ISO 27001 i softwarehuset: hvad kunderne forventer af testen

Et softwarehus med et ISO 27001-certifikat kan opleve, at kunden alligevel beder om en pentestrapport. Det hviler på, hvad certifikatet dokumenterer: ifølge ISO selv fastlægger ISO/IEC 27001 krav til et ledelsessystem for informationssikkerhed, altså til den måde, I styrer risici på. Certifikatet siger ikke i sig selv, hvilke sårbarheder der er i produktet, og derfor kan en kunde, der vil vide det, have brug for testen ved siden af certifikatet.

Hvordan penetrationstest kan indgå i et certificeringsforløb set fra køberens side, er beskrevet på penetrationtest.dk. Her handler det om, hvad kunderne kan forvente af jer som leverandør med et certifikat.

Hvad certifikatet viser kunden

ISO beskriver ISO/IEC 27001 som standarden for ledelsessystemer for informationssikkerhed med krav til at etablere, implementere, vedligeholde og løbende forbedre systemet. Overensstemmelse med standarden betyder ifølge ISO, at organisationen har et system til at styre risici for sikkerheden i de data, den ejer eller håndterer.

ISO certificerer ikke selv. Certificering foretages af uafhængige certificeringsorganer, og ISO anbefaler at kontrollere, om organet er akkrediteret. ISO henviser også til en international database, hvor certificeringer fra akkrediterede organer kan kontrolleres. Det er værd at vide, fordi en kunde kan bruge den til at slå jeres certifikat op uden at spørge jer. For kunden betyder det, at certifikatet er en uafhængig bekræftelse af, at ledelsessystemet opfylder kravene inden for det område, certifikatet dækker.

For jer betyder det, at certifikatet er et stærkt svar på spørgsmål om styring, politikker og processer. Det er et mindre præcist svar på spørgsmålet om, hvorvidt produktet er testet. Kunden kan ikke se af certifikatet, hvornår produktet sidst blev afprøvet, hvad der blev fundet, eller om fundene er rettet.

Det, kunden kan spørge om bagefter

Kunder, der kender standarden, kan stille opfølgende spørgsmål, som certifikatet alene ikke besvarer.

Anvendelsesområdet · omfatter certifikatet det produkt, kunden køber, og den drift, der ligger bag?
Certificeringsorganet · hvem har udstedt certifikatet, og kan det kontrolleres?
Test af produktet · er produktet penetrationstestet, hvornår og af hvem?
Fundene · hvordan er fund fra testen håndteret i jeres risikostyring?
Rytmen · hvordan indgår test i jeres årlige arbejde med ledelsessystemet?

Det første spørgsmål er det vigtigste. Et certifikat, der dækker virksomhedens interne IT, men ikke produktet eller hostingmiljøet, svarer ikke på det, kunden vil vide. → Produktet eller hele virksomheden

Testen som en del af jeres system

I et ledelsessystem er en penetrationstest ikke et isoleret dokument. Den er en kilde til viden om risici, et grundlag for beslutninger om rettelser og en måde at kontrollere, om jeres sikkerhedstiltag virker. Det er den sammenhæng, kunden kan have glæde af at se.

Beskriv derfor testen i jeres svar som en del af det system, certifikatet dækker: at produktet testes efter en fast plan, at fund indgår i risikovurderingen, og at rettelser følges op. Det er et stærkere svar end en rapport alene og et mere præcist svar end certifikatet alene.

Sammenhængen går også den anden vej. Når kunden ser, at testens fund er registreret som risici, og at beslutninger om rettelser er truffet af den, der ejer risikoen, bliver det tydeligt, at testen ikke blot er bestilt for at have en rapport at vise frem. Det er den forskel, en erfaren kunde kan lede efter, når et softwarehus både har et certifikat og en rapport. Sørg derfor for, at testens omfang svarer til det produkt, certifikatet dækker, så de to dokumenter peger på det samme. → Et årshjul for sikkerhedstest

Hvad kunden forventer at få udleveret

Det er ikke givet, hvilke dokumenter en kunde forventer, når kravet er ISO 27001. Nogle kunder nøjes med certifikatet. Nogle kunder vil også se et resumé af den seneste test. Andre ønsker at se, hvilke sikkerhedstiltag I har valgt, og hvordan valget er begrundet.

Afgør på forhånd, hvad I udleverer. Et certifikat kan deles bredt. En testrapport kræver mere omtanke, og et resumé eller en erklæring kan være den rette form. → Hel rapport, resumé eller erklæring

Når kunden har sin egen fortolkning

Kunder kan henvise til ISO 27001 i et krav uden at sige præcist, hvad de mener. “Leverandøren skal følge ISO 27001” kan betyde et certifikat, en erklæring om, at I arbejder efter standarden, eller noget helt tredje. Spørg kunden, før I svarer, og skriv svaret ned, så det kan genbruges, når den samme formulering dukker op hos en anden kunde. → Kunden henviser bredt til en standard

Har I ikke et certifikat, så sig det. Skriv ikke, at I “følger” eller “er i overensstemmelse med” standarden, hvis det ikke er bekræftet af et certificeringsorgan, uden at gøre det klart. Det samme gælder salgsmaterialet. → Testen i salgsmaterialet

Et tænkt eksempel

Et softwarehus med en platform til dokumenthåndtering har været certificeret efter ISO 27001 i to år. En ny kunde beder om certifikatet og om dokumentation for test af platformen.

Softwarehuset sender certifikatet med anvendelsesområdet, der omfatter udvikling og drift af platformen. Det vedlægger et resumé af den seneste penetrationstest og en kort beskrivelse af, hvordan test indgår i årshjulet, og hvordan fund behandles i risikovurderingen. Kunden spørger, om certificeringsorganet er akkrediteret, og softwarehuset henviser til organets egne oplysninger og til den internationale database, hvor akkrediterede certificeringer kan slås op. Kunden har derefter ét opfølgende spørgsmål: om et fund fra testen, der står som åbent i resuméet, er med i risikovurderingen. Softwarehuset bekræfter det og oplyser den planlagte rettelse.

Det skal I lade være med

Bruge certifikatet som svar på spørgsmålet om test · det er to forskellige spørgsmål.
Udelade anvendelsesområdet · kunden skal kunne se, om produktet er omfattet.
Skrive, at I følger standarden, uden certifikat · uden at gøre forskellen tydelig.
Udlevere den fulde testrapport, fordi kunden nævner ISO · formen bør vælges ud fra behovet.
Behandle testen som et isoleret dokument · den hører hjemme i jeres risikostyring.

Hvad kan og ikke kan konkluderes

Et ISO 27001-certifikat kan dokumentere over for kunderne, at jeres ledelsessystem for informationssikkerhed er vurderet af et uafhængigt certificeringsorgan inden for et bestemt område. Det kan ikke i sig selv dokumentere, at produktet er testet, eller hvilke sårbarheder det har. Hvordan en kunde vurderer certifikatet og testen, afhænger af kundens egne krav, og teksten lover intet udfald af en certificering.

Tjekliste til kundens spørgsmål om ISO 27001

☐ Fremgår det af certifikatet, at produktet og driften er omfattet?
☐ Kan kunden se, hvilket certificeringsorgan der har udstedt det?
☐ Har I dokumentation for test af produktet ved siden af certifikatet?
☐ Kan I beskrive, hvordan testen indgår i jeres risikostyring?
☐ Er det afgjort, hvilke dokumenter der udleveres?

Kilder

ISO/IEC 27001:2022: ISO’s side om standarden; krav til et ledelsessystem for informationssikkerhed og styring af risici for data, organisationen ejer eller håndterer.
ISO: Certification: ISO certificerer ikke selv; certificering foretages af uafhængige organer, og ISO anbefaler at kontrollere akkreditering.

Senest gennemgået: oktober 2026.