Kunden vil have testerens navn og certificering i rapporten

En kunde kan stille krav, der rækker ud over resultatet: rapporten skal nævne den eller de personer, der udførte testen, og angive deres certificeringer. Kravet er forståeligt, for kunden vil kunne vurdere, om testen er udført af folk med de rette kvalifikationer. Men oplysningerne tilhører testeren, ikke jer, og de ændrer sig over tid.

Svaret hviler på en aftale med testeren, før rapporten skrives: hvilke oplysninger om personer og kvalifikationer der må stå i rapporten eller i et erklæringsbrev, og i hvilken form. Over for kunden kan I kun love det, testeren har accepteret, og kun for den test, der er udført. Kravet til kommende test hører til i bestillingen af dem.

Hvorfor kunden spørger

Kvaliteten af en penetrationstest afhænger meget af de mennesker, der udfører den. Det britiske NCSC skriver, at tredjepartstest kun bør udføres af kvalificeret og erfarent personale, og at kvaliteten hænger tæt sammen med testernes evner. NCSC anbefaler desuden, at britiske statslige organisationer bruger testere og firmaer fra CHECK-ordningen. Kunder, der kender den slags ordninger, vil gerne kunne se, at noget tilsvarende ligger bag jeres rapport.

Spørgsmålet kan komme fra kunder med egne sikkerhedskrav til leverandører eller fra kunder, der skal forklare deres vurdering over for en revisor eller tilsynsmyndighed. For dem er et firmanavn ikke altid nok. De vil kunne pege på kvalifikationer, der kan efterprøves. Andre kunder spørger blot, fordi spørgsmålet står i deres standardskema. → Kunden spørger, hvem der testede

Hvad rapporten kan oplyse

Der er flere niveauer, og testeren afgør i sidste ende, hvad der må stå:

Firmanavn · testerens virksomhed, som kunden kan slå op.
Roller · fx ansvarlig tester og kvalitetssikring, uden personnavne.
Personnavne · navne på de konsulenter, der udførte testen, hvis de accepterer det.
Certificeringer · betegnelse og udsteder, så kunden selv kan efterprøve dem.
Erfaring · en kort beskrivelse af testerens erfaring med den type produkt.

Firmanavn og roller er ofte uproblematiske. Personnavne og certificeringer kræver, at de pågældende har sagt ja, og at oplysningerne er korrekte på det tidspunkt, rapporten udgives. Et personnavn er en personoplysning, og nogle testere foretrækker ikke at stå frem af hensyn til deres egen sikkerhed. Respektér det. Et firmanavn, roller og certificeringer, der kan efterprøves, giver som regel kunden det, kunden har brug for, også uden navne. Hvis en kunde alligevel insisterer på personnavne, så spørg, hvad kravet skal bruges til. Det kan handle om at kunne se, at testen ikke blev udført af en uerfaren person alene, og det kan dokumenteres på anden vis.

Aftal det ved bestillingen

Det letteste tidspunkt at afklare kravet er, før testen starter. Fortæl testeren, at rapporten skal bruges over for kunder, og at nogle af dem vil se personer og certificeringer. Spørg, hvad testeren kan oplyse, og om det skal stå i rapporten, i et bilag eller i et erklæringsbrev. Et kort afsnit om kvalifikationer i erklæringsbrevet er ofte en god løsning, fordi brevet kan deles bredere end selve rapporten. → Bestilling med kundebrug for øje · → Erklæringsbrevet fra testeren

Har en kunde skrevet et bestemt krav ind i kontrakten, fx at testeren skal have en bestemt certificering, skal I vide det, før I vælger tester. Det er langt lettere end at opdage bagefter, at rapporten ikke opfylder kravet. → Kontrakten kræver en bestemt certificering

Det, I ikke kan love

I kan ikke love, at den samme person tester næste gang, eller at en certificering stadig er gyldig om et år. Certificeringer udløber, konsulenter skifter job, og testerens bemanding afhænger af mange forhold, I ikke styrer. Over for kunden bør I derfor skelne mellem det, der gælder den udførte test, og det, I vil stille som krav til den næste.

En formulering som “testen blev udført af to konsulenter med følgende certificeringer på testtidspunktet” er præcis. En formulering som “vores test udføres altid af certificerede konsulenter” er et løfte, I kun kan holde, hvis det står i aftalen med testeren. → Valg af tester til kunderapporten

Når kunden vil efterprøve oplysningerne

Nogle kunder nøjes ikke med en linje i rapporten. De vil se dokumentation for certificeringerne eller tale med testeren for at forstå, hvordan testen blev grebet an. Det er rimelige ønsker, men de skal håndteres, så testeren ikke kommer til at udlevere mere, end I selv ville.

Mange certificeringer kan slås op hos udstederen, og det er ofte den mest neutrale vej: kunden får betegnelse og udsteder og kan selv kontrollere. Ønsker kunden en samtale med testeren, så aftal på forhånd, hvad den må handle om. Kvalifikationer, fremgangsmåde på overordnet niveau og omfang er naturlige emner. Fund og deres detaljer følger de samme regler som rapporten, og en samtale om dem bør ske med jer til stede og under den fortrolighed, I har aftalt med kunden. → Kunden skal skrive under på fortrolighed

Et tænkt eksempel

Et softwarehus leverer et system til patientbooking for private klinikker. En kæde af klinikker kræver i sin leverandørpolitik, at rapporten nævner, hvem der testede, og deres certificeringer. Softwarehuset spørger testeren ved bestillingen. Testeren accepterer, at firmanavn, roller og certificeringer med udsteder står i erklæringsbrevet, men ikke personnavnene.

Kæden får erklæringsbrevet med den oplysning og et tilbud om, at testeren kan bekræfte kvalifikationerne direkte over for kædens sikkerhedsansvarlige, hvis det er nødvendigt. Kæden accepterer, fordi certificeringerne kan efterprøves hos udstederne. Softwarehuset noterer kravet, så det også indgår i bestillingen af næste års test.

Det skal I lade være med

Skrive personnavne uden samtykke · Spørg testeren og de pågældende først.
Gengive certificeringer, I ikke har set · Bed testeren om at bekræfte dem.
Love samme tester næste gang · Det afhænger af testeren, ikke af jer.
Bruge certificeringer som garanti for resultatet · De siger noget om personen, ikke om produktet.
Lade kravet komme bag på jer · Kend kundernes krav, før I vælger tester.
Tilføje oplysninger i testerens rapport selv · Det skal komme fra testeren.

Hvad kan og ikke kan konkluderes

Navne, roller og certificeringer fortæller kunden, at testen er udført af folk med dokumenterede kvalifikationer på testtidspunktet. De siger ikke, at testen fandt alt, eller at produktet er sikkert, og de gælder ikke automatisk for den næste test. Det er kunden, der afgør, om oplysningerne opfylder kundens krav.

Tjekliste til oplysninger om testeren

☐ Har testeren accepteret, hvilke oplysninger der må stå?
☐ Står certificeringer med betegnelse og udsteder?
☐ Er personnavne kun med, hvor de pågældende har sagt ja?
☐ Er oplysningerne dateret til testtidspunktet?
☐ Kender I kundernes krav, før næste tester vælges?
☐ Skelner jeres svar mellem den udførte test og kommende test?

Kilder

NCSC (UK): Penetration testing: tredjepartstest bør kun udføres af kvalificeret og erfarent personale; anbefaling af CHECK-ordningen til britiske statslige organisationer.

Senest gennemgået: oktober 2026.