Compliance‑platforme og automatisk dokumentation: hvor pentesten passer ind

Et softwarehus, der har taget en compliance-platform i brug, kan let få det indtryk, at sikkerhedsdokumentationen nu passer sig selv. Platformen samler beviser, holder øje med opsætningen i skyen og viser grønne felter for kontroller, der er opfyldt. Svaret på, hvor pentesten passer ind, hviler på en enkel skelnen: platformen kan registrere, at en test er gennemført, og opbevare resultatet, men den kan ikke udføre den manuelle afprøvning af produktet, som kunderne beder om. Begge dele har en plads, men de må ikke blandes sammen i svaret til kunden.

Hvad en compliance-platform gør

Platformene findes i flere varianter, men de har nogle fælles træk. De kortlægger kontroller fra en eller flere standarder, så I kan se, hvilke krav der er dækket. De henter oplysninger automatisk fra systemer som cloudplatformen, kodelageret og brugerkatalogerne. De minder om opgaver, der skal gentages, og de samler dokumenter, som en revisor eller en kunde kan få adgang til.

Det sparer tid, og det giver overblik. Men platformens kontroller er netop det: en vurdering af, om en opsætning eller et dokument er til stede. En platform kan se, at logning er slået til, eller at der findes en politik for adgangsstyring. Den kan ikke se, om en bruger hos én kunde kan få adgang til data hos en anden kunde gennem en fejl i produktets logik. → Multi-tenant: test af adskillelsen mellem kunderne

Hvor pentesten hører hjemme i platformen

Pentesten kan optræde i platformen som en kontrol med en frist: “der gennemføres en penetrationstest af produktet hvert år”. Kontrollen bliver grøn, når nogen uploader en rapport. Det er en nyttig påmindelse, men grønt betyder kun, at et dokument er lagt ind.

Sørg derfor for, at det, der ligger bag kontrollen, kan bære den. Rapporten skal vise, hvad der blev testet, hvornår, og hvilken version. Fund og opfølgning skal kunne følges, gerne med et retestbevis. Og den beskrivelse af kontrollen, der står i platformen, skal svare til det, I faktisk gør. Står der “årlig test af hele platformen”, nytter det ikke, at rapporten kun dækker et enkelt modul. → Version og testdatoer

Platformens påmindelse følger kalenderen, ikke jeres udvikling. Kommer der en større ændring i produktet midt i året, viser kontrollen stadig grønt, fordi årets rapport er lagt ind. Det er jeres egen vurdering, ikke platformens, der skal afgøre, om ændringen kræver en ny test. Skriv derfor i kontrolbeskrivelsen, hvad der udløser en test ud over den faste dato, og læg en note ind, når I har vurderet en ændring. Så kan I også over for kunden vise, at I har taget stilling, og ikke blot ventet på næste påmindelse. → Ændringer, der kræver en ny test

Automatiske scanninger er ikke en pentest

Nogle platforme kan kobles til en sårbarhedsscanner, så scanningen kører med faste mellemrum og resultatet vises sammen med de andre kontroller. Det er et godt supplement, men det er ikke det, kunden spørger om, når skemaet siger penetrationstest.

NCSC i Storbritannien beskriver penetrationstest som en måde at få sikkerhed for, at jeres egen proces for at finde og håndtere sårbarheder virker. Den løbende scanning er en del af den proces. Pentesten er kontrollen af, om processen fanger det, den skal. Hold de to adskilt, både i platformen og i svarene til kunderne. → Scanning og pentest i samme spørgsmål

Tillidssider og delte mapper fra platformen

Nogle platforme tilbyder at offentliggøre en side, hvor kunder kan se jeres sikkerhedsstatus og anmode om dokumenter. Det kan være en god måde at gøre materialet tilgængeligt på, men tænk over, hvad siden viser.

En oversigt med grønne felter kan blive læst som et løfte om, at alt er i orden. Det er ikke det, den viser. Vælg, hvilke oplysninger der skal være offentlige, og hvilke der kræver en anmodning og en fortrolighedsaftale. Selve pentestrapporten bør ikke ligge frit tilgængelig, og en kundeversion eller et resumé bør kun udleveres til navngivne modtagere. → Tillidsside

Tjek også, hvem hos jer der har adgang til rapporten i platformen. Platformens egne brugere, konsulenter og revisorer kan alle have læseadgang, og det er ikke sikkert, at alle skal se de tekniske detaljer.

Når platformen tilbyder en test

Nogle platforme formidler også selv en penetrationstest eller samarbejder med testere. Det kan være praktisk, men vurder testen på samme måde som enhver anden. Kunden spørger ikke, hvilken platform I bruger. Kunden spørger, hvad der blev testet, af hvem og med hvilken uafhængighed.

Stil de samme spørgsmål som ellers: dækker testen produktet og de roller, kunderne bruger? Er testen manuel, eller er det en automatisk gennemgang med et andet navn? Får I en rapport, der kan udleveres til kunder, eller kun et resultat i platformen? → Sådan vælger I tester til kunderapporten

Et tænkt eksempel

Et softwarehus med et system til kontraktstyring har brugt en compliance-platform i et år. Platformen viser alle kontroller som opfyldt, og sælgerne har vænnet sig til at sende et skærmbillede af oversigten til nye kunder.

En kunde spørger, hvad kontrollen “penetrationstest” dækker. Det viser sig, at rapporten, der ligger bag, er en scanning af den offentlige hjemmeside, ikke af produktet. Softwarehuset retter beskrivelsen af kontrollen, bestiller en test af produktet med roller og kundeadskillelse og holder op med at sende skærmbilleder. I stedet får kunderne et resumé af den nye test, når den er afsluttet, og en kort forklaring af, hvad platformen overvåger.

Det skal I lade være med

Sende platformens oversigt som bevis for sikkerhed · den viser, at kontroller er registreret, ikke hvordan produktet holder.
Lade en scanning stå som pentest · kunden spørger om noget andet.
Lægge hele rapporten frit på tillidssiden · den hører til en kontrolleret udlevering.
Lade kontrolbeskrivelsen leve sit eget liv · den skal passe til det, I faktisk gør.
Vælge test efter platform frem for indhold · omfang og uafhængighed er det, kunden vurderer.

Hvad kan og ikke kan konkluderes

En compliance-platform kan give jer overblik, påmindelser og et ordnet sted til beviser, og den kan gøre det lettere at svare kunderne ens. Den kan vise, at en test er registreret og en rapport lagt ind. Den kan ikke afgøre, om produktet er testet grundigt nok, og et grønt felt er ikke en vurdering af jeres sikkerhed. Det skal rapporten og jeres opfølgning på den kunne bære.

Tjekliste til platform og pentest

☐ Svarer kontrolbeskrivelsen i platformen til den test, I faktisk får lavet?
☐ Dækker den uploadede rapport produktet og ikke kun hjemmesiden?
☐ Er scanning og pentest registreret som to forskellige kontroller?
☐ Er det besluttet, hvad tillidssiden viser offentligt?
☐ Er adgangen til rapporten i platformen begrænset?

Kilder

NCSC (UK): Penetration testing: penetrationstest som en måde at få sikkerhed for, at organisationens egen proces for sårbarhedsvurdering og håndtering virker.

Senest gennemgået: oktober 2026.