Kunden accepterer ikke jeres egen interne test

Et softwarehus med egne sikkerhedsfolk kan have testet produktet grundigt og alligevel få at vide, at kunden ikke kan bruge resultatet. Afvisningen handler ikke nødvendigvis om kvaliteten af arbejdet, men om, at kunden har brug for en vurdering fra nogen, der ikke har del i produktet.

Det korte svar er derfor, at den interne test ikke er spildt, men at den ikke kan stå alene over for kunden. Kunden skal kunne henvise til en part uden for jeres organisation, og det kan kun en ekstern tester give. Den interne test bliver i stedet jeres grundlag for at gå til den eksterne test velforberedt.

Hvorfor kunden siger nej

Kundens leverandørvurdering skal kunne forsvares over for deres egen ledelse, revisor eller tilsyn. Hvis grundlaget er en rapport, som leverandøren selv har skrevet om sit eget produkt, kan kunden ikke vise, at nogen uden interesse i resultatet har set på det. Det gælder, uanset hvor dygtige jeres folk er.

Der er også et mere konkret spørgsmål om blinde vinkler. Folk, der har været med til at bygge et produkt, kender dets forudsætninger og tænker ikke altid i de retninger, som designet ikke forudså. En ekstern tester har ikke den viden, og det er netop pointen. Det britiske NCSC sammenligner i sin vejledning om penetrationstest en penetrationstest med en revision udført af en ekstern part, der skal vise, om organisationens egne processer er tilstrækkelige.

Læs kundens krav præcist. Ordene uafhængig, ekstern og tredjepart kan betyde forskellige ting fra kunde til kunde. Nogle kræver blot, at testeren ikke er ansat hos jer. Andre kræver også, at testeren ikke er jeres hostingleverandør eller har rådgivet om netop den løsning. Hvis det ikke står klart, så spørg. → Kravet står i kundens leverandørpolitik

Den interne tests værdi

Den interne test har sin egen berettigelse. Den kan køre oftere, følge udviklingen tæt og fange fejl, før de når en release. Den bruger jeres viden om produktets forretningsregler, og den kan målrettes de dele, I selv er mest usikre på. Mange af de fund, en ekstern tester ellers ville bruge tid på, kan være rettet på forhånd. Den interne test er også det, der kan svare på kundens spørgsmål om, hvad der sker mellem to eksterne test.

Brug den derfor aktivt i forberedelsen. Hvis I deler resultaterne fra jeres egne test med den eksterne tester, kan den eksterne test bruge tiden på det, I ikke selv har set. Det giver en bedre rapport til kunden end en ekstern test, der bruger halvdelen af tiden på at genfinde kendte fund. → Udviklerne og testeren: skal de tale sammen undervejs?

Sådan svarer I kunden

Svar ærligt på, hvad I har. Beskriv den interne test kort i jeres svar: hvad den dækker, hvor ofte den kører, og hvem der udfører den. Sig samtidig, at I forstår kravet om en uafhængig vurdering, og hvornår den foreligger. Et tænkt eksempel: Et softwarehus med et projektstyringsværktøj har to sikkerhedsudviklere, der tester hver release. Over for en ny kunde beskriver de den interne praksis i et afsnit for sig og oplyser, at den årlige eksterne test er bestilt til en bestemt måned.

Undgå at kalde den interne test for en penetrationstest uden forbehold i sikkerhedsspørgeskemaet, hvis kunden spørger efter en uafhængig test. Kunden vil før eller siden spørge, hvem der udførte den, og så ser svaret ud som et forsøg på at dække over noget. Hold de to ting adskilt, også i salgsmateriale. → Kunden spørger, hvem der testede

Hvad gør en tester uafhængig nok?

For kunden er det centrale, at testeren ikke har økonomisk eller faglig interesse i et bestemt resultat. En tester, der også sælger jer produkter, driver jeres platform eller har bygget dele af løsningen, er i en anden position end en tester, der kun tester. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber, hvilket er et af de forhold, kunder kan spørge til.

Kunden kan også have krav til testerens kvalifikationer eller certificeringer. Saml de krav, før I vælger tester, så I ikke ender med en rapport, der er uafhængig, men ikke opfylder resten af kravet. Køberens generelle spørgsmål om uafhængighed er beskrevet på penetrationtest.dk. → Sådan vælger I tester, når rapporten skal bruges over for kunder

Når en tidligere medarbejder eller samarbejdspartner tester

Små softwarehuse kan have et netværk af folk, der kender produktet. En tidligere udvikler, der nu er selvstændig sikkerhedskonsulent, kan virke som et oplagt valg. Over for kunden kan det dog være svært at forklare som en uafhængig test. Det samme gælder en partner, I deler kunder eller indtægter med. Hvis I alligevel vælger den løsning, så oplys forbindelsen til kunden, og lad kunden vurdere den. Det er bedre end at kunden opdager den selv.

Skift af tester kan også være et spørgsmål. Har den samme eksterne tester testet produktet mange år i træk, kan en kunde spørge, om testeren efterhånden kender løsningen så godt, at nye øjne ville se mere. Der er ikke et fast svar, men det er værd at have overvejet, før spørgsmålet kommer. En mulighed er at skifte fokus i testen fra år til år, så den samme tester ser produktet fra en ny vinkel.

Det skal I lade være med

Kalde den interne test uafhængig · Kunden spørger, hvem der testede, og opdager forbindelsen.
Opgive den interne test · Den gør den eksterne test bedre og fanger fejl mellem test.
Vælge tester ud fra, hvem der kender produktet bedst · Det er ikke nødvendigvis det, kunden efterspørger.
Undlade at dele egne resultater med testeren · Så bruges tiden på at genfinde det kendte.
Gætte på, hvad uafhængig betyder · Spørg kunden, hvis kravet er uklart.

Hvad kan og ikke kan konkluderes

En intern test kan vise, at I arbejder med sikkerheden løbende og kender produktets svage punkter. Den kan ikke over for kunden dokumentere, at en uvildig part har vurderet produktet. En ekstern test kan give den dokumentation for den afprøvede version, men den siger ikke noget om jeres praksis mellem testene. De to supplerer hinanden og skal beskrives hver for sig.

Tjekliste, når kunden afviser den interne test

☐ Er kundens krav om uafhængighed læst og eventuelt afklaret?
☐ Er den interne test beskrevet præcist og adskilt fra den eksterne?
☐ Er der en dato for den eksterne test, I kan give kunden?
☐ Opfylder den valgte tester både uafhængighed og eventuelle krav til kvalifikationer?
☐ Er forbindelser mellem testeren og softwarehuset oplyst?
☐ Får testeren resultaterne fra jeres egne test før start?