Ingen alvorlige fund: formidl et godt resultat ærligt

Når testen af produktet ender uden alvorlige fund, er fristelsen at skrive det i nyhedsbrevet, på hjemmesiden og i hvert tilbud. Det er forståeligt, men en ukritisk formidling kan vende sig mod jer. Kundernes sikkerhedsfolk ved, at et godt resultat afhænger af, hvad der blev testet, og at det ikke er en garanti. Et godt resultat formidles derfor bedst sammen med de forudsætninger, der gør det troværdigt: omfang, version, dato og hvem der testede.

Det giver kunderne et billede, de kan bruge, og det beskytter jer mod at have lovet mere, end testen kan bære, hvis der senere opstår et problem.

Hvad et godt resultat betyder

Et resultat uden alvorlige fund betyder, at testeren ikke påviste alvorlige svagheder i de dele af produktet, der var med, under de forudsætninger, der var aftalt, på det tidspunkt testen blev udført. Det britiske NCSC skriver, at penetrationstest er et centralt værktøj, men ikke en mirakelkur. Den generelle forklaring af, hvad en test uden fund betyder for køberen, står på penetrationtest.dk. For jer som sælger er spørgsmålet, hvordan I siger det videre.

Det gode resultat er stadig værd at fortælle. Det viser, at produktet har været udsat for en uafhængig afprøvning, og at den afprøvning ikke fandt noget alvorligt. Det er en reel oplysning for kunderne. Den skal bare stå i sin rette sammenhæng. Internt er resultatet også en anledning til at se på, hvad der virkede: hvilke krav, gennemgange og vaner i udviklingen der kan forklare, at testen ikke fandt mere. Den viden er nyttig, når næste store funktion skal bygges.

Forudsætningerne skal stå ved siden af

Når I nævner resultatet, så nævn også:

Omfanget · hvilke dele af produktet der var med, og hvilke der ikke var.
Versionen og datoen · hvilken udgave af produktet der blev testet, og hvornår.
Udgangspunktet · fx test som indlogget bruger i flere roller eller kun udefra.
Mindre fund · om der var fund af lav eller middel alvorlighed, og hvad der er gjort ved dem.
Testeren · at testen er udført af en uafhængig part.

En kunde, der får de oplysninger, kan selv vurdere, hvor meget resultatet siger om netop den del af produktet, kunden skal bruge. → Omfangsafsnittet i rapporten

Formuleringer, der holder

Sammenlign to måder at sige det samme på. Den første: Produktet er testet og fundet sikkert. Den anden: Produktets webapplikation og API blev testet af en uafhængig tester i marts, med udgangspunkt i indloggede brugere i tre roller; testen fandt ingen alvorlige fund, og de få mindre fund er rettet.

Den første lover noget, ingen test kan levere. Den anden fortæller, hvad der faktisk skete, og kan efterprøves af enhver, der får rapporten eller erklæringsbrevet. Det er den anden, der giver tillid hos kunder med sikkerhedsfolk. → Testen i salgsmaterialet

Den anden formulering er længere, men den kan stå i et tilbud, et svar i et spørgeskema og en mail til en eksisterende kunde uden at skulle justeres. Undgå også ord som godkendt eller certificeret. En penetrationstest er ikke en godkendelse, og en kunde, der læser ordet, kan tro, at der står en ordning bag.

Hvor resultatet skal stå

Overvej, hvem der skal have resultatet, og i hvilken form:

Eksisterende kunder · en kort, saglig meddelelse til de kunder, der har bedt om dokumentation, med tilbud om kundeversion eller erklæringsbrev.
Nye kunder i salg · erklæringsbrevet eller resuméet i sikkerhedspakken.
Tillidssiden · en kort beskrivelse af, at produktet testes, hvornår den seneste test var, og hvordan kunder kan få dokumentation.
Spørgeskemaer · et præcist svar med dato og omfang.

Resultatet hører ikke hjemme i reklamer, der ikke kan rumme forbeholdene. Et opslag eller en annonce har sjældent plads til omfang og dato, og uden dem bliver budskabet det, I vil undgå. Hvis I vil fortælle bredt, at produktet testes, så sig det som en praksis, ikke som et resultat. → Tillidssiden og testen

Når kunden bliver skeptisk

En kunde med erfaring kan undre sig over et resultat uden alvorlige fund og spørge, om testen var for snæver eller for kort. Det er et rimeligt spørgsmål, og det besvares bedst med fakta: omfanget, udgangspunktet, testerens kvalifikationer og de mindre fund, der faktisk blev gjort. Et resultat, der også nævner de små fund, er mere troværdigt end et, der fremstår helt rent.

Hvis kunden stadig er i tvivl, kan I tilbyde at vise metodebeskrivelsen eller lade kunden tale med jeres sikkerhedsansvarlige. Det er bedre end at forsvare resultatet med flere superlativer. Spørg også, hvad kunden selv ville have forventet at se. Svaret kan pege på en del af produktet, som næste test bør dække. → Kunden spørger, hvem der testede

Et tænkt eksempel

Et softwarehus leverer en platform til elektroniske tilmeldinger til kurser. Den årlige test dækker webapplikationen, API’et og administrationsmodulet. Den finder ingen alvorlige fund og tre fund af lav alvorlighed, som rettes i den følgende release.

Softwarehuset opdaterer tillidssiden med en sætning om, at platformen blev testet af en uafhængig tester i september, at testen dækkede webapplikation, API og administration, og at dokumentation kan fås under fortrolighed. Sælgerne får en kort vejledning om, hvad de må sige, og en formulering, de kan bruge i tilbud. Den interne glæde over resultatet bliver internt, og ingen salgstekst kalder platformen sikker. → Sikkerhed som salgsargument

Det skal I lade være med

Kalde produktet sikkert · Testen dækker et omfang på en dato, ikke alt for altid.
Udelade de mindre fund · De gør resultatet mere troværdigt, ikke mindre.
Nævne resultatet uden dato og omfang · Uden dem kan kunden ikke vurdere det.
Bruge ord som godkendt eller certificeret · Ingen ordning står bag en pentest.
Lade sælgerne formulere sig frit · Giv dem en tekst, der er gennemgået.
Blive ved med at bruge resultatet, når det er gammelt · Opdatér, når produktet ændrer sig.

Hvad kan og ikke kan konkluderes

Et godt resultat viser, at en uafhængig tester ikke påviste alvorlige svagheder i det testede omfang på testtidspunktet. Det viser ikke, at produktet er uden svagheder, og det dækker ikke dele, der ikke var med, eller ændringer efter testen. Formidlet med forudsætningerne er resultatet en stærk oplysning; formidlet uden dem bliver det et løfte, I ikke kan holde.