Ejeren af en mindre virksomhed har fået en pentestrapport med tekniske fund, alvorsgrader og anbefalinger, og den første, der bliver ringet til, er jer. Kunden har ingen IT-afdeling og forventer, at driftsleverandøren kan forklare, hvad der står. Rollen som oversætter hviler på en klar arbejdsdeling: I forklarer, hvad fundene betyder i netop dette miljø, og hvad det vil kræve at rette dem. Kunden beslutter, hvad der skal gøres, og i hvilken rækkefølge.
Den grænse er vigtigere, end den lyder. Når kunden ikke selv kan læse rapporten, bliver jeres forklaring i praksis beslutningsgrundlaget.
Hvorfor kunden har brug for en oversætter
En pentestrapport er skrevet til en læser, der kender begreberne. Den bruger alvorsgrader, tekniske betegnelser og henvisninger til systemer, som kunden måske ikke ved, de har. Resuméet hjælper, men det forudsætter stadig, at nogen kan sætte det i forhold til virksomheden.
Hos en kunde uden egen IT er I den eneste part, der både kender miljøet og forstår rapporten. penetrationtest.dk forklarer køberen, hvordan en rapport læses. Her handler det om jeres side: hvordan I forklarer, uden at overtage beslutningen.
Fra alvorsgrad til betydning
Rapportens alvorsgrad er en teknisk vurdering. FIRST, der udgiver CVSS, beskriver scoren som et mål for sårbarhedens alvor i forhold til andre sårbarheder, og anbefaler, at brugerne supplerer den med forhold i deres eget miljø, før den indgår i en risikovurdering. Det er netop den supplering, kunden har brug for jeres hjælp til.
For hvert fund kan I svare på fire spørgsmål i et sprog, kunden forstår:
- Hvad drejer det sig om · hvilket system, og hvad bruges det til i virksomheden.
- Hvad kunne ske · i forretningstermer, fx at en udenforstående kunne læse kundekartoteket eller standse fakturering.
- Hvad skal der til · en mindre ændring, et projekt eller en udskiftning.
- Hvem skal gøre det · jer, en anden leverandør eller kunden selv.
Undgå at gøre fund mere eller mindre alvorlige end rapporten. Et fund, der lyder voldsomt, kan have lille betydning i et miljø, hvor systemet næsten ikke bruges, og et fund med middel alvor kan ramme det system, hele forretningen hviler på. Den forskel er netop det, kunden ikke selv kan se. Hvis I er uenige i testerens vurdering, så sig det, begrund det og foreslå, at kunden spørger testeren.
Mødet med kunden
En gennemgang ansigt til ansigt eller på video fungerer bedre end en mail med kommentarer. Kunden kan spørge, og I kan se, hvad der bliver forstået.
- Begynd med helheden · hvad blev testet, og hvad er det samlede billede.
- Tag de alvorlige fund først · et ad gangen, med de fire svar ovenfor.
- Saml de mindre fund i grupper · fx opdateringer, adgangskoder og gamle konti.
- Afslut med valgmulighederne · hvad kan rettes inden for aftalen, hvad kræver en beslutning om ressourcer, og hvad kan vente.
Inviter gerne testeren med til mødet, hvis kunden har den mulighed. Så kan tekniske spørgsmål besvares af den, der fandt fundet.
Rådgivning uden at beslutte
Kunden vil måske sige “gør bare det, I synes”. Det er en forståelig reaktion, men det flytter et ansvar, som ikke er jeres. NCSC skriver i sin vejledning om penetrationstest, at risikovurdering og beslutninger om rettelser er organisationens eget ansvar, og at det ikke bør overlades helt til testholdet. Det samme gælder over for driftsleverandøren.
Giv derfor en anbefaling, men lad kunden vælge. Skriv ned, hvad kunden besluttede, og hvad I anbefalede. Hvis kunden vælger at vente med et alvorligt fund, skal det stå klart, at det var kundens valg på et oplyst grundlag. → Status til ledelsen
Rettelserne og jeres egen rolle
Når kunden har besluttet, bliver I måske dem, der skal udføre en del af rettelserne. Hold de to roller adskilt. Som oversætter forklarer I, hvad der skal ske. Som leverandør laver I et tilbud eller en plan for det, der ligger uden for aftalen. → Rettelser efter kundens test
Vær åben om, at nogle fund kan handle om jeres egen drift. En kunde uden IT kan ikke selv vurdere det. Hvis et fund skyldes jeres opsætning, så sig det i mødet, ikke først når kunden opdager det. → Fund hos kunden og MSP’ens ord
Fund i systemer, som andre leverandører passer, skal også forklares, men rettelsen sendes videre. → Fund i systemer, MSP’en ikke drifter
Når kunden skal svare andre om testen
En lille virksomhed kan blive spurgt om testen af andre: en større kunde, et forsikringsselskab eller en samarbejdspartner. Ejeren vender sig igen mod jer for at få hjælp til svaret. Her skal I være varsomme.
Hjælp kunden med at forstå spørgsmålet og finde de relevante oplysninger i rapporten, fx dato, omfang og status på de alvorlige fund. Men lad kunden stå som afsender, og lad være med at skrive under på noget om kundens sikkerhed. I kan beskrive, hvad I har rettet, men ikke erklære, at virksomheden lever op til et krav.
Rapporten selv bør ikke sendes videre uden overvejelse. Den beskriver svagheder i detaljer, og modtageren har ikke nødvendigvis brug for mere end et sammendrag. Foreslå kunden at bede testeren om et kort resumé, der kan deles, hvis spørgsmålene kommer igen. Det skåner både kunden og jer for at skulle udvælge afsnit hver gang.
Det skal I lade være med
- At træffe beslutningen for kunden · I anbefaler, kunden vælger.
- At nedtone fund i jeres egen drift · en kunde uden IT er afhængig af, at I er åbne.
- At oversætte med teknisk sprog · forklar i forretningstermer, hvad der kunne ske.
- At ændre testerens alvorsgrad uden begrundelse · uenighed skal siges og begrundes.
- At blande forklaring og salg · hold oversætterrollen adskilt fra tilbuddet.
- At lade beslutningen stå mundtligt · skriv ned, hvad kunden valgte.
Hvad kan og ikke kan konkluderes
Jeres forklaring kan hjælpe kunden med at forstå, hvad fundene betyder i virksomheden, og hvad det vil kræve at rette dem. Den gør ikke kunden i stand til at vurdere alle tekniske detaljer, og den erstatter ikke rapporten. Jeres vurdering er heller ikke uafhængig, når fundene vedrører jeres egen drift; det skal kunden vide.
Tjekliste før mødet med kunden
- ☐ Har I læst hele rapporten og noteret de fund, der vedrører jeres drift?
- ☐ Har hvert alvorligt fund et svar på hvad, hvad kunne ske, hvad skal der til og hvem?
- ☐ Er de mindre fund samlet i grupper?
- ☐ Er det klart, hvad der ligger inden for aftalen, og hvad der kræver en beslutning?
- ☐ Er testeren inviteret, hvis kunden ønsker det?
- ☐ Er der en skabelon til at skrive kundens beslutninger ned?
Kilder
- FIRST: CVSS v4.0 Specification Document: scoren angiver sårbarhedens alvor i forhold til andre; brugerne opfordres til at supplere med forhold i eget miljø som input til risikovurdering.
- NCSC (UK): Penetration testing: risikovurdering og beslutninger om rettelser er organisationens eget ansvar og bør ikke overlades helt til testholdet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Fra fund til ticket · Hurtige rettelser
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
