En MSP, der driver kundernes IT, bliver trukket ind i deres penetrationstest, uanset om kunden har bedt om det, og spørgsmålene kommer hurtigt: skal vi bestille den, må vi give lov, og er rettelserne vores regning? Svaret hviler på en enkel fordeling, som skal stå skrevet, før den første test går i gang: kunden bestiller og ejer risikoen, MSP’en bidrager og retter inden for det, aftalen dækker, og alt andet aftales særskilt. Køberens korte opslag om IT-leverandører og test står på penetrationtest.dk. Her er det MSP’ens side af sagen.
Tre roller, der skal holdes adskilt
Det, der gør emnet uklart, er, at MSP’en har tre forskellige roller på samme tid.
- Driftsleverandør · I passer kundens miljø og har adgang til det.
- Rådgiver · kunden spørger jer, om de skal teste, og hvad testen skal omfatte.
- Testområde · jeres egne konti, værktøjer og forbindelser er en del af det, der testes.
Hver rolle giver forskellige pligter. Som driftsleverandør skal I hjælpe testen og rette. Som rådgiver skal I være åbne om, at I selv har en interesse i resultatet. Som testområde skal I tåle, at testeren ser på jeres adgang til kunden. → Fælles administrationskonti hos MSP’en
Hvem bestiller
Kunden bestiller. Det er kundens systemer og data, og det er kunden, der skal give tilladelse til, at nogen afprøver dem. MSP’en kan ikke give tilladelsen i kundens sted, selv om I har administratoradgang til alt.
MSP’en kan godt hjælpe med at formulere opgaven, finde frem til en tester og stille oplysninger til rådighed. Men kontrakten om testen bør være mellem kunden og testeren, og rapporten bør gå til kunden. Det giver kunden et grundlag, der ikke er filtreret gennem den leverandør, der har bygget miljøet. → Når kunden bestiller testen
Hvis MSP’en selv vil tilbyde test som en del af sine ydelser, bør testen udføres af en uafhængig part. En driftsleverandør, der tester sin egen drift, kan ikke give kunden det uvildige billede, testen skal give. → Penetrationstest i MSP’ens ydelser
Hvem godkender, og hvad I skal kræve
Selv om kunden bestiller, påvirker testen jeres drift og måske jeres egne systemer. I har derfor ret til at kende omfanget og få det, I skal bruge for at holde driften kørende.
- Skriftlig tilladelse fra kunden · der viser, at testen er bestilt af den, der råder over systemerne.
- Omfang og tidspunkt · hvilke systemer, hvilke dage, og om jeres egne værktøjer er med.
- Kontakt · hvem I ringer til hos testeren og hos kunden, hvis noget går galt.
- Grænser for jeres egne systemer · det, der ejes af jer og deles med andre kunder, kræver jeres egen beslutning.
Delte platforme kræver særlig opmærksomhed. En test af én kundes miljø må ikke ramme andre kunders data eller drift. Sig nej til den del af omfanget, indtil det er afklaret, hvordan de andre kunder er beskyttet, og hvem der har givet lov på deres vegne. → MSP’ens godkendelse af testen
Hvem har ansvaret for fundene
Kunden ejer risikoen. Det er kunden, der beslutter, hvad der skal rettes, hvad der kan vente, og hvad der accepteres. MSP’en har ansvaret for det, aftalen siger, at I har ansvaret for.
Den fælles vejledning fra myndighederne i blandt andet USA, Storbritannien og Australien om MSP’er og deres kunder anbefaler, at kontrakter tydeligt fordeler ansvaret, og at kunden sikrer sig, at aftalen angiver, om MSP’en eller kunden ejer opgaver som hærdning, opdagelse og håndtering af hændelser. Har aftalen ikke den fordeling, viser testen det hurtigt, fordi det første fund rejser spørgsmålet om, hvem der skulle have forhindret det.
Fund, der skyldes noget, I har sat op, skal I være åbne om. At forklare et fund væk over for kunden skader tilliden mere end selve fundet. → Fund hos kunden
Hvem retter
Rettelserne følger aftalen. Det, der ligger inden for den aftalte drift, retter I som en del af den. Det, der ligger uden for, er en ekstra opgave, som kunden skal bestille. Det gælder også fund i systemer, I slet ikke drifter. → Rettelser efter kundens test
- Inden for aftalen · opdateringer, opsætning og konti, I allerede passer.
- Uden for aftalen · nye løsninger, arkitekturændringer og systemer, der ikke er en del af driften.
- Uafklaret · fund, hvor aftalen ikke er klar. De skal afklares med kunden, før arbejdet starter.
Gør det tydeligt for kunden, hvilken gruppe hvert fund hører til, helst i en skriftlig oversigt, kunden kan godkende, før arbejdet begynder. Hvordan opgaverne uden for aftalen prissættes, hører til jeres egne betingelser og ikke til rapporten. Det forhindrer, at rettelser ligger stille, fordi begge parter venter på den anden. → Fund i systemer, MSP’en ikke drifter
Når fundet ligger hos jer selv
Nogle fund handler ikke om kundens miljø, men om jeres måde at drive det på: fælles konti, brede rettigheder i fjernstyringsværktøjer eller adgang, der går på tværs af kunder. Myndighedernes vejledning peger på, at MSP’er skal bruge mindst mulig adgang, ikke genbruge administratoradgang på tværs af kunder og holde kundernes data adskilt fra hinanden.
Sådan et fund rammer måske ikke kun den kunde, der bestilte testen. Ret det i jeres egen platform, og overvej, om andre kunder skal orienteres. → Samme fund hos mange kunder
Det skal I lade være med
- At give tilladelse i kundens sted. Tilladelsen skal komme fra den, der råder over systemerne.
- At teste jeres egen drift og kalde det uafhængigt. Kunden får ikke det billede, testen skal give.
- At lade aftalen være tavs om ansvaret. Det første fund bliver en diskussion i stedet for en rettelse.
- At forklare fund væk. Åbenhed om egne fejl bevarer tilliden.
- At rette uden at afklare, hvem der betaler. Uafklarede opgaver bliver til uenighed senere.
- At glemme de andre kunder. Et fund i jeres platform kan gælde dem alle.
Hvad kan og ikke kan konkluderes
En klar fordeling af bestilling, ansvar og rettelser gør det muligt for MSP’en at hjælpe testen uden at overtage kundens beslutninger. Den siger ikke noget om, hvor sikkert kundens miljø eller jeres platform er. Det er det, testen skal vise. Teksten er ikke juridisk rådgivning, og jeres egne aftaler går forud.
Tjekliste til MSP’en
- ☐ Er det kunden, der bestiller testen og modtager rapporten?
- ☐ Har I skriftlig tilladelse fra kunden, omfang og kontaktpersoner?
- ☐ Er jeres egne og delte systemer afklaret, før testen starter?
- ☐ Fordeler driftsaftalen ansvaret for hærdning, opdagelse og hændelser?
- ☐ Er hvert fund placeret inden for, uden for eller uafklaret i forhold til aftalen?
- ☐ Er fund i jeres egen platform vurderet for andre kunder?
Kilder
- CISA m.fl.: Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A): fælles vejledning fra myndigheder i USA, Storbritannien, Australien, Canada og New Zealand; kontrakter skal fordele ansvaret klart, herunder for hærdning, opdagelse og hændelseshåndtering; MSP’er skal bruge mindst mulig adgang, ikke genbruge administratoradgang på tværs af kunder og adskille kundernes data.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: MSP’ens godkendelse af testen · Test af MSP’ens egen sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
