Kunden læser et fund anderledes end jer

Når kundens sikkerhedsfolk læser jeres pentestrapport, kan de nå frem til en anden vurdering af et fund, end I selv har gjort, og så står salget eller samarbejdet pludselig og venter på en afklaring. Uenigheden behøver ikke at være et spørgsmål om, hvem der har ret. Den opstår, fordi kunden læser fundet ud fra sin egen brug af produktet, mens I læser det ud fra kendskabet til hele løsningen.

Svaret hviler derfor på to ting: at finde det præcise punkt, hvor læsningerne skilles, og at give kunden de oplysninger, der skal til for at vurdere fundet selv. Testerens vurdering står fast i rapporten; det er jeres og kundens fortolkning af den, der skal mødes.

Tre steder, læsningerne kan skilles

En uenighed om et fund handler ikke altid om hele fundet. Den kan ligge ét af tre steder:

Alvorligheden · kunden ser et højt fund, hvor I mener, at forholdene i produktet trækker risikoen ned, eller omvendt.
Relevansen · kunden er usikker på, om fundet angår den del af produktet, kunden bruger.
Status · kunden tror, fundet er åbent, fordi rapporten er ældre end jeres rettelse.

Spørg kunden direkte, hvilket af de tre spørgsmål der fylder. Et svar om alvorlighed hjælper ikke en kunde, der i virkeligheden er i tvivl om status, og en lang forklaring om rettelsen overbeviser ikke en kunde, der mener, at fundet aldrig burde være opstået.

Testerens score er et fælles udgangspunkt

Mange rapporter bruger CVSS. FIRST, der står bag standarden, beskriver CVSS som et mål for en sårbarheds alvorlighed set i forhold til andre sårbarheder. Standarden lægger op til, at den, der bruger scoren, supplerer grundscoren med oplysninger om trusler og om sit eget miljø for at få et bedre grundlag for en risikovurdering. Kunden har altså en legitim grund til at læse fundet med sine egne forhold for øje.

Det betyder også, at I ikke kan forlange, at kunden accepterer jeres lavere vurdering. I kan forklare, hvilke forhold i produktet I lægger vægt på, og lade kunden tage stilling. Testerens score skal blive stående i rapporten som testerens udsagn. Jeres vurdering står ved siden af, med jeres navn som afsender. → Lav alvorlighed, stor bekymring: forklar et fund for kunden

Før I svarer kunden

Saml oplysningerne, inden nogen hos jer skriver tilbage. Aftal også, hvem der ejer svaret. Det er typisk den sikkerhedsansvarlige eller produktejeren, der formulerer den faglige del, mens den kundeansvarlige sørger for, at kunden får svaret til tiden og ved, hvem der kan spørges. Et forhastet svar fra en sælger, der gengiver udviklernes første reaktion, kan låse jer fast på en holdning, som I senere må trække tilbage.

Rapportens ordlyd · hvad testeren skrev om fundet, forudsætningerne og den del af produktet, der blev testet.
Produktets forhold · hvilke andre beskyttelser der begrænser fundet, og om de gælder for alle kunder.
Kundens opsætning · om kunden bruger den funktion eller konfiguration, fundet angår.
Status · om fundet er rettet, og om rettelsen er efterprøvet.

Hvis I er uenige med testeren om selve vurderingen, er det en anden samtale, som hører hjemme mellem jer og testeren. Køberens side af den situation er beskrevet på penetrationtest.dk. Over for kunden holder I de to uenigheder adskilt.

Svaret til kunden

Et godt svar er kort, skriftligt og til at efterprøve. Det gengiver testerens vurdering uændret, forklarer jeres egen vurdering med de konkrete forhold i produktet og siger, hvad der er gjort eller planlagt. Undgå at bede kunden om at se bort fra fundet. Bed i stedet kunden om at vurdere det med de nye oplysninger.

Er fundet rettet, er en dokumenteret efterprøvning det stærkeste argument, I har. Det flytter samtalen fra fortolkning til fakta. → Retestbevis: vis kunden, at fundene er rettet

Er fundet stadig åbent, giver en dateret status med plan og ansvarlig kunden noget at holde jer op på. → Åbne fund i rapporten til kunden

Et tænkt eksempel

Et softwarehus leverer et bookingsystem til klinikker. En ny kunde læser rapporten og stopper ved et fund om eksport af kalenderdata, som testeren har vurderet som middel. Kunden ser det som alvorligt, fordi kalenderen indeholder patientaftaler. Softwarehuset mener, at fundet har lav betydning, fordi eksporten kræver administratorrettigheder.

Ved et kort opkald viser det sig, at kunden har mange administratorer i sin organisation. Kundens vurdering er derfor rimelig for netop denne kunde. Softwarehuset sender en skriftlig forklaring med testerens vurdering, sin egen begrundelse, forholdet om administratorrettigheder og datoen for den planlagte rettelse. Kunden beslutter selv at begrænse antallet af administratorer, indtil rettelsen er efterprøvet. → Kundernes eget ansvar: det, I ikke kan teste for dem

Når I ikke bliver enige

Nogle gange bliver kunden ved sin vurdering. Så er spørgsmålet ikke længere, hvem der læser rigtigt, men hvad der skal til, for at kunden kan gå videre. Det kan være en fremrykket rettelse, en retest af netop det fund, en midlertidig foranstaltning hos kunden eller en aftale om, at kunden får besked, når fundet er lukket.

Det kan også være, at kunden vælger at gå videre med et forbehold i sin egen leverandørvurdering. Det er kundens beslutning, og den er ikke et nederlag for jer, så længe kunden har fået et retvisende billede. Skriv aftalen ned, og notér, hvem der har lovet hvad. Hvis kunden kræver en ændring, I ikke kan levere, er det bedre at sige det end at love en dato, der ikke holder. → Alvorlige fund lige før en kundeaftale

Det skal I lade være med

Rette testerens score · Rapporten er testerens udsagn og skal kunne læses uændret.
Kalde kundens læsning forkert · Kunden vurderer ud fra egne forhold, og det er legitimt.
Svare med detaljer om udnyttelse · Forklar forholdene, ikke hvordan fundet kan bruges.
Lade sælgeren svare alene · Faglige vurderinger skal komme fra dem, der kender produktet.
Blande uenigheden med testeren ind · Den afklares med testeren, ikke med kunden.
Glemme at skrive svaret ned · Næste kunde kan stille samme spørgsmål.

Hvad kan og ikke kan konkluderes

En afklaret uenighed viser, at fundet er forstået af begge parter, og at kunden har fået et grundlag for sin egen vurdering. Den ændrer ikke testerens vurdering, og den viser ikke, at fundet er uden betydning for andre kunder. Jeres egen vurdering er jeres udsagn, ikke en ny test.

Tjekliste, når kunden ser fundet anderledes

☐ Ved I, om uenigheden gælder alvorlighed, relevans eller status?
☐ Er testerens vurdering gengivet uændret i svaret?
☐ Er jeres egen vurdering begrundet med konkrete forhold i produktet?
☐ Har I spurgt til kundens brug og opsætning?
☐ Er status og plan dateret?
☐ Er aftalen med kunden skrevet ned og gemt til næste spørgsmål?

Kilder

FIRST CVSS v4.0: CVSS angiver alvorlighed i forhold til andre sårbarheder; brugeren opfordres til at supplere grundscoren med trusselsoplysninger og egne miljøforhold.

Senest gennemgået: oktober 2026.