Testen er bestilt, men ikke færdig: hvad kan kunden få nu?

Kunden vil have dokumentation i dag, men penetrationstesten af jeres produkt ligger først om nogle uger, og rapporten kommer endnu senere. Det, I kan give nu, hviler på to dokumenter: en kort skriftlig bekræftelse fra testeren på, at testen er bestilt og planlagt, og jeres egen plan for, hvad kunden får, og hvornår.

Sammen viser de to dokumenter, at testen er en aftale og ikke en hensigt. De siger til gengæld intet om resultatet, og det skal stå klart for både jer og kunden.

Hvad kunden egentlig spørger efter

Når en kunde beder om dokumentation, før testen er gennemført, er det sjældent rapporten, der haster. Kundens indkøb eller sikkerhedsfunktion skal kunne skrive i sin egen sag, at leverandøren har styr på testen, og at der kommer et resultat. Spørg derfor, hvad kunden skal bruge papiret til, og hvem der læser det. En indkøber, der skal lukke et punkt på en liste, har brug for noget andet end en sikkerhedsansvarlig, der vil vurdere omfanget.

Spørg også, om kunden vil acceptere et forbehold i aftalen, så den endelige dokumentation eftersendes. Det afgør, om bekræftelsen er nok til at komme videre, eller om salget venter alligevel. → Når salget går i stå

Bekræftelsen fra testeren

I kan bede testeren om en kort skriftlig bekræftelse på, at opgaven er aftalt. Om testeren vil skrive en, og i hvilken form, er testerens beslutning, så spørg, når I bestiller, og ikke dagen før kunden skal have den. En bekræftelse, kunden kan bruge, indeholder typisk:

Opdragsgiver og produkt · hvem der har bestilt testen, og hvilket produkt den gælder.
Omfanget · de dele af produktet, der testes, fx webapplikation, API og administrationsadgang.
Testperioden · de aftalte datoer for testens gennemførelse.
Leverancen · hvad der afleveres efter testen, og cirka hvornår.
Dato og afsender · hvornår bekræftelsen er skrevet, og af hvem hos testeren.

Omfanget er det vigtigste punkt. En kunde, der køber et bestemt modul, vil kunne se, om det modul er med. Står der kun produktets navn, kan kunden komme til at tro, at alt bliver testet. → Bestil testen til kundebrug

Jeres egen plan ved siden af

Bekræftelsen fortæller, hvad testeren skal gøre. Kunden vil også vide, hvad I gør bagefter, og det er jeres dokument, ikke testerens. Hold planen kort og skriv kun det, I selv styrer:

Hvornår rapporten forventes · med den dato, testeren har angivet.
Tid til vurdering og rettelser · at fund bliver vurderet og fulgt op efter en plan, uden at love et bestemt antal eller et bestemt udfald.
Hvad kunden får · om det bliver et resumé, en kundeversion eller en testerklæring, og hvornår.
Hvem kunden kan kontakte · en navngiven person hos jer.

Et tænkt eksempel: Et softwarehus med en bookingplatform til klinikker får spørgsmålet fra en kæde af private klinikker midt i en kontraktforhandling. Softwarehuset sender to sider. Den første er testerens bekræftelse med produktets navn, de testede dele (webapplikationen, API’et og kundeadministrationen) og de aftalte testuger. Den anden er softwarehusets egen plan med forventet rapportdato, en periode til rettelser og løftet om et resumé fra testeren bagefter. Ingen af siderne nævner, hvordan testen forventes at gå.

Læg datoen til kunden efter det sidste trin, I har hånd om, så der er plads til rettelser og eventuel efterprøvning. En dato, der skrider, gør næste løfte mindre troværdigt. → Aftalen venter på en pentestrapport

Det, en bekræftelse ikke er

En bekræftelse på bestilling er ikke en testerklæring. Et erklæringsbrev beskriver en test, der er gennemført, og hvad den viste. Bekræftelsen beskriver en test, der skal gennemføres. Derfor må den ikke indeholde noget om resultater, om produktets sikkerhed eller om, at testen forventes at gå godt. Det kan ingen vide på forhånd. → Erklæringsbrevet fra testeren

Det samme gælder jeres egne formuleringer i mailen til kunden. Skriv “testen er bestilt til gennemførelse i den aftalte periode”, ikke “produktet er under sikkerhedstest og forventes godkendt”. Den første sætning kan dokumenteres. Den anden lover et udfald.

Vær også opmærksom på, at kunden kan arkivere bekræftelsen og læse den igen om et år. Den skal derfor være dateret og kunne forstås uden jeres forklaring. Hvis kunden spørger, om den kan videresende bekræftelsen internt eller til en rådgiver, så sig ja eller nej bevidst. Bekræftelsen afslører ingen svagheder, men den viser, hvornår testen foregår, og hvilke dele af produktet der er med.

Når datoen flytter sig

Testperioder kan blive flyttet, fordi testmiljøet ikke er klar, fordi en release skubbes, eller fordi testeren skal omplanlægge. Sker det, så sig det til kunden med det samme, og send en opdateret bekræftelse, når den nye periode er aftalt. Et skemasvar eller en mail, der stadig nævner den gamle periode, er et forkert svar, også selv om det var rigtigt, da det blev skrevet.

Før en enkel log over, hvilke kunder der har fået bekræftelsen og jeres plan. Så ved I, hvem der skal have besked, hvis noget ændrer sig, og hvem der skal have det endelige dokument, når det foreligger. → Log over udleveringer

Når testen er gennemført, skal bekræftelsen afløses af det rigtige dokument. Lad den ikke blive liggende som det eneste, kunden har fra jer. → Rapport, resumé eller erklæring

Det skal I lade være med

At sende en bekræftelse uden omfang · kunden kan ikke se, om det relevante modul er med.
At skrive bekræftelsen selv i testerens navn · den skal komme fra testeren.
At antyde et resultat · intet om forventede fund eller godkendelse.
At kalde bekræftelsen en erklæring · den beskriver en aftale, ikke en gennemført test.
At glemme at opdatere kunden · når perioden flytter, skal kunden vide det.
At bruge bekræftelsen, når testen er bestilt uden fast dato · så er der intet at bekræfte endnu. → Svar uden en test

Hvad kan og ikke kan konkluderes

En bekræftelse fra testeren og en plan fra jer kan vise kunden, at testen er aftalt, hvad den dækker, og hvornår der kommer et resultat. Den kan ikke sige noget om produktets sikkerhed, og den erstatter ikke rapporten eller en testerklæring. Om kunden vil acceptere den som midlertidig dokumentation, er kundens beslutning.