Rigtige kundedata i testen: hvad aftaler I med kunderne?

Når pentesten foregår i produktionen, eller når et testmiljø er fyldt med en kopi af produktionens data, kan testeren komme til at se oplysninger, som tilhører jeres kunder. Kunderne har ikke valgt testeren, og de har måske ikke hørt om testen. Svaret på, hvad I skal aftale, hviler på et enkelt princip: testeren skal have adgang til så få rigtige oplysninger som muligt, og den adgang, der ikke kan undgås, skal være aftalt, begrænset og dokumenteret. Det, I lover kunderne om adgang til deres data, gælder også under testen.

Teksten her er ikke juridisk rådgivning. Hvad jeres kontrakter og vilkår konkret kræver, skal I selv vurdere.

Undgå dem, hvor det kan lade sig gøre

Den sikreste måde at håndtere rigtige kundedata i testen på er at holde dem ude. I et SaaS-produkt kan det som udgangspunkt lade sig gøre: testeren arbejder med testkunder, som I opretter til formålet, og som er fyldt med opdigtede data. Testkunderne skal ligne rigtige kunder i opsætning og roller, så adskillelsen og rettighederne kan afprøves. → Testlejere

Et staging-miljø med opdigtede data er et alternativ, men kun hvis miljøet ligner produktionen på de punkter, der betyder noget for sikkerheden. Et staging-miljø med en kopi af rigtige data løser ikke problemet; det flytter kundernes oplysninger til et nyt sted. → Et staging-miljø til testen

Databeskyttelsesforordningen nævner dataminimering som et grundprincip i artikel 5, og artikel 25 handler om, at kun de personoplysninger, der er nødvendige til hvert formål, behandles. En pentest har sjældent brug for rigtige personoplysninger for at nå sit formål. Testen skal vise, om grænserne holder, og det kan den lige så godt gøre med en opdigtet kunde som med en rigtig. Det, der kræver omtanke, er at gøre testdataene varierede nok til, at funktioner som søgning, rapporter og eksport har noget at arbejde med.

Når testeren alligevel kan se rigtige data

I en test i produktionen kan det ske, at testeren finder en vej til oplysninger hos en rigtig kunde. Det er netop den slags svaghed, testen skal finde, og den kan ikke udelukkes på forhånd. Det, I kan, er at aftale, hvad der skal ske:

Stopregel · testeren stopper, så snart det står klart, at rigtige kundedata kan nås, og giver jer besked med det samme.
Ingen kopier · fundet dokumenteres uden at gemme eller udlevere selve oplysningerne.
Maskering i rapporten · eksempler i rapporten viser ikke navne, numre eller indhold fra rigtige kunder.
Sletning · alt, testeren har gemt af testmateriale, slettes efter en aftalt periode.
Fortrolighed · testeren har underskrevet en fortrolighedsaftale, der dækker kundernes oplysninger. → Fortrolighed begge veje

Et sådant fund er samtidig et sikkerhedsfund i produktet, som kan have betydning for kunderne. → Multi-tenant: test af adskillelsen

Kundedata, der dukker op andre steder

Rigtige oplysninger kan nå testeren ad veje, der ikke er selve produktet. Supportadgangen og administrationsmodulet kan vise data på tværs af kunder, og hvis de er med i testen, skal det aftales, hvilke konti testeren bruger, og hvad de kan se. Logfiler, sikkerhedskopier og fejlrapporter kan indeholde kundeoplysninger, hvis testeren får adgang til dem som en del af en bredere test. → Supportadgang og administrationsmodul

Testen kan også sende data den anden vej. Mails, notifikationer og webhooks, som testen udløser, kan nå rigtige modtagere, hvis testkunderne deler opsætning med rigtige kunder. Sørg for, at testkundernes adresser og forbindelser peger på steder, I selv kontrollerer, så ingen rigtig kunde modtager en besked, der stammer fra testen.

Hvad kunderne kan forvente at få at vide

Kunderne regner med, at kun de personer, I har lovet dem, får adgang til deres oplysninger. Gå jeres kontrakter og vilkår igennem, før testen planlægges, og se, hvad de siger om adgang til kundedata, om eksterne parter og om sikkerhedstest.

For nogle produkter er det nok, at vilkårene nævner, at produktet testes regelmæssigt af eksterne testere under fortrolighed. For andre, især hvor kunderne har følsomme oplysninger, kan det være relevant at orientere kunderne på forhånd eller at holde testen helt fri af produktionen. Beslut det, før testen begynder, så det ikke bliver et spørgsmål, I skal svare på bagefter.

Hvis testeren rent faktisk har set oplysninger hos en kunde, er det et andet spørgsmål, om kunden skal have besked, og hvordan. → Skal kunderne have besked?

Test er en del af sikkerheden

Kunderne kan omvendt også forvente, at produktet bliver testet. Databeskyttelsesforordningens artikel 32, stk. 1, litra d, nævner en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger. En pentest er en af måderne at afprøve på, og den beskytter kundernes oplysninger på længere sigt. Pointen er ikke at undgå testen, men at gennemføre den, så den ikke selv bliver en risiko for de data, den skal beskytte. → GDPR artikel 32

Et tænkt eksempel

Et softwarehus driver et system til elevadministration på efterskoler. Testen skal ligge i produktionen, fordi staging ikke har kundernes kobling til eget login. Før start opretter softwarehuset to testskoler med opdigtede elever, og aftalen med testeren indeholder stopregel, maskering og sletning. Vilkårene til skolerne nævner allerede regelmæssig ekstern test under fortrolighed.

Under testen viser det sig, at en rapportfunktion kan hente data fra en anden skole. Testeren stopper, giver besked og dokumenterer fundet med testskolernes data. Softwarehuset kan nu vurdere, om rigtige data er blevet set, og handle derefter.

Det skal I lade være med

At kopiere produktionens data til testmiljøet for at gøre testen realistisk · opdigtede data kan gøre samme nytte.
At teste i produktionen uden stopregel · aftal på forhånd, hvad der sker ved et fund.
At lade rigtige oplysninger stå i rapporten · den bliver udleveret til andre kunder.
At glemme jeres egne vilkår · det, I har lovet kunderne om adgang, gælder også testeren.
At lade testmateriale ligge hos testeren · aftal sletning.

Hvad kan og ikke kan konkluderes

En test med opdigtede data og testkunder kan vise, om produktet beskytter data, uden at kundernes oplysninger har været i spil. Den kan ikke vise, hvordan produktet opfører sig med alle varianter af rigtige data. Har testeren set rigtige oplysninger, skal det fremgå af jeres egen dokumentation, hvad der blev set, og hvad der blev gjort.

Tjekliste før testen

☐ Er der testkunder med opdigtede data?
☐ Er det undgået at kopiere rigtige data til testmiljøer?
☐ Er stopregel, maskering og sletning aftalt med testeren?
☐ Har testeren underskrevet en fortrolighedsaftale?
☐ Er jeres kontrakter og vilkår med kunderne gennemgået?
☐ Er det besluttet, om kunderne skal orienteres på forhånd?

Kilder

Databeskyttelsesforordningen (EU) 2016/679: artikel 5, stk. 1, litra c (dataminimering), artikel 25, stk. 2, og artikel 32, stk. 1, litra d (regelmæssig afprøvning).
Datatilsynet: den danske tilsynsmyndighed og vejledning om behandlingssikkerhed.

Senest gennemgået: oktober 2026.