Ordliste for pentestrapporten

Kunder, revisorer og testere bruger ord om den samme dokumentation, som ikke altid betyder det samme. Ordlisten forklarer de ord, softwarehuse møder, når kunden kræver en pentest, og peger videre til artiklen, der uddyber. Engelske ord står ved den danske betegnelse, sitet bruger.

Testen og rapporten

• Penetrationstest (pentest) · en aftalt afprøvning, hvor en tester forsøger at finde og udnytte svagheder i et afgrænset omfang og rapporterer, hvad der lykkedes. Forskellen til andre undersøgelser er forklaret på penetrationtest.dk.
• Omfang (scope) · den del af produktet, testen dækker: moduler, grænseflader, roller og eventuelt version. Kunden ser på omfanget for at afgøre, om rapporten dækker det, kunden køber. → Omfangsafsnittet
• Pentestrapport · testerens dokumentation af fund, alvorlighed, dokumentation og anbefalinger. Den indeholder detaljer om svagheder og udleveres kun på aftalte betingelser. → Rapporten til kunderne
• Resumé (ledelsesresumé, executive summary) · rapportens korte del om omfang, resultat og fund fordelt efter alvor, uden tekniske detaljer. → Hel rapport, resumé eller erklæring
• Kundeversion · en udgave af rapporten, hvor detaljer, der kan bruges mod produktet, er taget ud, så den kan deles med kunder. → Kundeversion af rapporten
• Testerklæring, erklæringsbrev (attestation letter, letter of attestation) · et kort dokument fra testeren, der bekræfter, at en test af et bestemt omfang er udført i en bestemt periode, og hvad status er. Det røber ingen detaljer om fund og siger intet om, at produktet er sikkert. → Erklæringsbrevet fra testeren
• Retest, efterprøvning og retestbevis · testerens kontrol af, at rapporterede fund er rettet, og dokumentationen for det til kunden. → Retestbevis til kunden
• Testlejer · en kundekonto i produktet, oprettet til testen, så testeren kan arbejde som kunde uden at røre rigtige kunders data. → Testlejere
• Multi-tenant (flere lejere) · et produkt, hvor flere kunder deler samme installation. Kunderne kan spørge til adskillelsen mellem dem. → Multi-tenant: test af adskillelsen

Spørgeskemaer og vurdering

• Sikkerhedsspørgeskema (security questionnaire) · kundens skema med spørgsmål om jeres sikkerhed, herunder test, fund og udvikling. → Sikkerhedsspørgeskema fra kunden
• CAIQ · Consensus Assessments Initiative Questionnaire fra Cloud Security Alliance: ja/nej-spørgsmål til vurdering af cloudtjenester, bygget på Cloud Controls Matrix. → Standardiserede spørgeskemaer
• SIG · Standardized Information Gathering fra Shared Assessments: et skema til vurdering af serviceleverandører, der spørger til hele virksomheden. → Standardiserede spørgeskemaer
• Leverandørvurdering og vurderingsportal · kundens proces for at godkende jer som leverandør, eventuelt i en portal, hvor skema og dokumenter uploades. → Skemaet ligger i kundens vurderingsportal
• Leverandørdialogværktøj · SikkerDigitals danske vejledning og tjekliste til kunder, der skal tale it-sikkerhed med deres it-leverandør. → Standardiserede spørgeskemaer

Standarder og erklæringer

• ISO/IEC 27001 · international standard med krav til et ledelsessystem for informationssikkerhed. Et certifikat dokumenterer styringen, ikke sårbarhederne i produktet. → ISO 27001 i softwarehuset
• SOC 2 · en ramme fra den amerikanske revisororganisation AICPA. En SOC 2-rapport er en revisors undersøgelse af kontroller hos en serviceleverandør. → SOC 2-rapporten og pentesten
• ISAE 3000 og ISAE 3402 · internationale standarder for revisors erklæringsopgaver. ISAE 3402 gælder kontroller hos en serviceleverandør, der har betydning for kundernes regnskab; ISAE 3000 bruges til andre erklæringer, fx om informationssikkerhed. → ISAE-erklæring og pentest
• OWASP ASVS · Application Security Verification Standard fra OWASP: krav til sikkerheden i en applikation, som kan bruges i krav, udvikling og test. → OWASP ASVS
• CSA STAR · Cloud Security Alliances register, hvor cloududbydere kan offentliggøre selvvurderinger og certificeringer. → CSA STAR og cloudkunders krav
• Cyber Resilience Act · EU-forordning 2024/2847 om cybersikkerhed i produkter med digitale elementer. Rapporteringspligten gælder fra den 11. september 2026 og resten fra den 11. december 2027. → Cyber Resilience Act for softwarehuse

Kontrakt og tillid

• NDA (fortrolighedsaftale) · aftale om, at modtageren holder rapportens indhold fortroligt. → NDA før udlevering
• Testklausul · bestemmelse i kundekontrakten om test, fx hvor ofte, af hvem og hvad kunden får at se. → Testklausulen i kundekontrakten
• Tillidsside (trust center) · en offentlig side om produktets sikkerhed, hvor nogle oplysninger står frit og andre kræver en anmodning. → Tillidsside eller trust center
• Sikkerhedspakke · samlet dokumentation, I kan sende til kunder i salget, fx testerklæring, resumé og udfyldte skemaer. → Sikkerhedspakken
• Ansvarlig offentliggørelse og security.txt · en fast vej for udefrakommende til at indrapportere sårbarheder. security.txt er et filformat beskrevet i RFC 9116. → Ansvarlig offentliggørelse

Del af: Artikler om pentestrapporten

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest af SaaS hos Nielco IT