Rapporten fra kundens test ligger på bordet, og kunden spørger, hvornår fundene er rettet. Før I kan svare, skal I vide, hvilke fund der hører under den drift, I allerede leverer, hvilke der er nye opgaver, og hvilke der slet ikke er jeres. Svaret hviler på driftsaftalen og på en ærlig vurdering af, hvorfor hvert fund er opstået. Uden den fordeling ender rettelserne i en diskussion om betaling, mens svaghederne står åbne.
Fordelingen er ikke en forhandling om skyld. Den er en plan, som både kunden og I kan stå inde for.
Fire spande til fundene
Gå rapporten igennem sammen med kunden, og placer hvert fund i én af fire grupper:
- Aftalt drift · fundet ligger inden for det, I har påtaget jer, fx opdateringer, I skulle have installeret, eller en opsætning, der afviger fra jeres egen standard.
- Ny opgave · rettelsen kræver noget, aftalen ikke omfatter, fx en ny opdeling af nettet, en ændret måde at logge på eller udskiftning af et system.
- Kundens beslutning · fundet handler om forhold, kunden selv har valgt, fx en undtagelse fra tofaktor for en direktør eller en adgang, kunden har bedt om.
- Andres ansvar · fundet ligger i et system, som en anden leverandør passer. → Fund i systemer, MSP’en ikke drifter
Lav fordelingen på et møde med både kundens beslutningstager og jeres tekniske ansvarlige, så spørgsmål kan afklares med det samme. Grupperne bestemmer, hvem der handler, og hvordan det afregnes. De bestemmer ikke, hvor hurtigt et alvorligt fund skal lukkes, og de bør ikke forsinke arbejdet, mens fordelingen diskuteres. Det afgøres af alvorligheden og af kundens vurdering af betydningen. → Fra fund til opgave
Når aftalen ikke giver svaret
En driftsaftale kan være skrevet til den daglige drift og sige meget lidt om sikkerhedsfund. Så skal fordelingen ske ud fra, hvad aftalen faktisk beskriver, og hvad der er rimeligt at forvente af en driftsleverandør. Spørg for hvert fund: var det en del af det, kunden kunne regne med, at I passede? Eller kræver rettelsen, at noget bygges om?
Når et fund ligger midt imellem, så del det op. Den del, der handler om at bringe opsætningen tilbage til jeres egen standard, hører under driften. Den del, der hæver standarden ud over det aftalte, er en ny opgave. Opdelingen gør det muligt at komme i gang med det, der er klart, mens resten afklares.
Den fælles anbefaling til MSP’er og kunder fra NCSC (UK), CISA og andre myndigheder lægger vægt på, at kontrakten tydeligt beskriver, hvilke ydelser kunden køber, og hvilke den ikke køber. En test, der afslører grå zoner, er en anledning til at skrive aftalen tydeligere bagefter.
Når fundet skyldes jer
Nogle fund er jeres egne fejl: en opdatering, der ikke blev installeret, en konto, der ikke blev lukket, en opsætning, der aldrig blev færdig. Sig det direkte, og ret det inden for aftalen. Kunden vurderer jer mere på, hvordan I håndterer fundet, end på, at det findes. Forklar kort, hvorfor det skete, og hvad I ændrer i jeres egne rutiner, så det ikke gentager sig hos kunden.
Se også efter, om fejlen er sket hos andre kunder. Hvis årsagen er en skabelon eller en procedure, er rettelsen hos én kunde kun halvdelen af opgaven. → Samme fund hos mange kunder
Nye opgaver uden at bremse
Når et fund kræver en ny opgave, kan det tage tid at få et tilbud godkendt hos kunden. Det må ikke betyde, at et alvorligt fund står åbent imens. Foreslå en midlertidig afhjælpning, som kan sættes i værk inden for den aftalte drift, og giv kunden et skriftligt forslag til den egentlige rettelse ved siden af. → Midlertidige afhjælpninger
Beskriv i forslaget, hvad rettelsen løser, hvad den kræver af kunden, hvilken nedetid den kan medføre, og hvad der sker, hvis den udskydes. Det giver kunden et grundlag for at beslutte, også hvis beslutningen er at acceptere risikoen for en periode. Aftal i så fald en dato, hvor beslutningen tages op igen.
Kundens egne valg
Når et fund skyldes en beslutning, kunden selv har truffet, er jeres opgave at forklare konsekvensen og pege på mulighederne. I kan ikke tvinge en ændring igennem, men I kan sørge for, at beslutningen bliver truffet bevidst og skrevet ned. Peg gerne på en mellemvej, fx at undtagelsen begrænses til færre personer eller får en slutdato, så risikoen bliver mindre, uden at kunden mister det, undtagelsen skulle løse. Hvis kunden vælger at fastholde undtagelsen, bør det fremgå af en skriftlig accept fra en, der kan forpligte kunden. Den skriftlige accept beskytter begge parter, hvis spørgsmålet kommer op igen.
Planen, der kommer ud af det
Resultatet af gennemgangen er en fælles liste: fund, gruppe, ansvarlig, frist og status. Listen bruges til opfølgning og til den retest, kunden kan bestille bagefter. Noter for hvert lukket fund, hvad der blev gjort, og hvornår, så kunden kan give testeren et præcist billede ved retesten. Hold den ajour, og giv kunden status med faste mellemrum, så ingen skal spørge. → Fremdrift på rettelserne
Når I har været igennem en kundes test på denne måde, har I også et grundlag for at forbedre jeres aftaler. Skriv ned, hvilke fund der gav uenighed, og brug det, når aftalen fornyes eller nye kunder kommer til.
Det skal I lade være med
- At starte med prisen · start med alvorligheden og fordelingen.
- At lade alvorlige fund vente på et tilbud · brug en midlertidig afhjælpning imens.
- At skjule egne fejl som nye opgaver · det skader tilliden mere end fejlen.
- At rette kundens valg uden aftale · beslutningen er kundens.
- At tage fund fra andre leverandører på jer uden aftale · I kan hjælpe, men ansvaret skal være klart.
- At lade listen gå i stå · uden status mister kunden overblikket.
Hvad kan og ikke kan konkluderes
Fordelingen viser, hvem der har ansvaret for at rette hvert fund, og hvordan det håndteres i forhold til aftalen. Den siger ikke, at aftalen er dækkende for kundens sikkerhed fremover, og den er ikke en juridisk vurdering af ansvar. Ved uenighed om, hvad aftalen dækker, er det aftalens ordlyd og eventuel rådgivning, der afgør det. Teksten er ikke juridisk rådgivning.
Tjekliste til fordelingen
- ☐ Er hvert fund placeret i en af de fire grupper?
- ☐ Er alvorlige fund prioriteret uanset gruppe?
- ☐ Er egne fejl rettet inden for aftalen?
- ☐ Har nye opgaver et skriftligt forslag?
- ☐ Er kundens egne valg accepteret skriftligt?
- ☐ Er der en fælles liste med ansvarlig og frist?
- ☐ Er grå zoner noteret til næste aftale?
Kilder
- NCSC (UK), CISA, NSA, FBI m.fl.: Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A): anbefaling om, at kontrakten tydeligt beskriver, hvilke ydelser kunden køber og ikke køber, og fordeler ansvaret.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Hurtige rettelser og større projekter · Klar til retest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
