet, skal der være én person i IT, der tager telefonen, forstår spørgsmålet og kan få en beslutning truffet. Uden den person venter testen, eller testeren må gætte, og ingen af delene er godt for resultatet eller driften. Rollen hviler på tre ting: kendskab til miljøet, mandat eller en kort vej til den, der har det, og tilgængelighed i hele testperioden. Det britiske NCSC beskriver i sin vejledning om penetrationstest en teknisk kontakt, der kan nås med kort varsel og hjælper med at løse forhindringer og løfte alvorlige forhold.
Hvad kontaktpersonen er til for
Kontaktpersonen er bindeleddet mellem testeren og IT-afdelingen, ikke testens leder og ikke den, der ejer opgaven. Opgaverne er praktiske.
- Svar på spørgsmål · om systemer, adresser, konti og afgrænsning, mens testen kører.
- Fjerne forhindringer · når en forbindelse ikke virker, en konto mangler rettigheder, eller et filter blokerer for noget, der er aftalt.
- Modtage alvorlige fund · og sende dem videre til den, der skal handle, uden at vente på rapporten.
- Tage imod stop · når testeren eller driften mener, at noget bør stoppes.
- Holde de andre orienteret · servicedesk, overvågning og systemejere.
Opgavens ejer, der har bestilt testen og ejer resultatet, er en anden rolle. I en lille IT-afdeling kan det være samme person, men så skal vedkommende vide, hvornår der tales i hvilken rolle. → Forberedelse i IT-afdelingen
Hvem der passer til rollen
Den bedste kontaktperson kender miljøet godt nok til at svare uden at slå alt op, og har tid til at gøre det. En IT-chef med fyldt kalender er ikke nødvendigvis det rigtige valg, selv om vedkommende har mandatet. En driftstekniker med overblik og en kort vej til chefen kan fungere bedre.
Kig efter tre egenskaber.
- Overblik · personen ved, hvordan nettet, identiteten og de vigtigste systemer hænger sammen.
- Rettigheder · personen kan selv rette en konto, åbne en forbindelse eller finde den, der kan.
- Ro · personen kan modtage en besked om et alvorligt fund uden at begynde at rette i blinde.
Udpeg altid en stedfortræder. Den amerikanske standardorganisation NIST anbefaler i sin vejledning om sikkerhedstest, at planen nævner både primære og alternative kontaktpunkter. Ferie, sygdom og akutte driftsopgaver rammer også i en testuge.
Mandat: hvad kontaktpersonen selv må beslutte
Det skal stå klart før testen, hvad kontaktpersonen må afgøre på stedet, og hvad der skal videre.
- Selv · at stoppe testen mod et system, der opfører sig mærkeligt, at oprette eller rette en testkonto inden for aftalen og at give testeren oplysninger, der hører til opgaven.
- Videre · at udvide eller indskrænke afgrænsningen, at give adgang til systemer uden for opgaven og at acceptere en risiko på virksomhedens vegne.
Ændringer i afgrænsningen hører til opgavens ejer eller den, der ejer risikoen. NCSC beskriver det sådan, at testerne kan foreslå en ændring, men at beslutningen ligger hos risikoejeren. Kontaktpersonen skal derfor have navn og nummer på den person, der kan sige ja eller nej.
Tilgængelighed i hele testperioden
Tilgængelighed betyder, at testeren kan få et svar inden for en tid, der er aftalt, ikke at kontaktpersonen sidder ved telefonen konstant. Aftal, hvordan testeren når personen, hvor hurtigt et svar kan forventes i og uden for arbejdstid, og hvad testeren gør, hvis ingen svarer.
Arbejder testeren om aftenen eller i weekender, skal der være en kontakt, som kan nås dér. Det kan være vagten i driften, hvis vagten er orienteret om testen og har listen over aftalte systemer. Er der ingen, der kan nås, bør de mest risikable dele af testen ligge i dagtimerne.
Skriv også ned, hvad testeren skal gøre, hvis kontaktpersonen og stedfortræderen ikke svarer inden for den aftalte tid. Et enkelt svar er at sætte den del af testen på pause og fortsætte med noget, der ikke kræver afklaring. Det er bedre end at gætte på, hvad driften ville have sagt, og det giver et spor, som begge parter kan forklare bagefter.
Når testeren melder et alvorligt fund
Finder testeren noget, der ikke kan vente til rapporten, går beskeden til kontaktpersonen. Det kan være en åben adgang udefra, data, der ligger frit, eller spor efter en anden end testeren. Den amerikanske vejledning nævner også, at relevante personer bør have besked om kritiske svagheder, så snart de er fundet.
Kontaktpersonens opgave er at sikre, at beskeden når den rigtige modtager hurtigt, og at der bliver truffet en beslutning. Det betyder ikke, at kontaktpersonen selv skal rette. Skriv ned, hvornår beskeden kom, hvad den gik ud på, hvem der fik den videre, og hvad der blev besluttet. Bed testeren om at sende fundet skriftligt ad den aftalte, sikre kanal, også når det er nævnt i telefonen.
Ligner fundet tegn på en rigtig hændelse, overgår sagen til jeres beredskab, og testen mod de berørte systemer bør stoppe, mens det bliver undersøgt. → Beredskab under testen
Bekræft, at det er testeren, der ringer
En test giver en anledning, som andre kan udnytte. Ringer nogen og siger, at de er testeren og har brug for en ny adgangskode eller en åbning i firewallen, skal kontaktpersonen kunne bekræfte det. Det gøres ved at ringe tilbage til det nummer, der står i aftalen, eller ved at bruge en anden aftalt kanal.
Samme regel gælder for servicedesken. Henvendelser om testen går til kontaktpersonen, ikke direkte til den, der spørger. → Servicedesken under testen
Det, kontaktpersonen skal have klar
Inden første testdag skal kontaktpersonen have en kort mappe eller side med det, der skal bruges under testen.
- ☐ Aftalen og afgrænsningen i den godkendte udgave.
- ☐ Testerens navne, numre og afsenderadresser.
- ☐ Listen over systemer i opgaven med ejere og særlige hensyn.
- ☐ Listen over systemer, der ikke må testes.
- ☐ Navn og nummer på opgavens ejer og stedfortræder.
- ☐ Driftens vagt- og eskaleringsliste.
- ☐ Aftalen om status undervejs. → Status undervejs
Det skal I lade være med
- At udpege en kontaktperson uden tid. Rollen tager timer i testugen, og de timer skal frigøres.
- At glemme stedfortræderen. Én person er ét enkelt fejlpunkt.
- At give kontaktpersonen ansvar uden mandat. Så venter testen, mens beslutningen går rundt.
- At lade kontaktpersonen rette fund under testen. Rettelser følger ændringsstyringen, også når fundet haster. → Testen i ændringsstyringen
- At tro på en opringning uden at ringe tilbage. En test er en god anledning til at udgive sig for at være testeren.
Hvad kan og ikke kan konkluderes
En god kontaktperson gør testen mere effektiv og mindre risikabel for driften, men ændrer ikke på, hvad testen finder. Hvis testeren har ventet meget på svar eller adgang, kan det have gjort testen mindre dækkende, og det bør fremgå af rapporten. Kontaktpersonens notater fra perioden er samtidig et nyttigt bilag, når rapporten skal læses. → Driftslog over testperioden
Kilder
- NCSC (UK): Penetration testing: en teknisk kontakt, der kan nås med kort varsel, hjælper med forhindringer og alvorlige forhold; risikoejeren beslutter ændringer i afgrænsningen.
- NIST SP 800-115: planen bør nævne primære og alternative kontaktpunkter og en opkaldsplan med aktuelle kontaktoplysninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Servicedesken under testen · Alarmer under testen · Den eneste IT-medarbejder
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
