Kontrakten kræver en bestemt certificering hos testeren

Et krav i kundekontrakten om, at jeres penetrationstest skal udføres af en tester med en bestemt certificering, flytter en del af valget af tester over til kunden. Om I kan acceptere det, afhænger af, hvad kravet præcis siger, om det kan opfyldes på det marked, I køber test på, og om det passer med de krav, jeres øvrige kunder stiller. Er svaret usikkert, er det bedre at foreslå en formulering om kvalifikationer og uafhængighed, som kunden kan efterprøve, end at skrive under på et navn. Teksten er ikke juridisk rådgivning.

Valget af tester er jeres. Kundens krav er et vilkår for det valg, ikke en overdragelse af det. → Valg af tester til kunderapporten

Læs kravet præcist

Krav om certificering kan formuleres på mange måder, og forskellen har betydning. Gå ordlyden igennem punkt for punkt.

Person eller virksomhed · gælder kravet den enkelte tester, testfirmaet eller begge?
Ordning · er det en navngiven ordning, en type certificering eller blot ordet certificeret?
Alle eller én · skal alle, der deltager i testen, have certificeringen, eller er det nok, at den ansvarlige har den?
Tilsvarende · står der eller tilsvarende, og hvem afgør i så fald, hvad der er tilsvarende?
Tidspunkt · skal certificeringen være gyldig på testtidspunktet, ved rapportens udlevering eller i hele kontraktperioden?

Et krav om certificering uden nærmere angivelse kan være lettere at opfylde end et krav om en bestemt ordning, men det kan også give uenighed om, hvad der tæller.

Hvor kravet kommer fra

Kunder kan have skrevet kravet ind af gode grunde. Nogle følger en vejledning fra deres eget land eller deres egen sektor. NCSC i Storbritannien anbefaler, at britiske statslige organisationer bruger testere og firmaer, der er en del af CHECK-ordningen, som er NCSC’s egen ordning for test af offentlige systemer og kritisk infrastruktur. CREST er en britisk nonprofitorganisation, der akkrediterer leverandører og certificerer enkeltpersoner. En udenlandsk kunde kan derfor nævne en ordning, der er udbredt i kundens land, men ikke nødvendigvis der, hvor I køber jeres test. → Krav fra en udenlandsk kunde

Spørg kunden, om kravet stammer fra en regel, kunden er underlagt, eller fra en intern politik. Er det en regel, er der mindre plads til at ændre ordlyden. Er det en politik, kan der være plads til en anden formulering, der dækker formålet.

Hvad standarderne selv kræver

Det kan hjælpe at se, hvad strenge standarder kræver af testeren. PCI DSS krav 11.4.3 kræver, at den eksterne penetrationstest udføres af en kvalificeret intern ressource eller en kvalificeret ekstern tredjepart, og at testeren er organisatorisk uafhængig. Standarden tilføjer, at testeren ikke behøver at være godkendt under PCI’s egne ordninger for assessorer og scanningsleverandører.

NCSC skriver i sin generelle vejledning om penetrationstest, at test udført af tredjepart kun bør udføres af kvalificerede og erfarne medarbejdere. Begge kilder lægger altså vægt på kvalifikation og uafhængighed, ikke på et bestemt navn. Det er et argument for en formulering, der beskriver, hvad kunden vil sikre sig, frem for hvilket bevis der skal fremvises. → Kunden accepterer ikke jeres egen interne test

En formulering, I kan opfylde

Foreslå en tekst, som kunden kan efterprøve, og som I kan holde over tid, også hvis I skifter tester.

Uafhængighed · testen udføres af en ekstern part uden rolle i udvikling, drift eller salg af produktet.
Kvalifikationer · testeren har dokumenteret erfaring med test af den type produkt og kan oplyse relevante certificeringer.
Dokumentation · rapporten oplyser testfirma, roller og de kvalifikationer, der er aftalt at oplyse.
Ændringer · I underretter kunden, hvis I skifter tester, og oplyser den nye testers kvalifikationer.

Kan I opfylde kundens navngivne ordning, kan den stå som et eksempel på, hvad der tæller som tilstrækkelig kvalifikation, i stedet for som det eneste, der tæller. Hvordan rapporten oplyser om testeren, er et spørgsmål for sig. → Testerens navn i rapporten

Flere kunder, flere krav

Hver kunde, der får sit eget krav til testeren, indsnævrer jeres valg. To kunder med hver deres ordning kan betyde, at kun ganske få testere opfylder begge, eller ingen. Saml kravene, før I accepterer et nyt, og se, om det nye krav passer med de gamle.

Noter også, hvornår kravene skal være opfyldt. Et krav, der kun gælder ved næste fornyelse, giver tid til at finde en tester, der opfylder det. Et krav, der gælder fra underskriften, kan betyde, at jeres seneste rapport ikke længere tæller over for den kunde, fordi testeren ikke havde den rette certificering. Spørg i så fald, om den eksisterende rapport kan accepteres frem til næste planlagte test. Hvordan køberen generelt bør vurdere en testers kvalifikationer, er beskrevet på penetrationtest.dk.

Et tænkt eksempel

Et softwarehus leverer en rekrutteringsplatform. En ny kunde med hovedsæde i udlandet har et kontraktudkast, hvor testen skal udføres af en tester, der er godkendt under en bestemt national ordning.

Softwarehuset spørger, hvor kravet kommer fra, og får at vide, at det er kundens interne indkøbspolitik. Det foreslår en formulering om ekstern, uafhængig tester med dokumenteret erfaring og oplyste certificeringer, med kundens ordning nævnt som eksempel. Kunden accepterer, når softwarehuset tilføjer, at kunden får besked ved skift af tester. Softwarehuset noterer formuleringen i sit svarbibliotek, så den kan tilbydes næste kunde med et lignende krav, og tjekker ved næste bestilling, at testeren kan dokumentere de oplyste kvalifikationer.

Det skal I lade være med

Skrive under på en ordning, I ikke har undersøgt · det kan være svært at finde en tester, der opfylder den.
Acceptere et krav, der kun gælder én kunde, uden at se på de andre · kravene skal kunne opfyldes samtidig.
Lade eller tilsvarende stå uden at aftale, hvem der vurderer · ellers bliver det et spørgsmål senere.
Love kunden en bestemt person · testeren bestemmer, hvem der udfører opgaven.
Bruge certificeringen som bevis for produktets sikkerhed · den siger noget om testeren.

Hvad kan og ikke kan konkluderes

En opfyldt certificeringsklausul viser, at testeren har det bevis, kunden bad om. Den siger ikke noget om omfanget af testen, kvaliteten af den enkelte rapport eller produktets sikkerhed. Kvalifikationer og uafhængighed er forudsætninger for en god test, ikke et resultat af den.

Tjekliste til kravet om certificering

☐ Ved I, om kravet gælder person, virksomhed eller begge?
☐ Er ordningen tilgængelig der, hvor I køber test?
☐ Er det afklaret, hvor kravet kommer fra?
☐ Er eller tilsvarende med, og er det aftalt, hvem der vurderer?
☐ Passer kravet med jeres andre kunders krav?
☐ Er det aftalt, hvad der sker, hvis I skifter tester?

Kilder

PCI DSS krav 11, gengivet af Microsoft Learn: krav 11.4.3 om kvalificeret tester og organisatorisk uafhængighed, uden krav om godkendelse som assessor eller scanningsleverandør.
NCSC (UK): Penetration testing: test udført af tredjepart bør udføres af kvalificerede og erfarne medarbejdere; britiske statslige organisationer anbefales at bruge CHECK.
NCSC (UK): CHECK penetration testing: ordningen og hvem den er rettet mod.
CREST: vejledninger om køb og implementering: CREST som nonprofitorganisation, der akkrediterer leverandører og certificerer enkeltpersoner.

Senest gennemgået: oktober 2026.