Produktet hostes hos en cloududbyder: tilladelser og delt ansvar

Når SaaS-produktet kører hos en cloududbyder, er der tre parter i testen: jer, testeren og udbyderen, hvis platform testen foregår på. Svaret på, hvad der må testes, og hvad rapporten kan dokumentere over for kunderne, hviler på to ting: udbyderens gældende regler for test og fordelingen af ansvaret mellem jer og udbyderen. I står for det, I selv har bygget og sat op. Udbyderen står for sin platform, og den kan I hverken teste eller dokumentere med jeres egen rapport.

Platformen i dybden, med roller, lager og netværk i Azure og AWS, hører til IT-afdelingens emner og er beskrevet på penetration-test.dk. Her er vinklen sælgerens: hvad betyder hostingen for den rapport, kunderne skal have?

Udbyderens regler sætter rammen

De store udbydere har egne regler for kunders sikkerhedstest, og reglerne ændres. Læs den gældende udgave, før testen planlægges.

Microsoft Azure · Microsoft oplyser, at der ikke længere kræves forhåndsgodkendelse for test af egne ressourcer i Azure, men at kunder og godkendte tredjeparter skal følge Microsofts regler for test (Rules of Engagement). En tredjepart, fx en ekstern tester, skal have udtrykkelig skriftlig tilladelse fra den, der ejer ressourcerne.
AWS · AWS tillader test af en række nævnte tjenester uden forhåndsgodkendelse. Andre tjenester kræver kontakt til AWS, og visse aktiviteter er forbudt, bl.a. test, der skal overbelaste en tjeneste. AWS skriver også, at kunden er ansvarlig for, at en tredjepart, kunden har hyret, følger politikken.

For jer betyder det, at tilladelsen til testeren kommer fra jer som ejer af miljøet, og at det er jeres ansvar, at testen holder sig inden for udbyderens regler. Skriv i aftalen med testeren, at reglerne er læst, og hvilken udgave der gælder.

Hvad der er jeres, og hvad der er udbyderens

Microsoft beskriver ansvaret i cloud som delt, så grænsen flytter sig med typen af tjeneste. Ifølge Microsoft har kunden altid ansvaret for data, konti og adgangsstyring, uanset hvilken type tjeneste der bruges. For et SaaS-produkt, der bygger på platformen, er I den kunde.

Jeres del omfatter typisk:

Applikationen · koden, funktionerne og adgangskontrollen i produktet.
Opsætningen · de indstillinger, I har valgt for lager, netværk, nøgler og administrative konti på platformen.
Adskillelsen mellem jeres kunder · den logik, der holder kunderne fra hinandens data, når de deler den samme platform. → Multi-tenant: test af adskillelsen
Administrationen · hvem hos jer der kan ændre miljøet, og hvordan den adgang er beskyttet.

Udbyderens del er de fysiske datacentre, den underliggende infrastruktur og de dele af platformen, som udbyderen driver. Den part kan I ikke teste, og den hører ikke hjemme i jeres rapport. → Infrastrukturen bag produktet

Hvad rapporten skal sige om hostingen

Kunderne ved måske, at produktet kører i cloud, og spørger, om testen også dækker den del. Et præcist svar har tre led: hvilke dele af jeres opsætning på platformen testen omfattede, hvilke dele der var uden for omfanget, og hvordan udbyderens egen del dokumenteres.

Det sidste klares ikke med jeres pentest. Store udbydere stiller deres egne revisionserklæringer og certificeringer til rådighed for kunder. Henvis til dem i jeres svar, og gør det klart, at de gælder udbyderens platform og ikke jeres produkt. → Underleverandører i skemaet

Står hostingen ikke i omfangsafsnittet, kan en kunde ikke se, om opsætningen af lager, nøgler og administrative konti blev undersøgt. Det er netop dem, der ifølge ansvarsdelingen er jeres. → Omfangsafsnittet

Når kunderne vil teste

En kunde, der vil teste jeres produkt, ejer ikke de ressourcer, produktet kører på. Kunden kan derfor ikke selv give sin tester lov til at teste platformen under jeres produkt. Den tilladelse er jeres at give eller nægte, og den skal være skriftlig, hvis udbyderens regler kræver det.

En kundes test i et miljø, som andre kunder deler, kræver desuden hensyn til dem. Overbelastning af en tjeneste kan være forbudt efter udbyderens regler, og den rammer under alle omstændigheder også andre kunder. Aftal rammerne i en fast politik frem for fra sag til sag. → Testpolitik for kunder

Svaret i kundens spørgeskema

Et spørgsmål i et sikkerhedsspørgeskema kan lyde, om hostingmiljøet bliver testet regelmæssigt. Et ja uden forbehold er sjældent præcist. Et brugbart svar deler spørgsmålet op: jeres applikation og jeres opsætning på platformen er testet på en bestemt dato af en ekstern tester; udbyderens platform er dokumenteret med udbyderens egne erklæringer; og enkelte tjenester er uden for begge dele.

Den opdeling kan virke omstændelig, men den sparer opfølgende spørgsmål. Kundens sikkerhedsansvarlige kender formentlig modellen med delt ansvar og ser hellere en præcis grænse end en bred forsikring. Gem formuleringen i jeres svarbibliotek, så den bliver brugt ens hver gang. → Svarbibliotek

Flere udbydere og regioner

Mange produkter bruger mere end én udbyder: hosting hos én, mail hos en anden, en tjeneste til login hos en tredje. Hver udbyder har sine egne regler, og nogle tillader slet ikke test af deres tjeneste. Lav en liste over de tjenester, produktet afhænger af, og notér for hver, om den indgår i testen, og hvilke regler der gælder.

Kører produktet i flere regioner eller med særskilte installationer for bestemte kunder, skal rapporten sige, hvilke der blev testet. En kunde i en bestemt region vil gerne vide, at netop deres del var med.

Det skal I lade være med

At lade testeren læse reglerne for jer · ansvaret for, at testen følger udbyderens regler, ligger hos jer.
At regne udbyderens erklæringer for dokumentation af jeres produkt · de dækker platformen, ikke jeres opsætning.
At skrive, at hostingen er testet, uden at angive hvilke dele · kunden læser det som hele miljøet.
At give en kunde lov til at teste uden skriftlig ramme · både udbyderen og de andre kunder skal tages i betragtning.
At glemme de mindre tjenester, produktet afhænger af · hver af dem kan have egne regler.

Hvad kan og ikke kan konkluderes

En pentest af et produkt i cloud kan vise, om jeres applikation og jeres opsætning af platformen holdt under testen. Den siger intet om udbyderens egen platform, og den siger intet om tjenester, der var uden for omfanget. Udbyderens regler kan ændre sig mellem to test, så en plan, der passede sidste år, skal tjekkes igen.

Tjekliste før testen af et cloudhostet produkt

☐ Er den gældende udgave af udbyderens regler læst?
☐ Har testeren skriftlig tilladelse fra jer som ejer af miljøet?
☐ Står jeres opsætning af platformen i omfanget?
☐ Er udbyderens egen dokumentation klar til kundernes spørgsmål?
☐ Er alle tjenester, produktet afhænger af, kortlagt?
☐ Er reglerne for kunders egne test skrevet ned?

Kilder

Microsoft Learn: Penetration testing (Azure): ingen forhåndsgodkendelse, Rules of Engagement skal følges, tredjeparter skal have skriftlig tilladelse fra ressourceejeren.
Microsoft Learn: Shared responsibility in the cloud: kunden har altid ansvaret for data, konti og adgangsstyring.
AWS: Penetration testing: tjenester uden forhåndsgodkendelse, forbudte aktiviteter og kundens ansvar for tredjeparter.

Senest gennemgået: oktober 2026.