Kunden vil se de tekniske bilag

En kunde kan have nok i resuméet, en kundeversion eller et erklæringsbrev, men enkelte beder om mere: de tekniske bilag med testerens metode, detaljerne bag fundene og uddrag af testens output. Anmodningen kan komme fra en kunde med en stærk sikkerhedsfunktion, en revisor eller en kunde, der har haft en hændelse og vil være grundig. Svaret er hverken et automatisk ja eller et nej. Det afhænger af, hvad kunden konkret skal bruge bilagene til, og om det formål kan opfyldes med mindre.

Grundlaget for vurderingen er, at bilagene er skrevet til jeres udviklere og drift. De indeholder netop de oplysninger, der kan hjælpe nogen med at finde og udnytte en svaghed, og de bør kun forlade huset med en begrundelse og under aftalte vilkår.

Hvad bilagene kan indeholde

OWASP’s testguide til webapplikationer beskriver, at den tekniske del af en rapport er rettet mod det tekniske team, og at bilag fx kan indeholde den anvendte metode og relevante uddrag fra testens værktøjer. Guiden anbefaler, at mulige følsomme oplysninger i fundene maskeres, og at rapporten beskyttes, så kun modtageren kan bruge den.

For et softwarehus betyder det, at bilagene kan rumme:

Metodebeskrivelse · hvad testeren afprøvede, og med hvilke forudsætninger.
Detaljer om fund · hvor i produktet, hvordan fundet blev påvist, og hvad testeren så.
Uddrag af output · forespørgsler, svar og skærmbilleder fra testen.
Oplysninger om miljøet · adresser, testkonti, versioner og opsætning.

Metodebeskrivelsen er som udgangspunkt ikke følsom. Resten kan være det. Hvor meget der står i bilagene, varierer fra tester til tester, så læs jeres egne bilag igennem, før I svarer kunden. Det er lettere at vurdere en anmodning, når I ved præcis, hvad den omfatter, og hvilke afsnit der rummer detaljer om produktets opbygning. → Kundeversionen af rapporten

Spørg først til formålet

Bed kunden forklare, hvad bilagene skal bruges til. Svaret afgør, hvad der skal deles:

Kunden vil vurdere testens kvalitet · metodebeskrivelsen og omfangsafsnittet kan dække behovet.
Kunden vil forstå et bestemt fund · en uddybende forklaring af netop det fund er mere præcis end alle bilag.
Kunden vil kontrollere en rettelse · retestbeviset er det rigtige dokument.
Kunden skal bruge bilagene i en revision · revisoren kan ofte nøjes med at se dem hos jer.

Mange anmodninger om bilag viser sig at handle om noget, der kan løses med en målrettet oplysning. Det er bedre for begge parter. Kunden får et svar, der passer til spørgsmålet, i stedet for mange sider, som kundens folk selv skal finde rundt i, og I undgår at sende detaljer, som ingen hos kunden havde brug for. → Omfangsafsnittet i rapporten

Se bilagene hos jer frem for at sende dem

Hvis kunden har et reelt behov for at se de detaljerede bilag, er en gennemgang hos jer eller på et skærmdelingsmøde ofte bedre end at sende filen. Kundens sikkerhedsfolk kan stille spørgsmål til den, der kender produktet, og bilagene forlader ikke jeres kontrol. Notér, hvem der deltog, og hvad der blev vist. Lad den, der viser bilagene, være en person, der kan svare fagligt, og som ved, hvilke detaljer der ikke skal uddybes. En kort forberedelse, hvor I gennemgår de afsnit, kunden har spurgt til, gør mødet kortere og mere præcist.

Er det ikke nok, kan læseadgang i en periode være et mellemtrin. Den kan begrænses til navngivne personer og lukkes igen, når kunden er færdig. → Læseadgang eller vedhæftet fil

Vilkår, før bilag udleveres

Skal bilagene udleveres, så aftal vilkårene skriftligt på forhånd:

Formål · bilagene må kun bruges til det formål, kunden har oplyst.
Modtagere · navngivne personer, ikke hele organisationen.
Opbevaring og sletning · hvor bilagene opbevares, og hvornår de slettes.
Videregivelse · ingen videregivelse uden jeres skriftlige accept.
Åbne fund · detaljer om fund, der ikke er rettet, udelades eller vises kun ved en gennemgang.

En fortrolighedsaftale med kunden bør dække bilagene udtrykkeligt, hvis den ikke allerede gør det. Teksten her er ikke juridisk rådgivning; lad jeres egen rådgiver se på aftalen, hvis bilagene er særligt følsomme. → Fortrolighedsaftale før udlevering

Tjek bilagene, før de deles

Selv når udlevering er besluttet, skal bilagene gennemgås. Testens output kan indeholde oplysninger, som ikke burde have stået der: brugernavne, dele af testdata, interne adresser eller oplysninger om andre kunder, hvis testen er foregået i et delt miljø. Fjern eller maskér det, og bed om nødvendigt testeren om en renset udgave. Det skal fremgå af bilagene, at noget er udeladt, så kunden ikke tror, de er komplette.

Tjek også, om bilagene nævner underleverandører eller platforme på en måde, der kræver deres accept. Gem den udgave, der blev udleveret, så I senere kan se præcis, hvad kunden fik, hvis der kommer spørgsmål. → Hvem har fået rapporten: en log

Et tænkt eksempel

En dansk pensionskasse overvejer et softwarehus’ system til medlemsadministration. Kundens sikkerhedschef har læst kundeversionen og beder om de tekniske bilag. Ved et kort opkald viser det sig, at sikkerhedschefen især vil vide, hvordan testeren afprøvede adskillelsen mellem medlemmer, og om testen dækkede den eksportfunktion, pensionskassen skal bruge.

Softwarehuset sender metodebeskrivelsen og et uddrag af omfangsafsnittet og tilbyder en gennemgang af de relevante fund på et skærmdelingsmøde. Sikkerhedschefen og en kollega deltager, den sikkerhedsansvarlige hos softwarehuset viser fundene, og der føres et kort referat. Bilagene sendes ikke. Kunden får svar på sine spørgsmål, og softwarehuset beholder kontrollen med de detaljer, der kunne misbruges.

Det skal I lade være med

Sende bilagene på første forespørgsel · Find formålet først.
Afvise uden at tilbyde et alternativ · Kunden kan have et legitimt behov.
Udlevere detaljer om åbne fund · De hører hjemme i en gennemgang, ikke i en fil.
Dele uden at gennemgå indholdet · Output kan rumme data, der ikke burde stå der.
Glemme at notere, hvem der fik hvad · Næste forespørgsel bliver sværere at håndtere.
Lade bilagene blive liggende hos kunden · Aftal sletning, når formålet er opfyldt.

Hvad kan og ikke kan konkluderes

Bilagene giver kunden indblik i, hvordan testen blev udført, og hvad testeren så. De gør ikke testen mere omfattende, og de viser ikke andet end rapporten selv. Et nej til at sende bilagene er ikke et tegn på, at der er noget at skjule, når kunden får et alternativ, der dækker behovet.

Tjekliste, når kunden vil se bilagene

☐ Kender I formålet med anmodningen?
☐ Kan formålet dækkes af metode, omfang, forklaring eller retestbevis?
☐ Er en gennemgang hos jer tilbudt som første mulighed?
☐ Er vilkår for brug, modtagere og sletning aftalt skriftligt?
☐ Er bilagene gennemgået og renset for data, der ikke skal deles?
☐ Er udleveringen noteret i jeres log?

Kilder

OWASP Web Security Testing Guide v4.2: Reporting: den tekniske del er rettet mod det tekniske team; bilag kan indeholde metode og uddrag fra værktøjer; følsomme oplysninger maskeres, og rapporten beskyttes, så kun modtageren kan bruge den.

Senest gennemgået: oktober 2026.