Kunden spørger til hosting og underleverandører i jeres kæde

Et SaaS-produkt står ikke nødvendigvis alene. Det kører hos en cloududbyder, sender mail gennem én tjeneste, tager betaling gennem en anden og bruger måske en tredje til login eller support. Når kunden spørger, hvordan hele kæden er sikret og testet, hviler svaret på jeres overblik over leverandørerne og på en klar opdeling af, hvad I selv står for, og hvad leverandørerne står for.

Det korte svar er: I kan dokumentere det, I selv har bygget og konfigureret, med jeres egen test. For leverandørernes del kan I ikke altid fremvise en pentest. I stedet kan I henvise til den dokumentation, leverandørerne selv stiller til rådighed, og forklare, hvordan I har valgt og styrer dem.

Hvorfor kunden spørger

Kunden har overdraget data til jer, men dataene ligger reelt også hos jeres leverandører. Kundens egen leverandørstyring kan kræve, at de kender kæden et led længere ned, og nogle kunder er selv underlagt regler, der stiller krav til leverandørkæden. Hvis kunden er omfattet af NIS2, kan spørgsmålene om kæden blive mere systematiske, og den side af sagen er beskrevet på nis2-pentest.dk.

Spørgsmålet kan komme i et sikkerhedsspørgeskema som en liste over underleverandører, eller som et opfølgende spørgsmål, når kunden har læst jeres pentestrapport og ser, at hostingplatformen ikke var med i testen. → Spørgsmål om hosting og underleverandører i skemaet

Læs spørgsmålet præcist. Nogle kunder vil kun kende de leverandører, der har adgang til deres data. Andre spørger bredt til alle tjenester, I bruger, også dem til bogføring og mødebooking. Svar på det, der bliver spurgt om, og spørg tilbage, hvis afgrænsningen er uklar. En lang liste med tjenester, hvoraf de fleste aldrig ser kundedata, gør det sværere for kunden at finde det væsentlige.

Delt ansvar hos cloududbyderen

Cloududbyderne beskriver selv, hvordan ansvaret er fordelt. Microsoft forklarer i sin beskrivelse af delt ansvar, at kunden altid selv har ansvaret for data, konti og adgangsstyring, mens fordelingen af resten afhænger af, om tjenesten er infrastruktur, platform eller software. AWS skelner i sin model for delt ansvar mellem sikkerheden af skyen, som AWS står for, og sikkerheden i skyen, som kunden står for.

For jer betyder det, at konfigurationen af jeres cloudmiljø, adgangen til det og alt det, I har bygget ovenpå, er jeres ansvar og kan være en del af jeres egen test. Den fysiske drift og den underliggende platform er udbyderens, og her henviser I til udbyderens egen dokumentation. Forklar fordelingen for kunden med jeres egne ord, og vær præcis om, hvilken type tjenester I bruger. → Produktet hostes hos en cloududbyder

Hvad I kan dokumentere selv

Jeres egen pentest kan dække produktet og, hvis det er aftalt, den konfiguration af cloudmiljøet, I selv står for. Den kan også dække, hvordan produktet bruger leverandørernes tjenester: hvordan login-tjenesten er koblet på, hvordan betalingsflowet håndteres i jeres kode, og hvordan nøgler til tredjepartstjenester opbevares. Det er ikke en test af leverandøren, men af jeres brug af den. Skriv det tydeligt i bestillingen, og husk, at nogle udbydere har egne regler for, hvad kunder må teste på deres platform. Testeren skal kende de regler, før testen begynder, og rapporten bør nævne, at de er fulgt.

Dertil kommer jeres egen styring af leverandørerne: en liste over hvem der behandler kundedata, hvad de gør, hvor data ligger, hvornår I sidst har set på deres dokumentation, og hvem hos jer der er ansvarlig. Den liste kan være det, kunden har mest brug for. → Integrationer til kundernes systemer: hvor går jeres ansvar til? · → Infrastrukturen bag produktet

Hvad I henter fra leverandørerne

Store leverandører kan udgive deres egne erklæringer og certificeringer, fx ISO 27001-certifikater eller revisorerklæringer, og stille dem til rådighed for kunder gennem en tillidsside eller en portal. Det er den dokumentation, I kan henvise til. Leverandørernes egne pentestrapporter er ikke altid tilgængelige, og I bør ikke love kunden at fremskaffe dem.

Mindre leverandører har måske ikke samme dokumentation. Her kan I selv have stillet spørgsmål, da I valgte dem, og det er de svar, I kan beskrive. Hvis en leverandør, der behandler kundedata, ikke kan dokumentere noget, så overvej, om det er acceptabelt, og vær ærlig over for kunden, hvis de spørger. → ISO 27001 i softwarehuset

Et tænkt eksempel

Et softwarehus med en platform til bookning af lokaler kører hos en stor cloududbyder, sender mail gennem en mailtjeneste og bruger en ekstern tjeneste til betaling. En kunde beder om dokumentation for test af hele kæden. Softwarehuset svarer med sin egen pentestrapport for platformen og cloudopsætningen, en oversigt over de tre leverandører med deres rolle og datatyper, henvisninger til leverandørernes offentlige sikkerhedsdokumentation og en kort forklaring af ansvarsfordelingen. Kunden får ikke leverandørernes pentestrapporter, men et samlet billede, kunden kan bruge i sin egen leverandørstyring.

Når en underleverandør skifter

Leverandørkæden ændrer sig. En ny tjeneste til logning eller support tages i brug, eller en eksisterende leverandør skiftes ud. Hold listen opdateret, og tag stilling til, om skiftet påvirker det, I har oplyst kunderne. Nogle kunder har i kontrakten krav om at blive orienteret om nye underleverandører, og det er en god idé at kende de krav, før skiftet sker. Overvej også, om skiftet ændrer noget i jeres egen kode eller konfiguration, som næste test bør se på.

Gem også, hvad I har oplyst hver kunde om kæden og hvornår. Når en kunde senere spørger, om noget er ændret siden sidste svar, kan I så sammenligne med den liste, kunden faktisk fik, i stedet for at gætte.

Det skal I lade være med

Love leverandørernes pentestrapporter · Dem har I ikke nødvendigvis adgang til.
Lade jeres rapport ligne en test af udbyderen · Beskriv, at det er jeres brug og opsætning, der er afprøvet.
Glemme mindre leverandører · Kunden spørger efter alle, der behandler data.
Henvise til delt ansvar uden at sige, hvad der er jeres · Kunden vil vide, hvor grænsen går.
Lade listen forælde · En gammel oversigt skaber flere spørgsmål end ingen.

Hvad kan og ikke kan konkluderes

Jeres pentest kan dokumentere jeres egen del af kæden: produktet, jeres konfiguration og jeres brug af leverandørernes tjenester. Den kan ikke dokumentere leverandørernes sikkerhed. Leverandørernes egne erklæringer kan supplere, men de dækker deres tjeneste, ikke jeres brug af den.

Tjekliste til spørgsmål om kæden

☐ Findes der en opdateret liste over leverandører, der behandler kundedata?
☐ Er ansvarsfordelingen med cloududbyderen beskrevet med jeres egne ord?
☐ Fremgår det af jeres rapport, hvad der var med af cloudopsætning og integrationer?
☐ Ved I, hvor leverandørernes egen sikkerhedsdokumentation findes?
☐ Er der en vurdering af mindre leverandører uden dokumentation?
☐ Kender I kundernes krav om orientering ved nye underleverandører?

Kilder

Microsoft Learn: Shared responsibility in the cloud: data, konti og adgangsstyring er altid kundens ansvar; resten afhænger af tjenestetypen.
AWS: Shared Responsibility Model: sikkerheden af skyen og sikkerheden i skyen.

Senest gennemgået: oktober 2026.