Kunden vil se scope eller deltage i jeres test

En vigtig kunde beder om at se omfanget af den næste penetrationstest, før den bestilles, og vil måske gerne have en repræsentant med på opstartsmødet. Svaret hviler på, hvem testen er til: den er jeres test af jeres produkt, og I bærer ansvaret for omfang og prioritering, men kundens ønsker kan gøre testen mere brugbar for alle kunder. I kan derfor give kunden indflydelse på, hvad testen dækker, uden at give kunden styringen.

Hvorfor kunden spørger

En kunde, der har læst en tidligere rapport og fundet ud af, at det modul, kunden bruger mest, ikke var med, vil gerne undgå at stå i samme situation igen. At se omfanget på forhånd er en måde at sikre, at næste rapport kan bruges. → Rapporten dækker ikke det modul, kunden køber

En anden kunde kan have en sikkerhedsfunktion, der ønsker at vide, hvordan I arbejder, og ser deltagelse i testen som en del af leverandørvurderingen. Og nogle kunder har konkrete bekymringer, fx en integration eller en rolle, som de mener bør afprøves.

Uanset grunden er det nyttigt at spørge, hvad kunden vil opnå. Et ønske om at deltage kan vise sig at være et ønske om at forstå resultatet bedre, og det kan opfyldes på andre måder end ved at sidde med under testen.

Hvem der ejer omfanget

NCSC i Storbritannien beskriver, at afgrænsningen af en test bør involvere de relevante risikoejere, teknisk personale, der kender systemet, og en repræsentant for testerne. NCSC skriver også, at vurderingen af risici og beslutningen om rettelser ligger hos organisationen selv. For et softwarehus betyder det, at omfanget af produkttesten er jeres beslutning, fordi det er jer, der ejer risikoen i produktet.

Kunden er ikke risikoejer for jeres produkt, men kunden kan være en vigtig kilde til viden om, hvordan produktet bruges, og hvad der bekymrer kunderne. Den viden kan I tage med i jeres afgrænsning. Det kræver, at I skelner mellem det, kunden ved noget om, nemlig brugen af produktet, og det, I ved mest om, nemlig arkitekturen, ændringerne siden sidste test og de kendte risici. Kundens input supplerer jeres egen vurdering, men erstatter den ikke. → Scope for en test af SaaS-produktet

Indflydelse, I kan give

Der er flere måder at lade kunden påvirke testen på, uden at testen bliver kundens.

Se omfanget på forhånd · kunden får et udkast og kan kommentere det inden en fast dato.
Foreslå områder · kunden kan pege på moduler, roller eller integrationer, der bør med.
Få at vide, hvad der ikke er med · undtagelserne er lige så vigtige som det, der testes.
Følge op efter testen · kunden får resultatet for de områder, kunden har peget på.

Gør det klart, at forslag bliver vurderet, men ikke nødvendigvis taget med. Den endelige afgrænsning afhænger af risiko, tid og de andre kunders behov. Når flere kunder kommer med forslag, kan I samle dem og vurdere dem samlet, så omfanget ikke bliver en sum af enkeltønsker. Fortæl kunden bagefter, hvilke forslag der kom med, og hvorfor andre ikke gjorde. Et forslag, der ikke passer ind i denne test, kan noteres til den næste. Hvordan omfanget senere står i rapporten, er beskrevet i → Omfangsafsnittet

Når kunden vil deltage

Et ønske om at deltage i selve testen er sværere. En repræsentant for én kunde, der følger testen af et produkt, som alle kunderne deler, kan få indblik i svagheder, før de er rettet, og måske i andre kunders opsætning. Det er et problem for de andre kunder og for jer. Det kan også påvirke testen selv, hvis testeren skal tage hensyn til en tilskuer i stedet for at arbejde frit inden for de aftalte rammer.

Deltagelse kan i stedet tage former, der ikke giver adgang til fund undervejs. Kunden kan deltage i et møde før testen, hvor omfanget gennemgås, og i en gennemgang af resultatet bagefter, når fundene er vurderet. Den løbende dialog mellem testeren og jeres udviklere bør forblive mellem jer og testeren. → Udviklerne og testeren

Vil kunden mere end det, er det måske en test af kundens egen opsætning eller kundens egen test, kunden har brug for. Det er en anden opgave med andre regler. → Kunden vil selv teste jeres produkt

Fortroligheden i omfanget

Selv et udkast til omfanget kan rumme oplysninger, der ikke skal spredes, fx beskrivelser af arkitekturen, integrationer til navngivne systemer eller områder, hvor I kender til svagheder. Del en version, der beskriver testens genstand og undtagelser på et niveau, kunden kan bruge, uden tekniske detaljer, der først hører hjemme i jeres egen planlægning. → Fortrolighed begge veje

Et tænkt eksempel

Et softwarehus med en løsning til ejendomsadministration får en henvendelse fra en stor kunde, der vil se omfanget af den kommende test og gerne deltage. Kunden er særligt bekymret for adgangen mellem ejendomsselskaber i samme løsning.

Softwarehuset sender kunden en kort beskrivelse af omfanget og beder om kommentarer inden for to uger. Kunden foreslår at tage rollen som ekstern revisor med. Forslaget passer til softwarehusets egen risikovurdering og kommer med. Kundens ønske om at deltage i testen afslås med en begrundelse, men kunden inviteres til en gennemgang af resultatet, når fundene er vurderet.

Efter testen får kunden en kundeversion og en gennemgang af de områder, kunden har peget på. Et fund i adgangen mellem selskaber er rettet og bekræftet ved en retest, før gennemgangen holdes, så den kan ske uden forbehold.

Det skal I lade være med

Lade én kunde bestemme omfanget · testen skal dække produktet for alle kunder.
Give en kunde adgang til fund undervejs · de er ikke rettet, og de kan berøre andre.
Love at tage alle forslag med · det kan sprænge rammen for testen.
Dele et omfang med tekniske detaljer · en kort beskrivelse er nok til kunden.
Glemme at vende tilbage · en kunde, der har bidraget, forventer at høre om resultatet.

Hvad kan og ikke kan konkluderes

At lade kunden se og kommentere omfanget kan gøre testen mere relevant og rapporten lettere at bruge over for kunden. Det ændrer ikke ved, at omfanget er jeres beslutning, og at en kunde ikke bør have adgang til fund, før de er vurderet og rettet. Hvordan kunden vurderer en test, kunden har haft indflydelse på, afhænger af kundens egne krav.

Tjekliste før I deler omfanget

☐ Er det klart, at omfanget er jeres beslutning?
☐ Er der en frist for kundens kommentarer?
☐ Er udkastet uden tekniske detaljer, der ikke skal spredes?
☐ Er undtagelserne beskrevet?
☐ Er kundens deltagelse begrænset til møder før og efter testen?
☐ Er det aftalt, hvordan kunden får resultatet bagefter?

Kilder

NCSC (UK): Penetration testing: afgrænsningen bør involvere risikoejere, teknisk personale og en repræsentant for testerne; risikovurdering og beslutninger om rettelser ligger hos organisationen.

Senest gennemgået: oktober 2026.