Kundeversionen af rapporten: hvad kan udelades?

En kunde, der vil se mere end et resumé, men ikke bør have alle tekniske detaljer, kan få en kundeversion af rapporten. Grænsen for, hvad der kan udelades, går mellem to slags oplysninger: dem, der kan hjælpe nogen med at udnytte en svaghed, og dem, kunden skal bruge for at vurdere produktet og testen. Det første kan tages ud. Det andet skal blive.

Kundeversionen er altså ikke en pænere udgave af rapporten. Den indeholder de samme fund, med samme alvor og samme status, men uden de detaljer, der kun er nyttige for den, der skal genskabe eller rette fundet.

Hvorfor en særskilt version

Den fulde rapport er skrevet, så jeres udviklere kan forstå og rette hvert fund. Den kan indeholde præcise trin, adresser, parametre og skærmbilleder. Det er nødvendigt for rettelsen, men det er også de oplysninger, der gør rapporten følsom, især så længe et fund er åbent.

OWASP’s testvejledning for webapplikationer anbefaler, at mulige følsomme data i rapporten maskeres, fx adgangskoder, personoplysninger og kortoplysninger, og at rapporten sikres, så kun modtageren kan bruge den. En kundeversion går et skridt videre: den er bygget til en modtager uden for huset fra begyndelsen. → Hel rapport, resumé eller erklæring

Kundeversionen passer typisk til kunder, der har egne sikkerhedsfolk og vil vurdere fundene selv, men som ikke skal rette noget i produktet. Det kan være en kunde i en konkret forhandling, der har accepteret fortrolighed, eller en eksisterende kunde, hvis revisor beder om mere end et resumé. For mindre kunder er resuméet ofte nok, og så er der ingen grund til at udlevere mere.

Det, der kan udelades

Trin til at genskabe fundet · den præcise fremgangsmåde, testeren brugte.
Tekniske detaljer om åbne fund · adresser, parametre og forespørgsler, der peger direkte på svagheden.
Interne navne og adresser · servernavne, interne netværk og navne på miljøer.
Nøgler, tokens og adgangsoplysninger · også udløbne, hvis de ses i skærmbilleder.
Personoplysninger og data i testlejere · navne, mails og indhold, testeren har set.
Andre kunders oplysninger · navne på kunder, der indgår i eksempler eller testopsætning.
Rå bilag · lange udskrifter, der kun er nyttige for teknikere.

Pas på ikke at udelade så meget, at beskrivelsen bliver tom. Et fund, der kun hedder svaghed i adgangskontrollen, giver kunden intet at vurdere. Kunden skal kunne forstå, hvilken type bruger der kunne gøre hvad, og hvilke data eller funktioner det berørte. Det er fremgangsmåden, der holdes tilbage, ikke konsekvensen.

Detaljerne for fund, der er rettet og efterprøvet, er mindre følsomme, men de giver stadig indsigt i, hvordan produktet er bygget. Overvej, om de også skal holdes tilbage. → Kunden vil se de tekniske bilag

Det, der skal blive

Omfang og begrænsninger · uden dem kan kunden ikke vurdere resten.
Testperiode, version og udgangspunkt · som i den fulde rapport.
Alle fund · med titel, alvor og den del af produktet, de vedrører.
En beskrivelse af hvert fund · i et sprog, der forklarer betydningen uden at forklare udnyttelsen.
Status · rettet, efterprøvet, accepteret eller åben, med dato.
Anbefalinger på overordnet niveau · hvad der skal til, ikke hvordan.
Testerens forbehold · om øjebliksbillede og omfang.

Det vigtigste punkt er, at alle fund står der. En kundeversion, hvor fund mangler, er ikke en redigeret rapport, men en forkert rapport. → Åbne fund i rapporten til kunden

Hvem laver kundeversionen

Lad testeren lave den. Hvis I selv redigerer i testerens rapport, er dokumentet ikke længere testerens, og kunden kan ikke vide, hvad der er ændret. Aftal kundeversionen som en leverance i bestillingen, så testeren skriver rapporten med to udgaver i tankerne, og så det er klart, at testeren står inde for begge.

Tænk også over tidspunktet. En kundeversion, der laves lige efter testen, viser mange fund som åbne. Laves den efter efterprøvningen, kan status opdateres, og flere detaljer bliver mindre følsomme. Aftal med testeren, om kundeversionen skal opdateres efter efterprøvningen, så den udgave, kunderne får, svarer til den aktuelle status.

Hvis I alligevel selv laver et uddrag, så skriv tydeligt, at det er jeres uddrag, hvem der har lavet det, og hvilken rapport det bygger på. Kunden kan så vælge at bede om at se den fulde rapport på et møde. → Bestil testen til kundebrug

Testeren kan også hjælpe med at vurdere, hvilke detaljer der er følsomme. Det er testeren, der bedst ved, hvilke oplysninger der gør et fund let at genskabe.

Mærkning og sammenhæng med den fulde rapport

Kundeversionen skal kunne kobles til den fulde rapport. Giv den samme dato, samme versionsnummer for produktet og en tydelig angivelse af, at den er en kundeversion med udeladte tekniske detaljer. Brug samme nummerering af fund, så en kunde, der senere får lov at se den fulde rapport, kan genfinde hvert fund.

Mærk den også som fortrolig, og angiv, hvem den er udleveret til. Det gør det lettere at følge, hvor den ender. → Vandmærke og sporbarhed på udleverede rapporter

Et tænkt eksempel

Et softwarehus med et system til projektstyring i rådgivende ingeniørfirmaer har en rapport med seks fund. Ét fund af middel alvor er stadig åbent og handler om, at en bestemt type bruger kan se projektnavne i andre afdelinger. I kundeversionen står fundet med titel, alvor, berørt modul, en forklaring af betydningen for kunden og en plan med dato. Den præcise fremgangsmåde og de adresser, testeren brugte, er udeladt. De fem rettede fund står med status og dato for efterprøvning. Skærmbilleder med navne fra testlejerne er fjernet.

Det skal I lade være med

Fjerne fund · Alle fund skal stå, også de åbne.
Ændre alvorligheden · Den er testerens vurdering.
Redigere testerens rapport selv · Lad testeren lave kundeversionen.
Glemme skærmbillederne · De kan indeholde data og interne navne.
Bruge en anden nummerering end i den fulde rapport · Kunden skal kunne genfinde fundene.
Udlevere kundeversionen uden mærkning · Den er stadig fortrolig.

Hvad kan og ikke kan konkluderes

En kundeversion giver kunden mulighed for at vurdere testens omfang og resultat uden at få de detaljer, der kunne bruges til at udnytte en svaghed. Den mindsker risikoen ved udlevering, men fjerner den ikke, fordi selv en beskrivelse af et fund fortæller noget om produktet. Den kan ikke erstatte den fulde rapport for en kunde, hvis egne krav kræver alle detaljer.

Tjekliste til kundeversionen

☐ Står alle fund med samme alvor som i den fulde rapport?
☐ Er trin, adresser og parametre for åbne fund udeladt?
☐ Er skærmbilleder gennemgået for data og interne navne?
☐ Er kundeversionen lavet eller godkendt af testeren?
☐ Bruger den samme dato, version og nummerering som den fulde rapport?
☐ Er den mærket som fortrolig og som kundeversion?

Kilder

OWASP Web Security Testing Guide v4.2: Reporting: anbefaler, at mulige følsomme data i rapporten maskeres, og at rapporten sikres, så kun modtageren kan bruge den.

Senest gennemgået: oktober 2026.