En pentestrapport kan ende med kun at blive læst af IT-chefen og de få, der skal rette, mens resten af driften kun hører, at der var nogle fund. Så går den største værdi tabt, for flere af fundene kan handle om andet end en enkelt maskine, men om vaner: hvordan konti oprettes, hvordan undtagelser gives, og hvad der sker, når noget skal gå hurtigt. Læringen sker, når hele driftsteamet gennemgår fundene sammen, med fokus på arbejdsgange frem for personer, og når det, de lærer, bliver skrevet ind i de procedurer, de arbejder efter.
Hvorfor fundene er driftens viden
En rapport beskriver tilstanden på testtidspunktet. Bag hver tilstand ligger en række beslutninger, som nogen i driften har truffet. En tjenestekonto med for brede rettigheder blev oprettet sådan, fordi det var den hurtigste måde at få en integration til at virke. En åben administrationsflade blev glemt efter en flytning. En undtagelse i reglerne for tofaktor blev givet til en leder, der rejste.
Den, der rettede fundet, ved måske, hvordan det opstod. Resten af teamet gør det ikke, og næste gang kan en anden kollega gøre det samme. → Tjenestekonti
Gennemgangen med teamet
Sæt tid af til en fælles gennemgang, når de første rettelser er i gang. Det behøver ikke være langt. Det vigtige er, at de folk, der opretter konti, sætter servere op og giver adgange i det daglige, er med.
- Udvalg af fund · vælg dem, der siger mest om arbejdsgange, ikke nødvendigvis de alvorligste.
- Hvad testeren kunne · forklar kort, hvad fundet gjorde muligt, uden at gå i detaljer om fremgangsmåden.
- Hvordan det opstod · teamet byder ind med, hvordan den slags kan opstå i jeres miljø.
- Hvad der ændres · hvilken vane eller procedure der skal være anderledes fremover.
Pas på med at bruge rapportens detaljer bredere end nødvendigt. Rapporten beskriver jeres svagheder, og ikke alle i driften behøver at se den i sin helhed. Til gennemgangen er et uddrag med de udvalgte fund og deres betydning nok.
Har I en driftsleverandør, der passer dele af miljøet, så inviter leverandørens folk med til de fund, der vedrører deres område. Arbejdsgangene hos leverandøren er lige så meget en del af årsagen som jeres egne, og en ændring i deres procedure kan have større virkning end en rettelse hos jer. Aftal på forhånd, hvilke dele af uddraget leverandøren må se, og om de selv tager læringen videre til andre i deres organisation. Leverandøren kan også have erfaringer fra lignende miljøer, som kan forklare, hvorfor fejlen opstod, uden at der skal deles noget om andre kunder.
Uden syndebukke
Gennemgangen virker kun, hvis folk tør sige, hvordan tingene faktisk foregår. Hvis den bliver en jagt på, hvem der oprettede kontoen eller glemte porten, holder folk den viden for sig selv næste gang. Fokusér derfor på, hvad der gjorde fejlen mulig: manglende tid, uklare regler, en procedure, der ikke passede til virkeligheden, eller et værktøj, der gjorde det nemmere at gøre det forkert end det rigtige.
Det betyder ikke, at intet ansvar placeres. Det betyder, at ansvaret placeres ved arbejdsgangen og hos den, der ejer den, så det bliver rettet ved roden. Et fund, der skyldtes en presset kollega, løses ikke ved en påmindelse. Det løses ved at gøre den sikre vej lettere.
Det, der skal skrives ind
Læring, der kun findes i hovederne på de tilstedeværende, forsvinder, når folk skifter job. Skriv derfor resultatet ind de steder, hvor driften arbejder.
- Procedurer · opret konto, giv adgang, sæt server op, luk et projekt. Hver procedure, fundene ramte, tilpasses.
- Tjeklister · korte kontrolpunkter i de opgaver, hvor fejlen opstod, fx ved flytning af en tjeneste.
- Standardopsætning · indstillinger, der skal være på plads fra start. → Gør rettelserne permanente
- Regler for undtagelser · hvem der kan give dem, hvordan de registreres, og hvornår de udløber. → Tofaktor med huller
- Oplæring af nye · det, nye medarbejdere i driften skal kende til fra første dag.
Hold ændringerne små og konkrete. En ny side i en håndbog, ingen læser, ændrer ikke en vane. Et ekstra felt i den formular, der bruges til at bestille en servicekonto, gør.
Hvad testen sagde om opdagelsen
En test kan også give viden om overvågningen. Så testeren noget, som jeres alarmer burde have fanget? Blev testeren opdaget, men tog det lang tid at reagere? Den slags er læring for dem, der passer overvågningen, og den skal med i gennemgangen. → Logning efter testen
Hvis driften ikke vidste, hvornår testen fandt sted, kan reaktionen fortælle noget om, hvordan en almindelig hændelse ville blive håndteret. Var testen kendt, siger det mindre om reaktionen, men meget om, hvad logningen kunne vise bagefter. → Driftslog over testperioden
Næste gang
Notér, hvad der var svært før og under testen: oplysninger, I ikke kunne finde, systemer, ingen kendte, eller beslutninger, der tog for lang tid. Det er læring om forberedelsen, og den gør næste test bedre. → Forberedelse i IT-afdelingen
Gentag gennemgangen kort, når den næste rapport kommer. Det første spørgsmål er, om de vaner, I ændrede sidst, har holdt. Står lignende fund i rapporten igen, er ændringen enten ikke slået igennem, eller den ramte ikke den egentlige årsag. Brug det som anledning til at spørge teamet igen, frem for at skrive en strammere regel ovenpå den gamle.
Det skal I lade være med
- At holde rapporten inden for en lille kreds. Driften kan ikke lære af fund, den ikke kender.
- At sende hele rapporten rundt. Brug et uddrag, der viser det nødvendige.
- At lede efter den skyldige. Så forsvinder den ærlige forklaring.
- At nøjes med en mundtlig snak. Det, der ikke skrives ind i procedurerne, går tabt.
- At lave store nye regelsæt. Små ændringer i de konkrete arbejdsgange holder bedre.
- At glemme overvågningen. Den er også en del af driften.
Hvad kan og ikke kan konkluderes
En gennemgang med teamet og tilpassede procedurer viser, at virksomheden har taget fundene til sig som noget, der skal ændre måden at arbejde på. Den viser ikke, at de nye vaner holder i en travl hverdag, eller at fejl af samme slags ikke opstår igen. Det kan kun den daglige kontrol og den næste test sige noget om.
Tjekliste til læringen
- ☐ Er der planlagt en fælles gennemgang med de folk, der driver miljøet?
- ☐ Er fundene udvalgt efter, hvad de siger om arbejdsgange?
- ☐ Bruges et uddrag i stedet for hele rapporten?
- ☐ Er fokus på arbejdsgange frem for personer?
- ☐ Er procedurer, tjeklister og oplæring opdateret?
- ☐ Er overvågningens erfaringer med i gennemgangen?
- ☐ Er det noteret, hvad der var svært i forberedelsen?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Fremdrift på rettelserne · Rapporten i næste års driftsplan
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
