Supportadgang og administrationsmodul: jeres egne medarbejderes adgang

Jeres support, drift og udviklere kan i nogle situationer se ind i kundernes data, og det er den adgang, kunderne har sværest ved at vurdere udefra. Svaret på, om den hører med i pentesten, er ja: administrationsmodulet og de veje, jeres medarbejdere bruger til at hjælpe kunderne, er en del af produktet. De ligger blot bag en dør, kunderne aldrig ser.

En test, der kun ser på produktet med kundernes øjne, efterlader den mest privilegerede adgang uafprøvet. Det er netop den, kundens sikkerhedsansvarlige spørger til.

Den adgang, der går på tværs af alle kunder

Grænsen mellem kunderne er bygget til at holde. Supportadgangen er bygget til at gå igennem den. En supportmedarbejder skal kunne logge ind hos en kunde, se en fejl, rette en indstilling eller hjælpe en bruger, der er låst ude. Den adgang er nødvendig, men den gør administrationsmodulet til det mest følsomme sted i hele produktet.

NCSC skriver i sine principper for cloudtjenester, at leverandørens egne administrationssystemer er attraktive mål, fordi et kompromis kan give adgang til store mængder kundedata. Principperne nævner bl.a., at adgang til kundedata bør være tæt styret, knyttet til en sag og logget, så formålet kan efterprøves. Det er den slags forventninger, kunderne møder jer med. → Spørgsmål om adskillelse af kundernes data

Hvad kunderne vil vide om jeres adgang

Kundernes spørgsmål handler ikke nødvendigvis om teknik. De handler om tillid og kontrol:

Hvem · hvilke medarbejdere hos jer kan se kundens data?
Hvornår · er adgangen fast, eller gives den kun, når der er en sag?
Med hvis lov · skal kunden godkende, før support går ind?
Hvad der efterlades · bliver det logget, hvem der var inde, og hvad der blev gjort?
Fra hvor · kan administrationsmodulet nås fra internettet, eller kun fra jeres egne maskiner?

En pentest kan ikke besvare alle spørgsmålene, men den kan vise, om de kontroller, I beskriver, virker. Det gør svaret stærkere. → Revisionsspor i produktet

Administrationsmodulet hører med i testen

Administrationsmodulet kan være bygget med mindre omhu end resten af produktet. Det bruges kun internt, har få brugere og bliver måske ikke gennemgået lige så grundigt, når nye funktioner kommer til. Alligevel kan det måske det hele: oprette kunder, ændre abonnementer, nulstille adgang og se data på tværs.

Når omfanget for testen beskrives, skal administrationsmodulet stå som en selvstændig del, med de roller, jeres medarbejdere har. Hvis supporten bruger en funktion til at logge ind som en kundes bruger, skal den funktion også med. → Omfanget af testen af et SaaS-produkt

Supporten bruger måske også andre veje til kundernes oplysninger: et sagssystem, hvor kunderne sender skærmbilleder og eksporterede filer, en fælles indbakke eller et værktøj til fjernhjælp. De ligger uden for produktet, men de indeholder kundedata og hører med i det billede, kunderne spørger til. Beslut, om de skal med i denne test eller vurderes på anden måde, og skriv det i omfanget, så kunden kan se, hvad der er dækket.

Er administrationsmodulet en del af jeres interne netværk og ikke af produktet, kan grænsen mellem en produkttest og en test af jeres egen drift blive uklar. Aftal, hvor den går. → Kontornettet og produktet

Hvad testen afprøver

Testen af supportadgangen ser på det samme som resten af produktet, men med et andet udgangspunkt:

Indgangen · kan administrationsmodulet nås af nogen, der ikke er jeres medarbejder?
Rollerne · kan en medarbejder med begrænset supportadgang gøre det, der er forbeholdt drift eller ledelse?
Godkendelsen · hvis kunden skal godkende adgangen, kan den så omgås?
Sporet · bliver supportens handlinger registreret, så de senere kan ses?
Afslutningen · lukker adgangen igen, når sagen er færdig, eller bliver den stående?

Det sidste punkt svarer direkte på et af kundernes hyppige spørgsmål: om supportens adgang er midlertidig i praksis eller kun på papiret. → Roller og rettigheder i produktet

Det, I skal aftale før testen

Testeren skal have konti i administrationsmodulet med de roller, der skal undersøges. Det betyder, at en udefrakommende får adgang til jeres mest følsomme værktøj. Det kræver nogle aftaler:

Hvilke kunder · testeren må kun bruge supportadgangen mod testlejere, ikke mod rigtige kunder.
Hvilke handlinger · fx ingen sletning, ingen ændring af abonnementer på rigtige kunder.
Hvem der følger med · en kontaktperson, der kan stoppe testen og svare på spørgsmål.
Hvad der skal ske bagefter · testerens konti i administrationsmodulet lukkes, når testen er slut.

Hvis kunderne skal godkende supportadgang, så lad testlejerne være sat op på samme måde, så godkendelsen også bliver afprøvet. → Testlejere

Når testen finder noget i jeres egen adgang

Fund i supportadgangen er særligt følsomme over for kunderne, fordi de handler om jer og ikke om en ukendt angriber. Et fund, hvor en medarbejder kan se mere end tilsigtet, eller hvor sporet mangler, rejser spørgsmålet, om det er sket. Vær forberedt på at svare ud fra jeres logs, og vær ærlig om, hvad I kan og ikke kan se.

Overvej også, hvad fundet siger om jeres interne procedurer. Hvis en supportmedarbejder har kunnet se mere end tilsigtet, er spørgsmålet ikke kun, hvordan modulet rettes, men også om rollerne i supporten er fordelt rigtigt, og om nogen følger op på sporet. Rettelsen af koden er den ene halvdel; den anden er, hvordan I arbejder.

Når fundet er rettet, er det et af de emner, der er værd at tage op på et sikkerhedsmøde med de kunder, der spørger. Det viser, at I tester den adgang, der kræver mest tillid. → Sikkerhedsmødet med kunden

Det skal I lade være med

Holde administrationsmodulet uden for omfanget · det er den adgang, kunderne spørger mest til.
Beskrive supportadgangen som tidsbegrænset uden at have testet det · kunderne kan bede om dokumentation.
Give testeren fri supportadgang til rigtige kunder · brug testlejere.
Glemme funktionen til at logge ind som kundens bruger · den skal med, hvis den findes.
Lade testerens konti i administrationsmodulet stå åbne · luk dem, når testen er slut.
Udelade logningen · et spor, der ikke virker, er et svar, der ikke holder.

Hvad kan og ikke kan konkluderes

En test uden fund i supportadgangen viser, at testeren ikke kunne nå administrationsmodulet uden for de tilsigtede veje eller overskride de testede roller. Den siger ikke, at jeres medarbejdere altid bruger adgangen korrekt. Det er et spørgsmål om procedurer og opfølgning, ikke om test.

Tjekliste til supportadgangen

☐ Står administrationsmodulet som en del af omfanget?
☐ Har testeren konti med de roller, jeres medarbejdere har?
☐ Er kundegodkendelse og tidsbegrænsning med i testen?
☐ Er det aftalt, at supportadgangen kun bruges mod testlejere?
☐ Bliver logningen af supportens handlinger afprøvet?
☐ Lukkes testerens konti efter testen?

Kilder

NCSC (UK): Principle 12, Secure service administration: leverandørens administrationssystemer som mål, styring af adgang til kundedata og logning af privilegerede handlinger.

Senest gennemgået: oktober 2026.