Kontrakten kræver årlig test: sådan holder I kravet over tid

Et kontraktkrav om årlig penetrationstest er let at opfylde det første år og let at glemme det tredje, når den, der forhandlede kontrakten, har fået andre opgaver. Kravet holder over tid, hvis tre ting er på plads: en fælles forståelse af, hvad årlig betyder, en plan, der ligger fast år for år, og en dokumentation, der kan vise kunden, at hvert år faktisk er dækket. Det sidste er det sværeste at skaffe bagefter, hvis det ikke er samlet undervejs. Teksten er ikke juridisk rådgivning.

Den årlige test som almindelig rutine, og hvordan en virksomhed undgår, at den mister sin værdi, er beskrevet for køberen på penetrationtest.dk. Her handler det om den årlige test som en forpligtelse over for en kunde.

Hvad betyder årlig?

Ordet kan læses på flere måder, og forskellen kan betyde, at I er i brud uden at vide det.

Kalenderår · én test i hvert kalenderår, uanset hvornår på året.
Højst tolv måneder imellem · der må ikke gå mere end et år fra én test til den næste.
Rapportens alder · kunden skal altid kunne få en rapport, der er under et år gammel.
Fra kontraktens start · første test inden for et år fra underskriften og derefter hvert år.

Med kalenderår kan der gå næsten to år mellem to test, hvis den ene ligger i januar og den næste i december året efter. Med tolv måneder imellem skal hver test ligge tidligere end den forrige for at give luft. PCI DSS bruger formuleringen mindst én gang hver tolvte måned i krav 11.4.3, men jeres kontrakt kan sige noget andet. Skriv definitionen ind, eller spørg kunden, hvordan den læser ordet. → Krav om en rapport under et år

Hvad skal testen dække?

Et krav om årlig test siger ikke nødvendigvis noget om omfanget. Afklar, om kunden forventer, at hele produktet testes hvert år, eller om det er nok, at den del, kunden bruger, er med. Hvis kunden har købt et modul, som ikke var med i årets test, kan kunden mene, at kravet ikke er opfyldt for netop det modul. → Rapporten dækker ikke det modul, kunden køber

Afklar også, om retest af fundene er en del af den årlige forpligtelse, eller om kunden blot skal se, at testen er gennemført. Det har betydning for, hvor meget tid der skal afsættes efter selve testen.

Spørg til sidst, hvad kunden skal have udleveret hvert år. Nogle kunder vil se resuméet, andre et erklæringsbrev fra testeren, og atter andre vil blot have en bekræftelse i det årlige spørgeskema. Skriv det ind ved siden af kravet, så den, der skal sende dokumentationen om to år, ved, hvad der er lovet.

Planen år for år

Læg den årlige test ind i jeres faste planlægning, så den ikke afhænger af en enkelt persons hukommelse. Det kan ske i jeres årshjul for sikkerhedstest, hvor testen placeres ud fra kundernes fornyelser og skemaer. → Et årshjul for sikkerhedstest i et softwarehus

Bestil testen i god tid. En tester, der ikke kan begynde før om flere måneder, kan få jer til at overskride tolv måneder. Hvad der påvirker testens omfang og dermed budgettet, fx antal moduler, roller og integrationer, kan I drøfte, når I beder om pris og tilbud.

Planlæg også for det år, hvor noget går galt, for det kommer før eller siden: en tester, der melder afbud, en større release, der skubber testen, eller et skift af tester. Aftal med kunden på forhånd, hvordan I melder en forsinkelse, og hvad kunden får i mellemtiden, fx den seneste rapport, status på fund og en ny dato. En forsinkelse, der meldes i tide, er lettere for kunden at håndtere end en, kunden selv opdager.

Dokumentationen, der viser, at kravet er holdt

Kunden spørger måske først efter flere år, og så skal I kunne vise hele rækken. Før en enkel oversigt pr. kontrakt med kravet.

Testperiode · hvornår hver test blev udført, ikke kun rapportens dato.
Omfang · hvad der var med, og om det dækkede det, kunden bruger.
Tester · hvem der testede, så kravene til testeren kan efterprøves.
Fund og retest · hvad der blev fundet, rettet og efterprøvet.
Udlevering · hvornår kunden fik rapporten, resuméet eller erklæringen.

Oversigten gør det også let at svare, når kunden sender sit årlige spørgeskema, og den viser jer, hvornår næste test senest skal ligge. → Log over, hvem der har fået rapporten

Når produktet ændrer sig mellem to test

Et krav om årlig test kan læses som et minimum. Kunden kan forvente, at en større ændring i produktet bliver testet, før der er gået et år, også selvom kontrakten kun nævner den årlige test. PCI DSS kræver for eksempel test både mindst hver tolvte måned og efter væsentlige ændringer. Hvis jeres kontrakt ikke siger noget om ændringer, så overvej at skrive, hvordan I håndterer dem. → Ændringer, der kræver en ny test

Et tænkt eksempel

Et softwarehus leverer en medarbejderplatform til byggefirmaer. Tre kundekontrakter kræver årlig test: den ene efter kalenderår, den anden med højst tolv måneder imellem og den tredje uden definition.

Softwarehuset spørger den tredje kunde og får at vide, at kunden regner med rapportens alder. Testen lægges derfor fast hvert år i samme måned, så alle tre krav er dækket med luft. Oversigten over kontrakter med krav om årlig test får en kolonne for hver kundes definition og en dato for, hvornår næste test senest skal være afsluttet.

Det skal I lade være med

Lade årlig stå udefineret · tre kunder kan læse ordet på tre måder.
Bestille testen, når fristen nærmer sig · så kan testerens kalender få jer til at overskride den.
Teste et andet omfang end det, kunden køber · så er kravet måske ikke opfyldt for kunden.
Gemme dokumentationen i mailtråde · kunden spørger måske først om flere år.
Gå ud fra, at den årlige test dækker store ændringer · kunden kan forvente mere.

Hvad kan og ikke kan konkluderes

En række årlige test viser, at produktet er blevet afprøvet med faste mellemrum, og at kontrakten er overholdt på det punkt. Den siger ikke, at produktet var uden svagheder mellem testene, og den erstatter ikke vurderingen af, om en ændring kræver en test.