Spørgsmål og svar om pentestrapporten til kunder

Kunden vil ikke skrive under, før vi har sendt en pentestrapport. Hvor begynder vi?

Få kravet på skrift i kundens egen formulering, og spørg, hvem hos kunden der skal godkende jer, og om andet end rapporten mangler. Gennemgå derefter, hvad I allerede har af test og dokumentation. Lov først en dato, når I kender alle led fra bestilling til færdigt dokument, også jeres egen vurdering af fundene. → Aftalen venter på en pentestrapport

Skal kunden have hele rapporten?

Ikke nødvendigvis. Et erklæringsbrev fra testeren eller et resumé med omfang og fund efter alvor kan være nok, alt efter hvad kunden skal bruge dokumentet til. Hele rapporten indeholder detaljer om svagheder, og den bør kun udleveres på aftalte betingelser om fortrolighed. Beslut en fast rækkefølge, som alle sælgere følger. → Hel rapport, resumé eller erklæring

Hvad er et erklæringsbrev eller en testerklæring, og hvem skriver det?

Et kort brev fra testeren, der bekræfter, at testen er udført, hvad den omfattede, og hvornår. Det røber ingen detaljer om fund og kan derfor gives tidligt i et salg. Brevet skal komme fra testeren og ikke fra jer, og det skal aftales, når testen bestilles. Det siger intet om, at produktet er sikkert. → Erklæringsbrevet fra testeren

Vi tester selv produktet. Hvorfor accepterer kunden det ikke?

Kunden vil have et resultat fra en part, der ikke selv har bygget eller drevet produktet, så vurderingen ikke afhænger af jeres egen interesse i at fremstå godt. Jeres interne test har stadig værdi i udviklingen, men over for kunden er den sjældent nok alene. Forklar, hvordan de to slags test supplerer hinanden. → Kunden accepterer ikke jeres egen interne test

Hvad svarer vi i spørgeskemaet, hvis vi aldrig har fået lavet en test?

Sig det, som det er, og skriv, hvad I gør ved det: om testen er bestilt, hvad den skal dække, og hvornår dokumentationen foreligger. Et ja, I ikke kan dokumentere, kan blive en del af aftalegrundlaget og komme tilbage, når kunden beder om rapporten. → I har endnu ikke fået lavet en test

Hvad er CAIQ, og skal vi udfylde det?

CAIQ er et standardiseret spørgeskema fra Cloud Security Alliance med ja/nej-spørgsmål, der bruges til at vurdere cloudtjenester. I skal ikke udfylde det, før en kunde beder om det, men nogle softwarehuse gør det på eget initiativ og genbruger svarene i andre skemaer. Svarene er jeres egne og skal kunne dokumenteres. → Standardiserede spørgeskemaer: CAIQ, SIG og kundens egne

Skal vi fortælle kunden om åbne fund?

Ja, hvis kunden spørger. Oplys antal, alvorlighed, status og plan for rettelserne, men ikke de tekniske detaljer om, hvordan en svaghed kan udnyttes. Et åbent fund, der er beskrevet ærligt og har en plan, skader sjældent tilliden lige så meget som et fund, kunden selv opdager senere. → Skemaet spørger til åbne fund

Hvad skal med, når et SaaS-produkt testes?

Det, kunderne er afhængige af: adskillelsen mellem kunderne, roller og rettigheder, API og integrationer, login og jeres egen supportadgang. Omfanget skal svare til det, kunden køber, ellers kan kunden ikke bruge rapporten. Hvad testen afprøver, aftales med testeren, før den begynder. → Hvad skal med i en penetrationstest af et SaaS-produkt?

Kunden spørger, om andre kunder kan se deres data. Hvad kan en test vise?

En penetrationstest kan afprøve adskillelsen mellem kunderne, hvis testeren får mindst to kunder at arbejde med, og adskillelsen står i omfanget som et selvstændigt mål. Så kan rapporten sige, hvad der blev forsøgt, og med hvilket resultat. Den kan ikke garantere, at adskillelsen holder i alle fremtidige versioner. → Multi-tenant: test af adskillelsen mellem kunderne

Hvor gammel må rapporten være?

Der findes ingen fælles grænse. Nogle kunder kræver en rapport, der er under et år gammel, andre skriver noget andet i deres leverandørpolitik. Læs, hvilken dato kravet regner fra, og læg jeres test, så rapporten ikke bliver for gammel lige før en fornyelse. → Kunden vil have en rapport, der er under et år gammel

Skal vi have en ny pentest ved hver release?

Sjældent. En rytme, der ofte giver mening, kombinerer en fast, bred test med afgrænsede test, når produktet ændrer sig væsentligt, fx ved en ny funktion, en ny integration eller ny arkitektur. Det vigtige er, at I kan forklare kunden rytmen, og hvilken version rapporten gælder for. → Test ved hver release eller én gang om året?

En kunde vil selv teste vores produkt. Skal vi sige ja?

Det afhænger af, hvor produktet kører. I en fælles løsning kan kundens test ramme andre kunder, og det kræver klare betingelser: tidsrum, omfang, kontaktperson og håndtering af fund. Overvej, om jeres egen uafhængige test kan dække kundens behov i stedet. → Kunden vil selv teste jeres produkt

Hvordan beskytter vi rapporten, når en kunde skal have den?

Lad kunden skrive under på fortrolighed, før detaljerne udleveres, og aftal, hvem hos kunden der må læse rapporten. Overvej læseadgang i stedet for en vedhæftet fil, og notér, hvem der har fået hvad. Så ved I også, hvem der skal have den næste rapport. → Kunden skal skrive under på fortrolighed

Kunden spørger efter SOC 2 eller ISO 27001. Kan en pentest erstatte det?

Nej. En SOC 2-rapport og en ISO 27001-certificering er noget andet end en penetrationstest, men en test kan indgå som en del af dokumentationen bag dem. Spørg kunden, hvad kravet konkret skal dække, og lov ikke en certificering, I ikke har. → SOC 2-rapporten og pentesten

Kræver ISO 27001 eller SOC 2, at vi får lavet en penetrationstest?

Begge handler om, hvordan I styrer sikkerheden, ikke om sårbarhederne i produktet. ISO 27001 stiller krav til et ledelsessystem, og en SOC 2-rapport er en revisors undersøgelse af jeres kontroller. En pentest kan være en af de aktiviteter, kontrollerne bygger på. Om den er nødvendig, afgøres af jeres egen risikovurdering, af revisor og af kundens krav. → ISO 27001 i softwarehuset

Gælder Cyber Resilience Act for vores produkt?

Det afhænger af, hvad I sælger. Forordningen gælder produkter med digitale elementer, og en ren webtjeneste står anderledes end software, som kunderne installerer. Rapporteringspligten for aktivt udnyttede sårbarheder gælder fra den 11. september 2026, og resten fra den 11. december 2027. Få jeres eget produkt vurderet; teksten her er ikke juridisk rådgivning. → Cyber Resilience Act for softwarehuse

Kan en pentestrapport sikre, at vi bliver godkendt som leverandør?

Nej. Rapporten viser, hvad en afgrænset test fandt på et bestemt tidspunkt. Om det er nok, afgør kunden ud fra sine egne krav og resten af det, kunden har bedt om. Rapporten gør det lettere at svare præcist, men den er ikke en garanti for hverken godkendelse eller sikkerhed. → Hvad skal kunden bruge rapporten til?

Hvad må vi skrive om testen i salgsmaterialet?

Kun det, rapporten bærer: at produktet er testet, hvornår, af hvem og med hvilket omfang. Skriv ikke, at produktet er sikkert eller uden sårbarheder. En test er et øjebliksbillede, og en påstand, der rækker længere end rapporten, kan blive et problem, når kunden læser dokumentationen. → Testen i salgsmaterialet

Hvad må stå på en tillidsside eller i et trust center?

Oplysninger, som dokumenterne bag kan bære: at produktet testes, hvornår det sidst skete, hvem kunderne kan kontakte om sikkerhed, og hvilke erklæringer eller certifikater I har. Rapporten og detaljer om fund hører bag en anmodning og en aftale om fortrolighed. Hold siden opdateret, så datoerne passer. → Tillidsside eller trust center

Testen har fundet noget alvorligt. Skal kunderne have besked?

Det afhænger af, hvad jeres kontrakter siger, om nogen kunde reelt er udsat, og om der gælder lovkrav i den konkrete situation. Beslut på forhånd, hvem der vurderer et alvorligt fund, og hvem der taler med kunderne. Teksterne på sitet er ikke juridisk rådgivning. → Skal kunderne have besked?

Kan I hjælpe med kontraktens formuleringer om test?

Sitet forklarer, hvad en testklausul typisk handler om, og hvilke punkter I bør læse grundigt, men det giver ikke juridisk rådgivning. Hvad en kontrakt forpligter jer til, og hvordan den bør formuleres, hører hjemme hos jeres egen advokat. Det, sitet kan hjælpe med, er at gøre jer klar over, hvilke løfter om test I faktisk kan holde. → Testklausulen i jeres kundekontrakt

Hvad koster en penetrationstest af vores produkt?

Det afhænger af produktets størrelse, antallet af roller, API’er og integrationer, hvilke dokumenter kunderne skal have, og om der skal efterprøves. Beskriv opgaven så konkret som muligt, så kan Nielco IT give tilbud på netop den. Sitet nævner ingen beløb, fordi omfanget varierer meget fra produkt til produkt. → Pris og tilbud på nielcoit.dk

Er der opgaver, I ikke påtager jer?

Ja. Vi påtager os ikke opgaver i straffesager eller for personer med kriminelle relationer, og vi tester kun systemer, som opdragsgiveren råder over eller har skriftlig tilladelse til at lade teste. Fortrolighedsaftale (NDA) underskrives på forespørgsel, også før I fortæller om produktet. → Det påtager vi os ikke

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest af SaaS hos Nielco IT