Når en penetrationstest påvirker brugerne, er det servicedesken, der får den første opringning, længe før kontaktpersonen eller testeren hører om det. Servicedesken skal derfor vide nok til at genkende en henvendelse, der kan have med testen at gøre, men ikke så meget, at testens detaljer begynder at cirkulere. Svaret hviler på en kort orientering, et par faste svar og én klar regel: alt, der ligner testen, sendes videre til kontaktpersonen, og alt andet behandles helt som normalt.
Hvad servicedesken skal have at vide
Orienteringen kan stå på en enkelt side. Den skal kunne læses af alle, der tager telefonen i perioden, også vikarer og kolleger på aftenvagt.
- Perioden · start- og slutdato og de tidsrum, hvor testeren arbejder.
- Berørte områder · i grove træk, fx kontornettet, Microsoft 365 eller en bestemt webapplikation, uden systemnavne og adresser.
- Mulige symptomer · langsomhed, låste konti eller usædvanlige meddelelser, i det omfang testtypen gør dem sandsynlige.
- Kontaktpersonen · navn, nummer og stedfortræder. → Kontaktpersonen i IT under testen
- Det, der ikke ændrer sig · alle normale procedurer for identitet, nulstilling og eskalering gælder fortsat.
Lad være med at udlevere testplanen. Servicedesken har ikke brug for den, og jo flere der kender detaljerne, jo større er risikoen for, at de havner i en mail eller et opslag.
Giv orienteringen et par dage før testen og gentag den kort på første testdag. Et kort møde, hvor servicedesken kan stille spørgsmål, fanger misforståelser, som en mail ikke gør. Aftal samtidig, hvem i servicedesken der holder øje med testsagerne, så en henvendelse ikke ligger og venter i en fælles kø, mens testeren fortsætter mod det samme system.
Tre slags henvendelser
Henvendelserne i testperioden falder i tre grupper, og det gør arbejdet lettere at kunne sortere dem hurtigt.
- Noget, der passer med testen · fx flere låste konti på én gang i et område, testen dækker. Registreres og sendes til kontaktpersonen.
- Noget, der ikke passer · fx et problem på et system, der ikke indgår i testen, eller uden for testerens tidsrum. Behandles som normalt.
- Noget, der ligner et angreb · en mistænkelig mail, en ukendt opringning eller en bruger, der har opdaget noget mærkeligt på sin maskine. Følger den normale vej for sikkerhedshændelser, uanset testen.
Den tredje gruppe er den vigtigste. En test i samme uge forklarer ikke en mistænkelig hændelse, og servicedesken skal ikke afgøre, om det er testeren. Det gør kontaktpersonen sammen med den, der leder hændelser. → Alarmer under testen
Låste konti og nulstillinger
Låste konti er en henvendelse, servicedesken kan forvente i en test, der berører login. Aftal på forhånd, hvordan de håndteres, så servicedesken ikke skal improvisere.
- Brugeren hjælpes som normalt · med den sædvanlige kontrol af identitet, før kontoen låses op.
- Mønstre meldes videre · flere låste konti på kort tid noteres og sendes til kontaktpersonen, som kan bede testeren justere.
- Testkonti røres ikke · en låst testkonto låses ikke op af servicedesken på eget initiativ. Den sag går til kontaktpersonen.
Forebyggelse af låste konti hører til aftalen og forberedelsen. → Låste konti under testen
Ingen undtagelser for den, der siger, at det er testen
En person, der ringer og siger, at vedkommende er testeren og har brug for en ny adgangskode, en oplåsning eller en ekstra rettighed, skal behandles som enhver anden, der ringer. Servicedesken giver ikke adgang, fordi nogen henviser til testen. Hvis testeren har brug for noget, går det gennem kontaktpersonen og den aftale, der er indgået.
Reglen beskytter både testen og jer. Hvis en udenforstående har hørt om testen, er det en oplagt historie at bruge. Og hvis testeren virkelig ringer, er det kun en kort omvej.
Hvis servicedesken selv skal være en del af det, der afprøves, fx ved at se, hvordan den reagerer på telefoniske henvendelser, er det en anden type opgave med andre aftaler om, hvem der må vide hvad. Den hører ikke til en almindelig teknisk test.
Faste svar til brugerne
Giv servicedesken et par korte svar, der kan bruges uden at sige for meget.
- Til brugere, der spørger om langsomhed · der arbejdes på systemerne i denne periode, og vi følger med. Sig til igen, hvis det fortsætter.
- Til brugere, der har hørt om testen · det er en planlagt kontrol af sikkerheden. Vi kan ikke sige mere om den, men alle normale regler gælder.
- Til brugere, der er bekymrede · fortæl, hvad du har set, så ser vi på det. Det er altid rigtigt at melde noget, der virker forkert.
Det sidste svar er det vigtigste. Brugere, der holder op med at melde mistænkelige ting, fordi de tror, det er testen, er et dårligere resultat end en travl uge i servicedesken. → Brugere under testen
Registrering og overlevering
Hver henvendelse, der kan have med testen at gøre, registreres som en almindelig sag med en markering, så den kan findes igen. Notér tidspunkt, bruger, symptom og hvad der blev gjort. Den markering gør det muligt at samle henvendelserne bagefter og sammenholde dem med testens tidsplan og driftsloggen. → Driftslog over testperioden
Har en driftsleverandør eller en MSP servicedesken, gælder det samme. Leverandøren skal have den samme orientering og det samme nummer til kontaktpersonen, ellers kan en sag blive løst efter leverandørens normale procedure uden at nogen hos jer hører om den.
Når testen er slut, giver servicedesken en kort opsamling til kontaktpersonen: antal sager med markering, hvilke områder de kom fra, og om noget stadig er åbent. Opsamlingen tager få minutter og giver et billede af, hvordan brugerne mærkede testen.
Det skal I lade være med
- At sende hele testplanen til servicedesken. Kort orientering er nok.
- At lade servicedesken afgøre, om noget er testen. Den sorterer og sender videre.
- At slække på kontrol af identitet. Heller ikke for en, der siger, at det er testen.
- At glemme aftenvagt og leverandørens servicedesk. De tager også telefonen.
- At lade henvendelser stå uden markering. Så kan de ikke findes, når rapporten skal læses.
Hvad kan og ikke kan konkluderes
En rolig uge i servicedesken betyder, at testen ikke generede brugerne mærkbart. Den siger intet om, hvor godt servicedesken ville modstå en henvendelse fra en, der udgiver sig for at være en anden, og intet om opdagelse af angreb. Henvendelserne kan til gengæld vise, hvor brugerne mærker ændringer først, og det er nyttigt, når rettelserne skal indføres.
Tjekliste til servicedesken
- ☐ Har alle, der tager telefonen, fået den korte orientering?
- ☐ Kender servicedesken kontaktpersonen og stedfortræderen?
- ☐ Er det aftalt, hvordan låste konti og testkonti håndteres?
- ☐ Ved alle, at kontrol af identitet gælder uændret?
- ☐ Er der en markering til sager, der kan hænge sammen med testen?
- ☐ Har en eventuel leverandørs servicedesk fået samme besked?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Kontaktpersonen i IT under testen · Beredskab under testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
