Rapport fra en tidligere tester: kan den stadig vises?

Et softwarehus skifter tester, og i overgangen er den nyeste rapport skrevet af en leverandør, I ikke længere samarbejder med. Når en kunde beder om dokumentation, opstår spørgsmålet, om den rapport stadig kan bruges. Det kan den, på visse betingelser. Rapporten var gyldig dokumentation, da den blev skrevet, og et skift af tester ændrer ikke ved det, der blev testet.

Det, der afgør sagen, er tre forhold: om rapporten stadig opfylder kundens krav til alder og omfang, om I har ret til at udlevere den, og om I kan dokumentere, hvad der er sket med fundene siden. Det sidste er ofte det sværeste, fordi retesten normalt ligger hos den, der skrev rapporten.

Skiftet ændrer ikke rapportens indhold

En pentestrapport beskriver forholdene på testtidspunktet. Det britiske NCSC understreger, at en test kun kan bekræfte forholdene på den dag, den blev udført. Det gælder, uanset om testeren stadig er jeres leverandør. Kunden skal vurdere den samme rapport på samme måde som før: hvilken version blev testet, hvad var med, og hvor gammel er den.

Kunden har derfor sjældent grund til at afvise rapporten, alene fordi I har skiftet tester. Spørger kunden til skiftet, så svar kort og sagligt. Grunden til skiftet er jeres egen sag, men kunden kan have en rimelig interesse i at vide, at næste test er planlagt, og at den dækker det samme. Hvis kunden er usikker, hjælper det at vise, hvornår den næste test er bestilt. → Kundens krav om en rapport under et år

Har I ret til at udlevere rapporten?

Læs aftalen med den tidligere tester, før rapporten sendes til nye kunder. Nogle aftaler regulerer, hvem rapporten må deles med, eller hvordan testerens navn må bruges. Andre siger intet. Er aftalen uklar, er det bedre at spørge den tidligere tester end at gætte. Et kort, skriftligt svar fra den tidligere tester om, at rapporten må vises kunder under fortrolighed, fjerner tvivlen og kan gemmes sammen med rapporten.

Det samme gælder et erklæringsbrev. Et brev, som testeren har underskrevet på et bestemt tidspunkt, kan stadig vises, men det taler for testeren på den dato. I kan ikke bede om et nyt brev med ny dato uden en ny test, og I skal ikke selv ændre det gamle. → Erklæringsbrevet fra testeren

Fundene, som den nye tester ikke kender

Den sværeste del af et skift er de fund, der stod åbne, da samarbejdet sluttede. Hvis de er rettet, men ikke efterprøvet, har I kun jeres eget udsagn at vise kunden. Der er tre veje:

Afslut retesten hos den tidligere tester · hvis det kan aftales, er det den mest direkte dokumentation.
Lad den nye tester efterprøve de gamle fund · enten som en særskilt opgave eller som en del af den næste test.
Vis jeres egen status · tydeligt mærket som jeres vurdering, indtil en tester har efterprøvet.

Hvis den nye tester skal efterprøve gamle fund, skal den nye tester have den gamle rapport. Aftal det med begge parter, og gør det tydeligt i den nye rapport, hvilke fund der stammer fra den tidligere test. → Retestbevis: vis kunden, at fundene er rettet

Overgangsperioden over for kunderne

I perioden mellem den gamle rapport og den nye bliver kunderne ved med at spørge. Lav en kort oversigt, som sælgerne og de kundeansvarlige kan bruge:

Den gældende rapport · tester, testdatoer og testet version.
Fundenes status · rettet og efterprøvet, rettet, åbent eller accepteret, med dato.
Den næste test · hvornår den er bestilt, og hvornår rapporten forventes.
Kontaktperson · hvem der svarer på opfølgende spørgsmål.

Med oversigten får alle kunder det samme svar, og ingen kommer til at love en ny rapport, før den er bestilt. → Hvem ejer kundekravet om test

Kontinuitet fra test til test

Kunderne vil gerne kunne se, at produktet bliver bedre over tid. Når testeren skifter, bliver det sværere at sammenligne, fordi rapporterne bruger forskellige skalaer, nummereringer og formuleringer. Bed den nye tester om at forholde sig til den tidligere rapport, så den nye rapport kan sige noget om udviklingen. Det kan være et kort afsnit om, hvilke tidligere fund der er efterprøvet, og om nye fund ligner gamle.

Det er også en god anledning til at tjekke, at den nye test dækker mindst det samme som den gamle. Hvis et modul var med sidst, men ikke nu, vil en kunde, der sammenligner, spørge hvorfor. Den generelle afvejning mellem at beholde og skifte tester står på penetrationtest.dk; her er det overgangen over for kunderne, der fylder. → Omfangsafsnittet i rapporten

Et tænkt eksempel

Et softwarehus, der leverer et system til ejendomsadministration, skiftede tester i foråret. Den seneste rapport er fra efteråret før, og to fund af middel alvorlighed var rettet, men ikke efterprøvet, da samarbejdet sluttede. Den næste test er bestilt hos den nye tester til august.

En ny kunde beder om dokumentation i juni. Softwarehuset sender kundeversionen af den gamle rapport, som aftalen med den tidligere tester tillader, og en dateret status, hvor de to fund står som rettet, men ikke efterprøvet. Statussen oplyser, at den nye tester efterprøver dem i august, og at kunden får den nye kundeversion, når den foreligger. Kunden accepterer med et forbehold i sin egen leverandørvurdering. → Kundeversionen af rapporten

Det skal I lade være med

Ændre datoer eller navne i den gamle rapport · Den skal stå, som testeren skrev den.
Udlevere uden at have læst aftalen · Delingsvilkår kan gælde, selvom samarbejdet er slut.
Kalde fund efterprøvet, når de kun er rettet · Uden retest er det jeres eget udsagn.
Love en ny rapport uden bestilling · Sig kun det, der er aftalt.
Lade den nye test dække mindre end den gamle · Kunder, der sammenligner, opdager det.
Tale negativt om den tidligere tester · Det svækker den rapport, I selv viser frem.

Hvad kan og ikke kan konkluderes

En rapport fra en tidligere tester dokumenterer forholdene på testtidspunktet lige så godt som før skiftet. Den siger intet om ændringer siden, og et skift af tester gør det ikke lettere at dokumentere status på åbne fund. Kunden vurderer rapporten ud fra alder, omfang og version, ikke ud fra, om testeren stadig er jeres leverandør.