Kunden henviser til en ekstern sikkerhedsrating af jeres domæner

Nogle kunder følger deres leverandører med en tjeneste, der giver hver virksomhed en sikkerhedsscore ud fra det, der kan ses udefra. Når jeres score er faldet, eller når den indeholder en bemærkning, kommer kunden med spørgsmål. Et godt svar hviler på, at I forstår, hvad en sådan rating måler, kan gennemgå de konkrete bemærkninger, og kan forklare, hvordan den adskiller sig fra en pentest af produktet.

Kort sagt er en ekstern rating en automatisk vurdering af jeres synlige internetflade. Den kan pege på reelle forhold, der bør rettes, men den er ikke en test af produktet og kan ikke erstatte en. Tag bemærkningerne alvorligt, og forklar samtidig roligt, hvad scoren dækker.

Hvad en rating udefra bygger på

En ekstern rating samler oplysninger, der er synlige uden adgang til jeres systemer. Det kan være jeres domæner og deres opsætning, certifikater, synlige tjenester, mailopsætning og om der er nævnt lækkede oplysninger, der kan knyttes til jeres navn. Ud fra det beregner tjenesten en score eller et bogstav.

Beregningen sker uden jeres medvirken og måske uden at tjenesten ved, hvilke domæner der faktisk er jeres, og hvilke der hører til en tidligere kampagne, et datterselskab eller en leverandør. Det giver to typer fejl: domæner, der fejlagtigt er regnet som jeres, og forhold, der ser alvorlige ud udefra, men har en forklaring.

Tjenesterne bruger hver deres metode og vægtning, og de offentliggør ikke altid, hvordan scoren beregnes i detaljer. To tjenester kan derfor give samme virksomhed meget forskellige vurderinger. Spørg kunden, hvilken tjeneste der er tale om, så I ser på de samme oplysninger. Det er også nyttigt at vide, hvor ofte kunden får opdateringer, for en ændring hos jer slår ikke nødvendigvis igennem i scoren med det samme.

Hvad den ikke kan sige

En rating udefra ser ikke ind i produktet. Den ved ikke, om kunderne er adskilt, om roller og rettigheder virker, eller om API’et kun giver adgang til det, det skal. Det er netop de forhold, en pentest af produktet ser på, og som kundens egne data afhænger af.

Derfor er det rimeligt at sige til kunden, at en god score ikke dokumenterer produktets sikkerhed, og at en dårlig score ikke beviser, at produktet er sårbart. Men sig det ikke for at afvise bemærkningerne. Det, ratingen finder, kan være reelle forhold i jeres infrastruktur, som en angriber også kan se. → Scanning og pentest i samme spørgsmål

Gennemgå bemærkningerne

Bed kunden om den konkrete rapport eller oversigt, kunden ser, eller opret selv adgang, hvis tjenesten tilbyder det til de virksomheder, der bliver vurderet. Gå derefter bemærkningerne igennem en ad gangen:

Er domænet jeres? · hvis ikke, så bed tjenesten om at rette tilknytningen.
Er forholdet aktuelt? · nogle oplysninger er gamle og allerede rettet.
Er det reelt? · nogle bemærkninger er falske fund, fordi tjenesten tolker en opsætning forkert.
Har det betydning for produktet? · et forhold på en gammel kampagneside er ikke det samme som et forhold på produktets login.
Hvad gør I ved det? · ret, accepter med begrundelse, eller bed om rettelse hos tjenesten.

Den gennemgang giver jer også et billede af, hvad der ligger synligt på internettet i jeres navn. Glemte domæner og gamle testmiljøer dukker tit op her, og de er værd at rydde op i uanset kundens spørgsmål. → Infrastrukturen bag produktet

Sådan svarer I kunden

Svaret til kunden skal vise, at I har set på bemærkningerne og taget stilling. Det behøver ikke være langt. En god struktur er: hvad I har undersøgt, hvad der var rigtigt og nu er rettet eller planlagt, hvad der var forkert og er indberettet til tjenesten, og hvad der er accepteret med en begrundelse.

Tilføj gerne, hvad I ellers gør for at dokumentere sikkerheden: at produktet er testet af en ekstern tester, hvornår og med hvilket omfang, og at erklæringen kan udleveres. Det sætter ratingen i perspektiv uden at bagatellisere den. → Hel rapport, resumé eller erklæring

Når scoren er en del af kontrakten

Nogle kunder skriver et krav om en bestemt minimumsscore ind i kontrakten eller i deres leverandørpolitik. Det giver en særlig udfordring, fordi scoren kan ændre sig af grunde, I ikke styrer, fx når tjenesten ændrer sin beregning.

Hvis I bliver bedt om at acceptere sådan et krav, så overvej, hvad der sker, når scoren falder uden at noget er ændret hos jer. Aftal gerne en proces for, hvordan et fald håndteres, fx at I har en frist til at undersøge og svare, frem for at et fald i sig selv er et brud. Teksten her er ikke juridisk rådgivning. → Forhandling af sikkerhedskrav

Et tænkt eksempel

En leverandør af et system til fakturagodkendelse får en mail fra en kunde: jeres score er faldet, og der er tre bemærkninger. Udviklingschefen gennemgår dem. Den første gælder et domæne fra en kampagne for flere år siden, som stadig peger på en gammel server; den bliver lukket. Den anden er en mailopsætning, der faktisk mangler en indstilling; den bliver rettet. Den tredje gælder et domæne, der tilhører en tidligere samarbejdspartner, og tjenesten bliver bedt om at fjerne tilknytningen.

Svaret til kunden beskriver de tre punkter kort, nævner at produktet blev testet i foråret, og tilbyder testerens erklæring. Kunden takker, og scoren stiger, når tjenesten har opdateret sine oplysninger.

Det skal I lade være med

Afvise ratingen som irrelevant · Den kan finde reelle forhold.
Bruge en god score som bevis for produktets sikkerhed · Den ser ikke ind i produktet.
Rette kun det, kunden spurgte til · Gennemgå alle bemærkninger, når I er i gang.
Lade forkerte domæner stå · De trækker scoren ned og vil komme igen.
Acceptere en minimumsscore uden en proces · Scoren kan falde af grunde uden for jeres kontrol.

Hvad kan og ikke kan konkluderes

En ekstern rating viser, hvordan jeres synlige internetflade ser ud for en automatisk tjeneste på et bestemt tidspunkt. Den kan pege på forhold, der bør rettes. Den siger intet om produktets adgangskontrol, adskillelse af kunder eller logik, og den kan ikke erstatte en pentest. En god score er ikke en dokumentation af sikkerhed, og en dårlig score er ikke et bevis på svagheder i produktet.