Kundens testrapport om jeres produkt: hvem ejer den?

Når en kunde selv bestiller en test af jeres produkt, ender der en rapport hos kunden, som beskriver svagheder i noget, I har bygget og står inde for. Rapporten ligger hos kunden, og hvem der har rettighederne til den, afgøres af aftalen mellem kunden og kundens tester, ikke af jer. Jeres indflydelse på, hvem der ser den, og om I selv får den, hviler derfor på det, I har aftalt med kunden, før testen gik i gang. Teksten er ikke juridisk rådgivning.

Spørgsmålet om ejerskab er ikke det eneste, der kan skabe problemer. De kan også opstå, når ingen har tænkt over, hvad rapporten må bruges til, og hvem der må få den.

Rapporten er kundens, svaghederne er jeres

Kundens rapport er et arbejdsdokument for kunden. Den er skrevet til kundens formål, med kundens omfang og kundens forudsætninger, og den kan indeholde oplysninger om kundens egen opsætning, brugere og data. I har ikke krav på at bestemme indholdet, og I kan ikke forlange vurderinger ændret.

Kundens aftale med testeren kan også sætte grænser for kunden. Nogle testere har vilkår om, at rapporten kun må bruges internt hos den, der har bestilt den. Spørg derfor kunden, hvad aftalen med testeren tillader, før I aftaler noget om at få en kopi.

Svaghederne i rapporten handler til gengæld om jeres produkt. Hvis de også findes hos andre kunder, har I brug for at kende dem, og de andre kunder har en interesse i, at I gør det. Den interesse er grunden til, at et softwarehus bør have en holdning til kundernes rapporter, før den første rapport ligger på bordet. → En testpolitik for kunder: reglerne for deres test af produktet

Det, I kan bede om at få

Det er ikke sikkert, at I har brug for hele rapporten. Det kan være nok at få de fund, der angår produktet, i en form, I kan handle på.

Fundene om produktet · beskrivelse, alvorlighed og forudsætninger for hvert fund, der angår jeres kode eller platform.
Omfang og tidspunkt · hvad der blev testet, hvornår og i hvilket miljø, så I kan placere fundene i forhold til jeres versioner.
Besked om alvorlige fund med det samme · så I ikke først hører om dem, når rapporten er færdig.
Mulighed for at kommentere · en chance for at rette faktuelle fejl om produktet, før rapporten lukkes.

Store platformsleverandører stiller tilsvarende krav til deres egne kunder. Microsofts regler for kunders test af Microsofts cloudtjenester kræver, at en sårbarhed i tjenesterne meldes til Microsoft straks, når den er fundet. Et softwarehus kan med samme logik bede kunderne om at melde fund i produktet tilbage. → Kundens tester finder et fund: sådan modtager I det

Når kunden vil dele rapporten

Kunden kan have grunde til at vise rapporten til andre: sin egen revisor, sin bestyrelse, et koncernselskab eller en myndighed. Det er kundens beslutning, så længe kunden holder sig inden for det, I har aftalt. Men en rapport med åbne fund i jeres produkt, der cirkulerer uden kontrol, er en risiko for alle jeres kunder, ikke kun for den ene.

Skeln mellem modtagere, der har en pligt til fortrolighed, som kundens revisor eller en tilsynsmyndighed, og modtagere uden en sådan pligt, som en anden virksomhed i et forhandlingsforløb. Den første gruppe er bundet af egne regler om tavshed. Den anden gruppe kræver en aftale, og aftalen bør sige, hvem der skal spørges, og hvem der svarer på vegne af jer.

Aftal derfor, at fund om produktet behandles fortroligt, og at de ikke offentliggøres eller deles bredere uden jeres accept, så længe de ikke er rettet. Den aftale kan stå i jeres testpolitik eller i kundekontrakten. Den virker kun, hvis den er indgået, før testen begynder. → Testklausulen i jeres kundekontrakt: hvad kan I acceptere?

Kan I bruge kundens rapport over for andre?

Nej, ikke uden kundens udtrykkelige accept, og heller ikke da uden overvejelse. Kundens rapport er ikke en test, I har bestilt, med et omfang, I har valgt. Den kan ikke erstatte jeres egen rapport, når andre kunder spørger, og den kan indeholde oplysninger om kunden, som ingen andre må se.

I kan derimod godt skrive i et sikkerhedsspørgeskema, at kunder tester produktet, og at I modtager og håndterer deres fund. Det er et udsagn om jeres proces, ikke om kundens resultat. → Kundeversionen af rapporten: hvad kan udelades?

Fortroligheden går begge veje

Kundens tester kan under testen se ting om jeres produkt, som ikke står i rapporten, fx opbygning, versioner og navne på komponenter. Det kan være rimeligt at bede om, at testeren er omfattet af en fortrolighedsaftale, der også dækker jeres oplysninger. Omvendt skal I behandle kundens rapport fortroligt, hvis I får den, fordi den beskriver kundens opsætning. → Fortrolighed begge veje: kundens oplysninger i jeres test

Et tænkt eksempel

Et softwarehus leverer et HR-system til mellemstore virksomheder. En kunde lader systemet teste som en del af sin egen årlige gennemgang og vil bagefter sende rapporten til et søsterselskab, der overvejer at købe samme system. Rapporten indeholder et åbent fund om eksport af medarbejderdata.

Softwarehuset beder kunden vente, til fundet er rettet og efterprøvet, og tilbyder i stedet søsterselskabet sin egen kundeversion og en status på fundet. Kunden accepterer. Bagefter tilføjer softwarehuset et afsnit om deling af kunders rapporter i sine vilkår for kundetest, så næste kunde kender reglen, før testen bestilles.

Det skal I lade være med

Kræve at redigere kundens rapport · indholdet er kundens og testerens.
Bruge kundens rapport som jeres egen dokumentation · omfang og formål er kundens.
Vente med aftalen, til rapporten findes · så har I ingen aftale at henvise til.
Kræve hele rapporten, når fundene er nok · bed om det, I kan handle på.
Glemme kundens oplysninger i rapporten · de skal beskyttes, hvis I får den.

Hvad kan og ikke kan konkluderes

Kundens rapport viser, hvad kundens tester fandt i det omfang og på det tidspunkt, kunden valgte. Den er hverken en godkendelse eller en underkendelse af hele produktet. Hvem der må bruge den, afgøres af aftalerne mellem kunden, testeren og jer, ikke af, hvem rapporten handler om.

Tjekliste før kundens test

☐ Står det i jeres vilkår, at fund om produktet skal meldes til jer?
☐ Er det aftalt, at alvorlige fund meldes med det samme?
☐ Er der en regel om fortrolighed og deling, så længe fund er åbne?
☐ Er testeren omfattet af fortrolighed om jeres oplysninger?
☐ Ved I, hvordan I opbevarer kundens rapport, hvis I får den?
☐ Kan sælgerne forklare, hvorfor kundens rapport ikke kan deles med andre?

Kilder

Microsoft: Penetration Testing Rules of Engagement: reglerne gælder alle, der tester Microsofts onlinetjenester, også kunder og deres konsulenter; en fundet sårbarhed skal meldes straks.

Senest gennemgået: oktober 2026.