Kunden spørger, hvem der testede: uafhængighed og kvalifikationer

Når kunden har fået at vide, at produktet er penetrationstestet, kan det næste spørgsmål komme hurtigt: hvem udførte testen? Kunden vil vurdere, om resultatet er til at stole på, og svaret hviler på to ting, I kan dokumentere: at testeren er uafhængig af dem, der har bygget og driver produktet, og at testeren har relevant erfaring og kvalifikationer.

Kunden spørger ikke nødvendigvis for at kende navnet i sig selv. Spørgsmålet handler om tillid til resultatet. En test, som udviklerne selv har udført, eller som er lavet af en leverandør, der også sælger jer sikkerhedsprodukter, kan være faglig solid, men den er sværere for kunden at lægge til grund.

Hvad kunden vil vide

Bag spørgsmålet kan der ligge tre underspørgsmål:

Ekstern eller intern · blev testen udført af jeres egne folk eller af en ekstern part?
Uafhængighed · har testeren en rolle i udviklingen, driften eller salget af produktet eller af de produkter, testen anbefaler?
Kvalifikationer · har testeren erfaring med den type produkt, og findes der certificeringer eller medlemskaber, kunden kan genkende?

Svar på dem i den rækkefølge. Uafhængigheden er et punkt, kunderne kan lægge vægt på, og den kan I beskrive uden at afsløre ret meget om testeren. Kvalifikationerne kræver mere omtanke, fordi de skal være sande, relevante og aftalt med testeren, før de nævnes.

Uafhængighed i praksis

En tester er uafhængig, når testeren ikke har bygget, konfigureret eller driver det, der testes, og ikke har en økonomisk interesse i resultatet. Det udelukker typisk jeres egne udviklere og jeres driftsleverandør. En kollega fra et andet team kan være mere uafhængig end en udvikler på produktet, men kunden kan stadig se testen som intern. → Kunden accepterer ikke jeres egen interne test

PCI DSS beskriver kravet til uafhængighed konkret. Ifølge krav 11.4.2 og 11.4.3, som Microsoft Learn gengiver dem, skal penetrationstest udføres af en kvalificeret intern ressource eller en kvalificeret ekstern tredjepart, og testeren skal være organisatorisk uafhængig. Standarden tillader altså en intern tester, når uafhængigheden er på plads, men nogle kunder vælger en strengere fortolkning i deres egne krav. Kravet gælder virksomheder inden for PCI DSS’s område. Bruges det som inspiration i en kundes politik, er det kundens egen formulering, der afgør, hvad I skal leve op til, og den bør I læse præcist.

Skriv i svaret, hvordan testeren er uafhængig. En formulering som “testen blev udført af en ekstern tester uden rolle i udvikling eller drift af produktet” dækker det, kunden spørger om. Hvis testeren også sælger produkter eller har partnerskaber med leverandører, så overvej, om det bør nævnes. Nielco IT er et eksempel på en uvildig tester, der ikke sælger produkter og ikke har leverandørpartnerskaber, men pointen gælder enhver tester: kunden skal kunne se, at anbefalingerne ikke er farvet af et salg.

Kvalifikationer og erfaring

Kvalifikationer er sværere at beskrive kort. Det britiske NCSC skriver, at penetrationstest udført af tredjepart kun bør laves af kvalificeret og erfarent personale, og anbefaler, at britiske statslige organisationer bruger testere fra CHECK-ordningen. Organisationer som CREST tilbyder vejledninger om, hvordan test bør afgrænses, udføres og afsluttes, og kunder kan nævne den slags ordninger som reference. → Kontrakten kræver en bestemt certificering hos testeren

Oplys det, der er relevant for opgaven: testerens erfaring med webapplikationer og API’er, med produkter med flere kunder i samme løsning og med den branche, kunden er i. Certificeringer kan nævnes, hvis testeren har dem og har givet lov. Lov ikke kunden en bestemt certificering, før I har tjekket det med testeren. Husk også, at en certificering hører til en person eller et firma og ikke til en bestemt test. Hvis testeren skifter fra år til år, skal oplysningerne i jeres svar følge med, så kunden ikke læser om kvalifikationer hos en tester, der ikke længere har jeres opgave.

Er kunden i tvivl om, hvad der skal kræves af en tester, findes der en generel gennemgang på penetrationtest.dk. Jeres opgave er at svare på, hvad jeres tester kunne, ikke at undervise kunden. → Valg af tester til kunderapporten

Hvad I kan oplyse, og hvad I bør aftale

Testerens firmanavn kan stå i rapporten og i et erklæringsbrev. Navnet på den enkelte konsulent er en anden sag. Nogle testere vil gerne stå frem, andre foretrækker, at kun firmanavnet nævnes. Aftal det med testeren, før I oplyser det til kunderne, og aftal også, om kunden må kontakte testeren direkte med spørgsmål. Hvis kontakten er tilladt, så aftal, hvad testeren må fortælle, og om I skal være med i samtalen. Testeren kan være bundet af fortrolighed over for jer, og kunden skal ikke få oplysninger om fund, som I ikke selv ville have udleveret. → Kunden vil have testerens navn og certificering i rapporten

Hvis kunden ønsker mere end firmanavn og en beskrivelse af kvalifikationerne, fx et cv eller dokumentation for certificeringer, så bed testeren om et kort udsnit, som må deles. Det skal udleveres på samme vilkår om fortrolighed som rapporten. → Erklæringsbrevet fra testeren

Et tænkt eksempel

Et softwarehus, der leverer et system til bookning af behandlinger i klinikker, får et opfølgende spørgsmål fra en klinikkæde: hvem testede, og hvordan er testeren uafhængig? Softwarehuset svarer, at testen blev udført af et eksternt firma uden andre opgaver for softwarehuset, at testeren hverken udvikler, drifter eller sælger produkter til platformen, og at testeren har erfaring med webapplikationer med flere kunder i samme løsning. Firmaets navn oplyses, og et erklæringsbrev fra testeren vedlægges efter aftale om fortrolighed.

Det skal I lade være med

Kalde en intern test ekstern · kunden opdager det, når rapporten læses.
Nævne certificeringer, I ikke har tjekket · de skal kunne dokumenteres.
Oplyse konsulentens navn uden aftale · spørg testeren først.
Skjule, at testeren har andre roller hos jer · forklar det, og lad kunden vurdere.
Lade kunden kontakte testeren uden en aftale · afklar på forhånd, hvad testeren må sige.

Hvad kan og ikke kan konkluderes

Oplysninger om testerens uafhængighed og kvalifikationer gør det lettere for kunden at stole på resultatet. De viser ikke, at testen var grundig, eller at omfanget var det rigtige. En uafhængig og velkvalificeret tester kan kun teste det, der var med i opgaven, og kun på det tidspunkt, testen fandt sted.

Tjekliste til spørgsmålet om testeren

☐ Fremgår det, om testen var intern eller ekstern?
☐ Er testerens uafhængighed af udvikling, drift og salg beskrevet?
☐ Er relevant erfaring med produkttypen nævnt?
☐ Er oplyste certificeringer bekræftet af testeren?
☐ Er det aftalt, om konsulentens navn må oplyses?
☐ Er det aftalt, om kunden må kontakte testeren direkte?

Kilder

PCI DSS krav 11, gengivet af Microsoft Learn: krav 11.4.2 og 11.4.3 om kvalificeret intern eller ekstern tester og organisatorisk uafhængighed.
NCSC (UK): Penetration testing: tredjepartstest bør udføres af kvalificeret og erfarent personale; anbefaling om CHECK-ordningen for britiske statslige organisationer.
CREST: vejledninger om køb og implementering: vejledning om afgrænsning, udførelse og afslutning af penetrationstest.

Senest gennemgået: oktober 2026.