Skemaet spørger til åbne fund: hvad bør I oplyse?

Spørgsmålet om åbne fund er et af de få i et sikkerhedsspørgeskema, hvor et kort ja eller nej næsten altid er for lidt. Et godt svar hviler på tre ting: at I kender status for hvert fund fra den seneste test, at I kan sige, hvornår de resterende lukkes, og at I skelner mellem det, kunden har brug for at vide, og de detaljer, der kun hører hjemme internt.

Kort sagt bør I oplyse, om der er åbne fund, hvilken alvorlighed de har, hvad planen er, og om noget er bevidst accepteret. I bør ikke beskrive, hvor svaghederne sidder, eller hvordan de kan bruges. Kunden skal kunne vurdere risikoen, ikke genskabe den.

Hvad kunden egentlig spørger om

Kunden ved godt, at en test af et levende produkt ikke altid ender helt uden fund. Det, der interesserer kundens sikkerhedsfolk, er, om I har styr på dem. Spørgsmålet kan have mange former: “Er alle kritiske og høje fund fra seneste pentest lukket?”, “Angiv antal åbne fund pr. alvorlighed” eller “Beskriv jeres proces for opfølgning på testresultater”.

Læs ordlyden nøje, før I svarer. Spørger kunden kun til kritiske og høje fund, skal svaret ikke drukne i en liste over lave. Spørger kunden til processen, er et tal ikke nok. Og spørger kunden til en bestemt test eller et bestemt år, skal svaret passe til netop den rapport. → Sikkerhedsspørgeskema fra kunden

Det, der hører med i svaret

Et brugbart svar indeholder typisk disse elementer, i kort form:

Testens dato og omfang · så kunden ved, hvilken test svaret bygger på.
Antal åbne fund pr. alvorlighed · med samme skala som rapporten.
Status · rettet, under rettelse, planlagt eller accepteret.
Plan · en dato eller en release, hvor de åbne fund forventes lukket.
Retest · om rettelserne er bekræftet af testeren, eller kun af jer selv.

Alvorligheden bør følge rapportens egen vurdering. Mange rapporter bruger CVSS, som FIRST beskriver som en måde at angive en sårbarheds alvorlighed i forhold til andre sårbarheder. Det er et fælles sprog, som kundens sikkerhedsfolk kender, men det siger ikke alene noget om risikoen i jeres produkt. Hvis skemaet bruger sin egen skala, fx tre niveauer i stedet for fem, så oversæt rapportens niveauer og skriv kort, hvordan I har gjort det, så kunden kan følge sammenhængen. Har I vurderet et fund anderledes end testeren, så sig det og forklar hvorfor, i stedet for stille at flytte det ned ad skalaen.

Det, der ikke hører hjemme i skemaet

Et spørgeskema kan blive delt bredt hos kunden, gemt i en portal og sendt videre til rådgivere. Det er ikke stedet for tekniske detaljer om en åben svaghed. Undlad derfor at beskrive, hvilken funktion eller hvilket endepunkt fundet sidder i, hvordan det blev fundet, og hvad en angriber kunne opnå trin for trin.

Hvis kunden har brug for mere, kan det ske i en kontrolleret form: et møde, en kundeversion af rapporten eller en udlevering under fortrolighed. Skriv i skemaet, at yderligere oplysninger kan gives på den måde. Det viser åbenhed uden at sende detaljerne ud i et dokument, I ikke styrer. → Åbne fund i den rapport, kunden skal have

Accepterede fund og fund, der venter

Der er forskel på et fund, der står i kø til næste release, og et fund, I har besluttet ikke at rette. Begge er åbne, men de skal forklares forskelligt.

Et fund, der venter, forklares med en plan. Et accepteret fund forklares med en begrundelse: fx at funktionen udfases, at andre beskyttelser begrænser, hvem der kan nå svagheden, eller at rettelsen afhænger af en tredjepart. Kunden skal kunne se, at beslutningen er truffet af nogen med ansvar, og at den bliver taget op igen. Hvis andre foranstaltninger dækker, er det en kompenserende foranstaltning, og den bør beskrives på begrebsniveau. → Kompenserende foranstaltninger

Et tænkt eksempel

Et softwarehus med en platform til vagtplanlægning får et skema fra en regional kunde. Spørgsmålet lyder: “Har den seneste penetrationstest åbne fund med høj eller kritisk alvorlighed?” Testen fra foråret gav ét højt fund, der er rettet og bekræftet ved retest, og et middel fund, der ligger i næste kvartals release.

Svaret bliver: “Seneste test blev udført i april med omfang som beskrevet i vedlagte erklæring. Der er ingen åbne fund med høj eller kritisk alvorlighed. Ét højt fund er rettet og bekræftet ved retest i maj. Ét fund med middel alvorlighed er planlagt rettet i næste release. Uddybning kan gives på et møde under fortrolighed.” Kunden får et præcist svar på spørgsmålet og ved, hvor mere kan hentes.

Sådan holder I svaret sandt

Status på fund ændrer sig fra uge til uge, mens svaret i skemaet står fast. Derfor bør hvert svar om åbne fund have en dato, og I bør vide, hvor oversigten over fundene ligger, og hvem der holder den ajour. Svaret i skemaet skal kunne spores tilbage til den oversigt.

Lov ikke en dato, I ikke kan holde. Hvis rettelsen afhænger af en større ombygning, så skriv det, og angiv en realistisk periode i stedet for en dag. En overskredet frist i et skema kan blive et punkt i næste års gennemgang, og nogle kunder skriver svarene ind i aftalen. → Svar, I ikke kan dokumentere · → Fund i backloggen

Det skal I lade være med

Svare nej til åbne fund, hvis der er nogle · Det bliver opdaget ved næste udlevering af rapporten.
Skrive tekniske detaljer i skemaet · Skemaet bliver delt bredere, end I tror.
Bruge en anden skala end rapporten · Kunden sammenligner og ser forskellen.
Kalde et accepteret fund for planlagt · Begrundelsen er en anden, og det skal fremgå.
Give en frist uden ejer · En dato uden ansvarlig holder sjældent.
Glemme datoen på svaret · Uden dato ved ingen, hvornår status var gældende.

Hvad kan og ikke kan konkluderes

Et svar om åbne fund viser, hvordan I har fulgt op på én bestemt test. Det siger ikke, at produktet er uden svagheder, og det dækker ikke det, testen ikke undersøgte. Et svar med status, plan og begrundelser viser til gengæld, at fundene er håndteret bevidst, og det er det, kunden vurderer.