Fortrolighed begge veje: kundens oplysninger i jeres test

Fortrolighed omkring en pentestrapport kan ligne et spørgsmål om at beskytte jeres egne oplysninger over for kunderne. Men når testen berører en bestemt kundes opsætning, går det også den anden vej: kundens navn, integrationer, brugere og konfiguration kan ende i en rapport, som I senere vil vise andre kunder. Svaret er at planlægge det fra starten, så kundens oplysninger enten holdes ude af testen eller holdes ude af de dokumenter, der deles.

Teksten er ikke juridisk rådgivning.

Hvornår kundens oplysninger kommer med

I en test, der foregår i et særskilt testmiljø med opdigtede lejere, er der intet fra rigtige kunder i rapporten. Problemet opstår, når testen af en eller anden grund rører ved noget, der tilhører en bestemt kunde.

Kundens egen opsætning · en kunde har bedt om, at netop deres konfiguration testes. → Kunden vil have testet netop deres opsætning
Tilpasninger til én kunde · en særlig integration eller et modul, der kun findes hos én kunde.
Login mod kundens system · testen af single sign-on bruger en kundes opsætning som eksempel.
Skærmbilleder og logudtræk · bilag, der viser kundens navn, domæne eller brugernavne.
Fund, der kun findes hos én kunde · en svaghed, der skyldes kundens valg af indstillinger.

I alle tilfælde rummer rapporten noget, som kunden med rette kan betragte som sit.

Hvorfor det betyder noget for jer

En rapport, der viser en navngiven kundes opsætning, kan ikke uden videre udleveres til andre kunder. Den afslører, hvem der bruger produktet, hvordan de har sat det op, og måske hvor de er sårbare. Hvis den alligevel bliver delt, har I givet en kundes oplysninger videre uden lov.

Det rammer også jeres egen brug af rapporten. Har I planlagt at bruge den som dokumentation over for nye kunder, skal den enten renses eller erstattes af en kundeversion uden de pågældende detaljer. → Kundeversionen af rapporten

Hold kundens oplysninger ude af testen

Den enkleste løsning er at undgå, at rigtige kunders opsætning indgår. Testlejere med opdigtede navne og et testmiljø, der ligner produktionen, giver testeren det, der skal til, uden at nogen kunde bliver nævnt. → Testlejere

Kan det ikke undgås, fx fordi kunden selv har bedt om at få sin opsætning testet, så aftal det skriftligt med kunden på forhånd. Aftalen kan sige, hvad testeren får adgang til, hvem der ser resultatet, og hvordan kundens oplysninger behandles i rapporten. Hvis testen kan komme i berøring med kundens data, er det et særskilt emne, der bør afklares før start. → Rigtige kundedata i testen

Hold dem ude af de delte dokumenter

Når kundens oplysninger er i rapporten, kan I opdele den. Den fulde rapport bliver hos jer og hos den kunde, det drejer sig om. Den version, andre kunder får, beskriver fundet generelt og uden navne, domæner eller skærmbilleder fra den pågældende kunde.

En fast mærkning gør det lettere at holde styr på, hvad der må deles. FIRST står bag Traffic Light Protocol, en ordning med faste mærker, der angiver, hvor bredt information må deles. Med den kan en rapport fx mærkes, så modtageren kun må dele den i egen organisation, mens en kundeversion må deles bredere.

Rensningen bør være en fast del af arbejdet, når rapporten er færdig, ikke noget, der klares i hast, når en ny kunde beder om dokumentation. Gå teksten, bilagene og skærmbillederne igennem efter navne, domæner, brugernavne og andet, der peger på en bestemt kunde. Lad en anden end den, der har renset rapporten, læse den igen, før den deles. Det er let at overse et domænenavn i et skærmbillede eller en kommentar i et logudtræk.

Testeren og fortroligheden

Testeren ser det hele, også kundens oplysninger, og bør derfor være bundet af fortrolighed. Aftal med testeren, at oplysninger om jeres kunder kun bruges til testen, at de ikke gemmes længere end nødvendigt, og at de ikke indgår i andet materiale. Nielco IT underskriver en fortrolighedsaftale på forespørgsel, og det samme kan I bede enhver tester om.

Fortæl også kunden, hvem testeren er, når kundens egen opsætning indgår. Kunden har en interesse i at vide, hvem der får adgang til deres konfiguration, og det er lettere at sige det på forhånd end at forklare det bagefter.

Husk, at fortroligheden også gælder efter testen. Aftal, hvad testeren gør med noter, skærmbilleder og testkonti, når opgaven er afsluttet, og hvordan I selv opbevarer den fulde rapport med kundens oplysninger. Jo færre steder den ligger, jo mindre er risikoen for, at den havner hos den forkerte.

Et tænkt eksempel

Et softwarehus, der udvikler et system til medlemsadministration, har en kunde med en særlig integration til et betalingssystem. Kunden beder om, at integrationen indgår i den årlige test.

Softwarehuset aftaler med kunden, at testen sker i et testmiljø med en kopi af kundens opsætning uden rigtige medlemsdata. Kunden får den del af rapporten, der vedrører integrationen. I den kundeversion, som andre kunder får, er fundet i integrationen beskrevet som et fund i en kundespecifik tilpasning uden kundens navn. Testeren har underskrevet en fortrolighedsaftale, og rapporten er mærket, så den kun må deles internt hos modtageren. Efter testen slettes kopien af kundens opsætning i testmiljøet, og kunden får besked om, at det er sket. Næste år spørger softwarehuset kunden igen, før integrationen kommer med.

Det skal I lade være med

Lade kundens navn stå i skærmbilleder · det er let at overse, når rapporten renses.
Teste en kundes opsætning uden aftale · kunden bør vide det på forhånd.
Udlevere den fulde rapport til andre kunder · den kan afsløre en anden kundes opsætning.
Glemme testerens fortrolighed · testeren har set mere end nogen anden.
Bruge kundens fund som eksempel i salget · det er kundens oplysninger.

Hvad kan og ikke kan konkluderes

Fortrolighed begge veje kan sikres ved at holde kundens oplysninger ude af testen, hvor det er muligt, og ude af delte dokumenter, hvor det ikke er. En mærkning og en aftale med testeren gør det lettere at styre. Det fjerner ikke behovet for at vurdere, om testen berører kundedata, og det afgør ikke spørgsmål om ansvar mellem jer og kunden. Teksten er ikke juridisk rådgivning.

Tjekliste før testen

☐ Indgår en bestemt kundes opsætning i testen?
☐ Kan den erstattes af en testlejer eller en kopi uden rigtige data?
☐ Er det aftalt med kunden, hvad testeren får adgang til?
☐ Er testeren bundet af fortrolighed om jeres kunder?
☐ Er der en plan for at rense den version, andre kunder får?
☐ Er rapporten mærket, så modtageren ved, hvor bredt den må deles?

Kilder

FIRST: Traffic Light Protocol (TLP): TLP 2.0 med mærkerne RED, AMBER, AMBER+STRICT, GREEN og CLEAR, der angiver, hvor bredt modtageren må dele information.

Senest gennemgået: oktober 2026.