Kunden vil have alle fremtidige rapporter

Et krav om at få hver ny pentestrapport, så længe aftalen løber, lyder enkelt, men det binder jer til at udlevere dokumenter, der endnu ikke er skrevet, med indhold, I ikke kender. Svaret hviler på at adskille kundens behov fra kravets form: kunden har brug for løbende at vide, at produktet bliver testet, og at fundene bliver håndteret, men ikke nødvendigvis for hver rapport i fuld længde. En løbende forpligtelse kan godt accepteres, når formen og tidspunktet er aftalt.

Teksten er ikke juridisk rådgivning.

Hvorfor kunden vil have det

En rapport er et øjebliksbillede. NCSC i Storbritannien beskriver, at en test kun kan vise, hvordan systemet så ud på testdagen. Kunden, der har vurderet jer på grundlag af sidste års rapport, ved, at den bliver forældet, og vil sikre sig at få den næste uden at skulle spørge. For kunden er kravet en måde at undgå, at vurderingen af jer går i stå mellem to fornyelser. For jer er det en anledning til at aftale én fast form, der kan bruges hvert år, frem for at forhandle forfra, hver gang en ny rapport ligger klar.

Kravet kan også komme af kundens egne regler. En leverandørpolitik kan kræve, at dokumentationen for en kritisk leverandør er aktuel, og så er det lettere for kunden at skrive det ind i kontrakten end at minde jer om det hvert år. → Kontrakten kræver årlig test

Det, et ja indebærer

Et ja til alle fremtidige rapporter er et løfte om noget, I ikke har set. Det har flere følger, som er værd at tænke igennem, før I skriver under.

Indholdet er ukendt · den næste rapport kan have alvorlige fund, som endnu ikke er rettet.
Formen er bundet · står der “rapporten”, kan kunden kræve den fulde rapport, også hvis I ellers udleverer resuméer.
Tidspunktet er uklart · kunden kan forvente rapporten, før I har nået at vurdere den.
Alle test tæller med · også en mindre test af en enkelt funktion kan blive omfattet.
Flere kunder med samme krav giver flere udleveringer · hver udlevering skal håndteres og registreres.

Ingen af dem er grund til at sige nej. De er grund til at præcisere, hvad kravet omfatter.

Præciser formen

Det vigtigste at aftale er, hvad kunden får. Den fulde rapport er skrevet til jer og til udviklerne, ikke til en kunde. En kundeversion, et resumé eller en erklæring fra testeren kan dække kundens behov og være lettere at udlevere til alle. → Hel rapport, resumé eller erklæring

Aftal også, hvordan dokumentet udleveres. Læseadgang i en portal giver jer mere kontrol end en vedhæftet fil, og det gør det enklere at holde styr på, hvad den enkelte kunde har set. → Læseadgang eller vedhæftet fil

Når flere kunder har samme krav, bliver registreringen vigtig. Notér for hver kunde, hvilken form der er aftalt, hvornår dokumentet senest er udleveret, og hvem der har modtaget det. Så kan I svare præcist, hvis kunden spørger, om de har fået det, de har krav på, og I kan se, hvem der skal have det næste dokument, når en ny test er afsluttet. → Log over, hvem der har fået rapporten

Præciser tidspunktet og omfanget

Kravet bør sige, hvornår kunden får det nye dokument. Et naturligt tidspunkt er, når testen er afsluttet, og fundene er vurderet, så dokumentet kan ledsages af en status for, hvad der er rettet. Det giver jer tid til at forstå resultatet, før det forlader huset.

Aftal også, hvilke test der er omfattet. Den faste test af produktet er det oplagte. Mindre test af en enkelt funktion, test af kontornettet og kundespecifikke test hører ikke nødvendigvis med. → Version og testdatoer

Tænk også på aftalens afslutning. Kravet gælder, så længe aftalen løber, men hvad med dokumenter, kunden allerede har fået? Det kan aftales, at kunden ved ophør sletter eller returnerer udleverede rapporter, eller at fortroligheden fortsat gælder for dem. Det hører naturligt sammen med de øvrige vilkår om fortrolighed.

Når den nye rapport har åbne fund

Den største bekymring ved en løbende forpligtelse er rapporten med alvorlige fund, som endnu ikke er rettet. Kravet bør ikke tvinge jer til at sende detaljer om en åben sårbarhed ud til alle kunder. Det kan aftales, at dokumentet udleveres med en status for fundene, og at tekniske detaljer om åbne fund først deles, når de er rettet. → Åbne fund i rapporten

Det er ikke det samme som at skjule noget. Kunden får at vide, at der er fund, hvor alvorlige de er, og hvornår de forventes rettet. Detaljerne følger, når de ikke længere udgør en risiko for kunderne.

Et tænkt eksempel

Et softwarehus med et system til kontraktstyring får en kontrakt fra en kunde, hvor der står, at “alle fremtidige pentestrapporter udleveres til kunden”. Softwarehuset tester produktet en gang om året og udfører mindre test af nye funktioner indimellem.

Sælgeren foreslår en ændring: kunden får det årlige resumé og testerens erklæring senest en måned efter, at testen er afsluttet, ledsaget af en status for fundene. Den fulde rapport kan gennemgås på et møde efter aftale. Mindre test af enkelte funktioner er ikke omfattet, men nævnes i statussen.

Kunden accepterer og beder om at få besked, hvis den årlige test bliver forsinket. Det skrives ind. Året efter finder testen et alvorligt fund, som rettes kort efter testen. Resuméet sendes med en status, der viser fundet som rettet og bekræftet ved en retest, og kunden har ingen yderligere spørgsmål.

Det skal I lade være med

Acceptere ordlyden “alle rapporter” uden at præcisere formen · så kan kunden kræve den fulde rapport.
Love udlevering, før I har vurderet resultatet · så kan detaljer om åbne fund forlade huset for tidligt.
Glemme mindre test · uden en afgrænsning kan de blive omfattet.
Udlevere forskellige former til forskellige kunder uden registrering · så mister I overblikket.
Lade forpligtelsen gå i glemmebogen · en manglende rapport kan blive opfattet som et brud på aftalen.

Hvad kan og ikke kan konkluderes

En løbende forpligtelse til at dele testdokumentation kan give kunden tryghed og gøre fornyelser lettere, når formen, tidspunktet og omfanget er aftalt. Den kan ikke forudsige, hvad de kommende test finder, og den bør ikke forpligte jer til at sprede detaljer om fund, der endnu ikke er rettet. Teksten er ikke juridisk rådgivning.