Kunden vil have testet netop deres opsætning af produktet

Når en kunde beder om en test af “vores løsning”, er det ikke altid klart, om de mener den fælles platform, de indstillinger, de selv har valgt, eller de tilpasninger, I har bygget til dem. Svaret afhænger af, hvor meget kundens opsætning adskiller sig fra det, alle andre kunder kører på, og af hvem der har ansvaret for de enkelte valg.

En almindelig platformstest dækker den kode og infrastruktur, som alle kunder deler. Kundens egne valg, som roller, login og integrationer, kan ligge helt eller delvist uden for. Er forskellen lille, kan I vise, at platformstesten også gælder kunden. Er forskellen stor, kan en særskilt test give mening, men den skal aftales og afgrænses som en selvstændig opgave.

Tre ting, kunden kan mene

Den fælles platform · koden, hostingen og de funktioner, alle kunder har adgang til.
Kundens konfiguration · de indstillinger, kunden eller jeres konsulenter har valgt: roller, regler for adgangskoder, login via kundens eget system, hvilke moduler der er slået til.
Kundespecifik kode · tilpasninger, rapporter eller integrationer, der kun findes hos denne ene kunde.

Spørg, hvilken af de tre der bekymrer kunden. Det kan handle om en enkelt ting. Kunden har koblet produktet på sit eget login og vil vide, om koblingen holder, eller kunden har fået en særlig eksport og vil vide, hvem der kan se den. Når bekymringen er sat på ord, bliver det meget lettere at finde det rigtige svar. → Kundespecifikke tilpasninger og konfigurationer

Når platformstesten allerede dækker kunden

I et standardiseret SaaS-produkt kører alle kunder på samme kode, og forskellen mellem dem ligger i data og indstillinger. Hvis jeres seneste test blev udført med testlejere, der var sat op med de samme muligheder, som kunden bruger, dækker rapporten i praksis også kundens del af produktet.

Vis det konkret. Sammenhold kundens opsætning med de testlejere, testeren brugte, og peg på de afsnit i rapporten, der handler om roller, login og adskillelsen mellem kunder. Skriv sammenligningen ned, så kunden kan lægge den i sin egen leverandørvurdering. Et sådant notat er ofte nok, og det er en langt mindre opgave end en ny test. → Testlejere under testen

Vær ærlig om de indstillinger, kun denne kunde bruger. Har kunden slået et modul til, som ingen testlejer havde, eller valgt løsere regler for adgangskoder end jeres standard, så skriv det i notatet. Det er bedre, at kunden hører det fra jer end fra sin egen rådgiver.

Når kundens opsætning er noget for sig

Nogle kunder har så meget særligt, at platformstesten ikke siger meget om netop dem. Det kan være en dedikeret installation, en integration, I har bygget alene til dem, eller en løsning med eget domæne og egen opsætning af login. Her kan en særskilt test være det rigtige svar.

Afklar fire forhold på forhånd:

Bestiller · er det jer, kunden eller begge i fællesskab?
Betaling · en test, der kun gavner én kunde, er sjældent noget, I bør bære alene.
Rapporten · hvem ejer den, og må resultatet indgå i jeres materiale til andre kunder?
Miljøet · testes der i kundens produktionsopsætning eller i en kopi af den?

Skal testen foregå i et miljø, som andre kunder også bruger, gælder de samme hensyn, som når en kunde selv vil teste. De andre kunders drift og data må ikke blive påvirket. → Kunden vil selv teste jeres produkt

Kundens egne valg er kundens ansvar

Meget af det, kunden kalder sin opsætning, er beslutninger, kunden selv har truffet: hvem der er administrator, om tofaktorlogin er krævet, og hvem der har adgang til eksporten. En test kan vise, at produktet giver kunden mulighed for at vælge sikkert. Den viser ikke, at kunden faktisk har valgt sikkert, medmindre testeren netop har set på kundens konfiguration.

Forklar fordelingen tydeligt. Det handler ikke om at fralægge sig ansvar, men om at vise kunden, hvor deres egen indsats gør en forskel. En kort vejledning om sikre indstillinger i produktet hjælper begge parter og kan gøre en test overflødig, som kunden reelt ikke har brug for. Vil kunden alligevel have sine indstillinger efterprøvet, kan en gennemgang af konfigurationen ofte svare mere direkte på spørgsmålet end en egentlig penetrationstest af hele løsningen. → Kundernes eget ansvar

Kortdata og flere kunder i samme løsning

Behandler produktet betalingskort, har PCI DSS et særligt krav til leverandører med flere kunder i samme løsning. Ifølge krav 11.4.7, som Microsoft Learn gengiver det, skal sådanne leverandører støtte deres kunder i forbindelse med kundernes eksterne penetrationstest. Hvad det konkret betyder for jer, afhænger af produktet og kundens rolle, og det bør afklares med den, der vurderer kundens overholdelse. → PCI DSS og testkravet

Et tænkt eksempel

Et softwarehus med et system til vagtplanlægning har en stor kunde, der har koblet systemet på sit eget login og fået bygget en særlig integration til lønsystemet. Kunden beder om en test af sin løsning. Softwarehuset viser, at den årlige test omfattede login via et eksternt system med samme type opsætning, og vedlægger et notat om, hvilke dele af rapporten der gælder kunden. Lønintegrationen var ikke med. Den foreslås testet for sig, med kunden som medbestiller og en aftale om, at rapporten kun deles mellem de to parter.

Det skal I lade være med

Sige ja til en ny test, før I ved, hvad kunden mener · den eksisterende rapport kan dække det meste.
Påstå, at platformstesten dækker alt · kundespecifik kode og særlige integrationer kan ligge uden for.
Teste i et delt miljø uden hensyn · de andre kunders drift og data skal skånes.
Love, at kundens egne indstillinger er sikre · det kan kun kunden selv sørge for.
Lade ejerskabet af en særskilt rapport stå åbent · aftal det, før testen bestilles.

Hvad kan og ikke kan konkluderes

En platformstest viser, hvordan den fælles kode og opsætning holdt på testtidspunktet, og gælder for kunden i det omfang, kundens brug ligner testlejerne. Den siger intet om kode, der kun findes hos kunden, og intet om de valg, kunden har truffet i sin egen administration. En særskilt test af kundens opsætning siger til gengæld kun noget om den ene kunde.

Tjekliste, når kunden vil have sin opsætning testet

☐ Ved I, om kunden mener platformen, konfigurationen eller kundespecifik kode?
☐ Er kundens opsætning sammenholdt med testlejerne fra seneste test?
☐ Findes der et notat om, hvilke dele af rapporten der gælder kunden?
☐ Er kundespecifik kode og særlige integrationer vurderet for sig?
☐ Er det aftalt, hvem der bestiller, betaler og ejer en særskilt rapport?
☐ Har kunden fået en vejledning om sikre indstillinger i produktet?

Kilder

PCI DSS krav 11, gengivet af Microsoft Learn: krav 11.4.7 om, at leverandører med flere kunder i samme løsning skal støtte kundernes eksterne penetrationstest.

Senest gennemgået: oktober 2026.