Retestbevis: vis kunden, at fundene er rettet

Når kunden har læst jeres pentestrapport, kan det næste spørgsmål være: er fundene rettet? Et “ja” fra jer er sjældent nok, for kunden kan ikke se forskel på en rettelse, der virker, og en rettelse, der kun er udrullet.

Det, der overbeviser, er dokumentation fra den, der testede: et kort resultat af en retest, hvor testeren har efterprøvet de konkrete fund og angiver status for hvert af dem. Det kan suppleres med jeres egen oversigt, men det er testerens udsagn, der bærer, fordi det kommer fra en part uden for udviklingen.

Hvorfor jeres eget ord ikke rækker

Kunden har ingen grund til at mistro jer, men kundens sikkerhedsfolk skal kunne forklare internt, hvorfor de har accepteret produktet. Et internt notat om, at fundene er lukket, kan de ikke efterprøve. Et resultat fra testeren kan de henvise til.

Det britiske NCSC skriver, at vurderingen af risiko og beslutningen om rettelser er virksomhedens eget ansvar og ikke bør overlades helt til testteamet. Det passer godt til fordelingen her: I beslutter og retter, testeren bekræfter. Kunden ser begge roller tydeligt, når dokumentationen er delt på den måde. Den generelle gennemgang af retest findes på penetrationtest.dk; her handler det om, hvad kunden skal se. → Retest efter rettelser i en ny release

Hvad et retestbevis bør indeholde

Formen varierer fra tester til tester. Til kundebrug er disse oplysninger det, der gør beviset brugbart:

Henvisning til den oprindelige rapport · titel, testperiode og version, så sammenhængen er klar.
Liste over efterprøvede fund · med samme reference og alvorlighed som i rapporten.
Status pr. fund · fx rettet, delvist rettet eller ikke rettet, med testerens egne ord.
Dato for retesten · og hvilken version eller udrulning der blev efterprøvet.
Afgrænsning · at retesten kun omfatter de nævnte fund og ikke er en ny test af produktet.
Afsender · testerens navn eller firma, så kunden ved, hvem udsagnet kommer fra.

Bed om netop de oplysninger ved bestillingen, så retesten ender i et dokument, I kan sende videre. Det kan være et brev, et tillæg til rapporten eller en opdateret status i rapportens bilag, så længe det er testerens. → Bestilling med kundebrug for øje

Fund, der ikke blev efterprøvet eller kun delvist rettet

Ikke alle fund kommer med i en retest. Lave fund kan blive prioriteret ned, og nogle rettelser bliver først færdige efter retesten. Det skal ikke skjules. Lav en oversigt, der viser hvert fund fra rapporten med to oplysninger: jeres egen status og om testeren har efterprøvet den.

Et fund, I har rettet, men som ikke er efterprøvet, er ikke det samme som et åbent fund. Det er heller ikke det samme som et bekræftet lukket fund. Kunden skal kunne se forskellen, og den skal fremgå uden fortolkning. → Åbne fund i kundens rapport

Retesten kan også give et blandet resultat. Det sker, at en rettelse dækker ét tilfælde, men ikke et beslægtet. Testeren skriver da “delvist rettet” eller noget lignende. Over for kunden er det vigtigt ikke at runde op. Fortæl, hvad der mangler på overordnet niveau, hvornår det forventes færdigt, og om der kommer en ny efterprøvning.

En kunde, der får en ærlig oplysning om en delvis rettelse, har ikke nødvendigvis et problem med det. En kunde, der senere opdager, at et “rettet” fund kun var halvt lukket, mister tilliden til resten af jeres dokumentation.

Retestbevis eller ny test: hvad spørger kunden om?

Nogle kunder skriver “dokumentation for, at fundene er rettet”, men mener i virkeligheden en ny test. Det kan ske, når rapporten er gammel, når produktet har ændret sig meget, eller når et alvorligt fund har gjort kunden usikker på resten. Et retestbevis besvarer kun det første spørgsmål: er de konkrete fund lukket? Det siger intet om, hvad der er kommet til siden.

Læs derfor kundens ønske nøje, og spørg, hvis det er uklart. Er det status på fundene, kunden vil se, er retestbeviset det rigtige svar. Er det en vurdering af produktet, som det ser ud i dag, er svaret en plan for den næste test, eventuelt suppleret med retestbeviset som dokumentation for, at sidste rundes fund er håndteret. At sende et retestbevis som svar på et spørgsmål om en ny test kan føre til et nyt spørgsmål. → Rapportens alder og kundens krav

Et tænkt eksempel

Et softwarehus leverer et system til kvalitetsstyring i fødevareproduktion. Forårets test fandt to høje og tre middel fund. Begge høje og to middel blev rettet i næste release, og testeren efterprøvede dem tre uger senere. Det sidste middel fund ligger i en større ombygning efter sommer.

Til en ny kunde sender softwarehuset kundeversionen af rapporten, testerens retestbrev med status for de fire efterprøvede fund og en dateret oversigt fra softwarehuset selv, der viser alle fem fund. Den femte linje angiver, at fundet er under rettelse og vil blive efterprøvet ved næste test. Kunden kan se, hvad testeren har bekræftet, og hvad softwarehuset selv oplyser.

Retestbeviset i spørgeskemaer og kontrakter

Mange spørgeskemaer spørger, om fund fra seneste test er rettet og bekræftet. Med et retestbevis kan I svare præcist og henvise til dokumentet. Nogle kunder skriver krav om retest eller frister for rettelser ind i kontrakten. Så skal retestbeviset også kunne bruges som dokumentation for, at kravet er opfyldt, og I bør vide, hvilke kontrakter der stiller hvilke krav. → Rettefrister i kontrakten

Det skal I lade være med

Skrive retestbeviset selv · Kunden skal kunne se, at bekræftelsen kommer fra testeren.
Lade retesten ligne en ny test · Den dækker kun de fund, der blev set på igen.
Runde delvise rettelser op · Delvist rettet er en status for sig.
Udelade fund, der ikke blev efterprøvet · Vis dem med jeres egen status.
Glemme versionen · Kunden skal vide, hvilken udgave rettelserne blev bekræftet i.
Vente med at bestille retesten · Jo længere tid, jo flere spørgsmål i salget.

Hvad kan og ikke kan konkluderes

Et retestbevis viser, at bestemte fund er efterprøvet og ikke længere kunne genfindes i den version, testeren så. Det siger ikke noget om nye svagheder, om de dele af produktet, retesten ikke omfattede, eller om ændringer efter retesten. Det fornyer heller ikke rapportens alder.

Tjekliste til retestbeviset

☐ Kommer beviset fra testeren, med navn og dato?
☐ Henviser det til den oprindelige rapport og version?
☐ Har hvert efterprøvet fund sin egen status?
☐ Er det tydeligt, at retesten kun omfatter de nævnte fund?
☐ Viser jeres oversigt også de fund, der ikke blev efterprøvet?
☐ Er delvise rettelser beskrevet som delvise?

Kilder

NCSC (UK): Penetration testing: vurdering af risiko og beslutning om rettelser er organisationens eget ansvar og bør ikke overlades helt til testteamet.

Senest gennemgået: oktober 2026.