Kunden ringer efter at have læst rapporten og vil vide, hvor slemt det er. Eller I har selv opdaget, at en opsætning hos kunden har været svag i et halvt år, og skal fortælle det. I begge tilfælde afhænger kundens tillid mindre af selve fundet end af samtalen bagefter. En god samtale om et fund siger, hvad det betyder i almindeligt sprog, hvem der handler, og hvad kunden selv skal beslutte. Den hverken nedtoner eller dramatiserer, og den holder sig til det, der faktisk er konstateret.
Samtalen er en del af driften. Den kan forberedes på samme måde som en rettelse.
Hvornår samtalen opstår
Fundet kan komme til jer ad flere veje, og vejen påvirker, hvad I skal sige:
- Kundens egen test · kunden har rapporten og spørger jer om betydningen. → Kunden har bestilt en test
- Jeres egen test · en test af jeres platform viser noget, der berører kunden.
- Et fælles fund · en svaghed i jeres standard, som I har fundet hos en anden kunde. → Samme fund hos mange kunder
- Jeres daglige arbejde · en tekniker opdager en svaghed under en anden opgave.
I de to sidste tilfælde er det jer, der tager initiativet. Det skal ske hurtigt, også selv om rettelsen ikke er klar endnu. En kunde, der senere opdager, at I kendte til svagheden og ventede, vil spørge, hvad I ellers ikke har fortalt. Ved et fund fra kundens egen test er det omvendt kunden, der har informationen, og jeres opgave er at svare hurtigt og præcist.
Det, I skal sige
Kunden har brug for at forstå fundet godt nok til at kunne beslutte. Byg samtalen op omkring fem punkter:
- Hvad der er fundet · i almindeligt sprog, uden tekniske detaljer, kunden ikke kan bruge.
- Hvad det kan betyde · hvilke oplysninger eller funktioner der er berørt, og hvem der kunne udnytte svagheden.
- Hvad I allerede har gjort · de foreløbige skridt, som begrænser risikoen, indtil rettelsen er på plads.
- Hvad der skal ske · rettelsen, hvem der udfører den, og hvornår kunden kan forvente status.
- Hvad kunden skal beslutte · fx om en ny opgave skal sættes i gang, eller om en undtagelse skal fastholdes.
Hvis fundet skyldes jer, så sig det. En forklaring på, hvordan det skete, og hvad I ændrer, vejer tungere end en undskyldning.
Forbered samtalen, før I ringer. Find rapportens beskrivelse af fundet frem, læs testerens vurdering af alvoren, og aftal internt, hvem der fører ordet, og hvem der svarer på de tekniske spørgsmål. Følg op med en kort skriftlig opsummering samme dag. Kunden skal kunne læse, hvad der blev sagt, når samtalen er glemt, og vise det til andre i virksomheden.
Det, I ikke skal sige
Nogle formuleringer ligger lige for, men skader samtalen:
- Nedtoning · “det er ikke så slemt”, når rapporten siger noget andet. NCSC (UK) advarer mod at nedtone fund i en penetrationstest.
- Skyld på testeren · “testerne finder altid noget”. Hvis I mener, fundet er forkert, så sig det sagligt og bed testeren afklare det.
- Garantier · “nu er I sikre”. En rettelse lukker et fund, den gør ikke miljøet sikkert.
- Spekulation · om fundet har været misbrugt, uden at det er undersøgt.
- Juridiske vurderinger · om kunden har pligt til at anmelde noget eller har brudt en regel. Det er kundens vurdering, eventuelt med egen rådgivning.
- Andre kunders forhold · heller ikke for at berolige med, at “det er det samme overalt”.
Når kunden spørger, om nogen har været inde
Det er det spørgsmål, der fylder mest hos kunden, og det svar, der er sværest at give. En penetrationstest viser, at en svaghed fandtes, ikke om den er blevet brugt. Sig det klart. Hvis der er grund til at undersøge det, så forklar, hvad en undersøgelse kan omfatte, og hvilke logfiler der findes. Lov ikke et svar, I ikke kan give. Hvis jeres logfiler ikke rækker langt nok tilbage, så sig også det, og brug det som anledning til at tale om, hvad der bør gemmes fremover.
Hvis I eller kunden finder tegn på, at nogen faktisk har været inde, er det ikke længere en samtale om et fund, men en hændelse, der skal håndteres efter kundens beredskabsplan. → Beredskabsplanen efter testen
Hvem der beslutter hvad
En tydelig rollefordeling gør samtalen lettere. I vurderer den tekniske del: hvad fundet er, hvordan det rettes, og hvad det kræver. Kunden vurderer betydningen for virksomheden og beslutter, hvad der skal prioriteres, hvad der må koste, og hvilke risici der kan accepteres. NCSC (UK) understreger, at vurderingen af risiko og valget af afhjælpning forbliver organisationens eget ansvar. For en MSP betyder det, at I rådgiver, men at kunden beslutter.
Hvis kunden vælger ikke at følge jeres anbefaling, så respekter det, men bed om at få beslutningen skriftligt. Skriv beslutningerne ned efter samtalen, og send dem til kunden. Det giver begge parter et fælles udgangspunkt, når status gives senere. → Rettelser efter kundens test
Kunder uden IT-afdeling
Hos små kunder er det måske direktøren eller bogholderen, I taler med. Her er jeres rolle at oversætte, ikke at forenkle så meget, at alvoren forsvinder. Brug eksempler fra kundens egen hverdag: hvilke mapper, hvilken mail, hvilket system. Og giv kunden noget at gøre, fx en beslutning eller en dato for næste status. Undgå fagudtryk, eller forklar dem første gang, de bruges. → MSP’en som oversætter af rapporten
Det skal I lade være med
- At vente med at fortælle om et fund, til rettelsen er klar · kunden skal kende risikoen.
- At nedtone alvoren · kunden beslutter på et forkert grundlag.
- At love sikkerhed · en lukket svaghed er ikke en garanti.
- At gætte på misbrug · sig, hvad der er undersøgt, og hvad der ikke er.
- At give juridiske vurderinger · henvis til kundens egen rådgivning.
- At tale om andre kunder · fortroligheden gælder alle.
Hvad kan og ikke kan konkluderes
En samtale om et fund kan give kunden et grundlag for at beslutte og en fælles forståelse af, hvem der gør hvad. Den kan ikke ændre fundets alvor, og den kan ikke erstatte en undersøgelse, hvis der er mistanke om misbrug. Det, I siger, skal kunne stå ved siden af rapporten uden at modsige den.
Tjekliste til samtalen
- ☐ Kan I forklare fundet i almindeligt sprog?
- ☐ Ved I, hvilke oplysninger og funktioner der er berørt?
- ☐ Er midlertidige tiltag beskrevet?
- ☐ Er det klart, hvad kunden skal beslutte?
- ☐ Har I undgået garantier og gætterier?
- ☐ Er beslutningerne skrevet ned og sendt til kunden?
Kilder
- NCSC (UK): Penetration testing: fund må ikke nedtones, og vurderingen af risiko og valget af afhjælpning forbliver organisationens eget ansvar.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Fund i systemer, MSP’en ikke drifter · Fremdrift på rettelserne
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
