Læseadgang eller vedhæftet fil: sådan udleverer I rapporten

Mange softwarehuse sender pentestrapporten til kunderne på samme måde, som de sender et tilbud: som vedhæftet fil i en mail. Det er hurtigt, men når filen først er sendt, ligger den i postkasser, I ikke kender, og kan sendes videre uden at efterlade spor hos jer.

Valget af udleveringsform hviler på to spørgsmål: hvor følsomt er dokumentet, og hvor meget kontrol har I brug for bagefter? Den fulde rapport bør som udgangspunkt udleveres som læseadgang til navngivne personer, med en udløbsdato. En kortere kundeversion eller et erklæringsbrev kan ofte sendes som fil, når det er mærket fortroligt.

Hvad en vedhæftet fil betyder i praksis

En fil i en mail er en kopi. Den ligger hos modtageren, i modtagerens backup, måske i en fælles postkasse og i de svar, der følger. Hvis modtageren videresender mailen til en kollega eller rådgiver, ser I det ikke. Hvis samarbejdet ender, kan I ikke fjerne kopien.

Det er ikke nødvendigvis forkert at sende en fil. For et erklæringsbrev, der er skrevet til at blive delt, er det ofte den bedste løsning. Men for den fulde rapport, der beskriver fund og opbygning, er tabet af kontrol en reel ulempe. Hvis I alligevel vælger filen, bør den være mærket, have en version og gå til en navngiven modtager, ikke til en fællespostkasse.

En mellemvej er en krypteret fil, hvor adgangskoden sendes ad en anden vej end selve filen. Det beskytter mod, at en forkert modtager kan læse dokumentet, fx ved en fejl i adressen. Det beskytter ikke mod, at den rigtige modtager sender både fil og kode videre. Mellemvejen løser altså et andet problem end læseadgang, og den bør vælges med det for øje. For nogle kunder er den alligevel et rimeligt kompromis, når deres egne regler udelukker adgang til jeres systemer.

Hvad læseadgang giver jer

Læseadgang betyder, at rapporten ligger et sted, I styrer, og at kunden får adgang til at læse den der. Det kan være en mappe med adgangsstyring, et datarum eller en kundeportal, afhængigt af hvad I i forvejen bruger. Fordelene er konkrete:

Navngivne personer · adgangen gives til bestemte personer hos kunden, ikke til en organisation i almindelighed.
Udløb · adgangen stopper på en dato, I fastsætter, fx når kundens vurdering forventes afsluttet.
Tilbagekaldelse · I kan fjerne adgangen, hvis samarbejdet ophører, eller noget går galt.
Overblik · mange løsninger viser, hvem der har åbnet dokumentet og hvornår.
Én udgave · alle kunder ser den nyeste version, og I undgår gamle kopier i omløb.

Begrænsningen skal også være tydelig. Læseadgang forhindrer ikke, at nogen tager et skærmbillede eller skriver af. Den gør udlevering sværere og mere synlig, men den gør den ikke umulig. Derfor hører den sammen med en fortrolighedsaftale og en mærkning, ikke i stedet for dem. → Kunden skal skrive under på fortrolighed

Vælg form efter dokument og modtager

Det er nyttigt at have en enkel regel, som både sikkerhedsansvarlige og sælgere kan følge:

Erklæringsbrev · kan sendes som fil, mærket med dato og formål.
Kundeversion · fil eller læseadgang, efter kundens behov og jeres vurdering af indholdet.
Fuld rapport · læseadgang til navngivne personer med udløb, efter underskrevet fortrolighedsaftale.
Tekniske bilag · kun efter særskilt aftale og som udgangspunkt kun ved gennemgang sammen med jer.

Reglen gør det lettere at svare hurtigt. En sælger kan sende erklæringsbrevet samme dag, mens den fulde rapport afventer aftale og opsætning. → Hel rapport, resumé eller erklæring · → Kunden vil se de tekniske bilag

Når kunden kræver en fil

Nogle kunder kan ikke bruge læseadgang. Deres vurderingsportal kræver, at dokumentationen uploades, eller deres interne regler forbyder at logge ind i leverandørers systemer. Det er et legitimt krav, og det er bedre at imødekomme det på en kontrolleret måde end at miste aftalen.

Send i så fald en udgave, der er mærket med kundens navn og dato, og overvej, om kundeversionen kan dække behovet i stedet for den fulde rapport. Skriv i følgebrevet, at dokumentet er fortroligt og omfattet af den aftale, I har indgået. Notér, at kunden har fået en fil, så I ved, at der findes en kopi uden for jeres kontrol. → Vandmærke og sporbarhed · → Skemaet ligger i kundens vurderingsportal

Et tænkt eksempel

Et softwarehus med en løsning til medlemsadministration udleverer rapporter til en håndfuld kunder hvert år. Tidligere blev rapporten sendt som fil, og ved næste test var det uklart, hvem der havde den gamle.

Nu ligger den fulde rapport i en mappe med adgangsstyring. Kundens sikkerhedsansvarlige får personlig læseadgang i en periode, der svarer til kundens vurdering, og adgangen forlænges kun på anmodning. Erklæringsbrevet sendes stadig som fil. Da en ny test kommer året efter, fjernes adgangen til den gamle rapport, og de kunder, der stadig har brug for den, får adgang til den nye.

Hold styr på det, der er udleveret

Uanset form bør I vide, hvem der har fået hvad. Det gælder især filer, fordi I ikke selv kan se, hvad der sker med dem. En enkel log med kunde, modtager, dokument, version, form og dato er nok. Den bruges, når en kunde spørger efter en ny udgave, når fortroligheden udløber, og hvis en rapport dukker op et sted, den ikke burde. Loggen er også grundlaget, når en ny test erstatter den gamle: så ved I, hvilke kunder der skal have den nye udgave, og hvilke adgange der skal lukkes. → Log over, hvem der har fået rapporten

Det skal I lade være med

Sende den fulde rapport som fil som standard · Vælg form efter dokument, ikke efter vane.
Give adgang til en fællespostkasse · Navngivne personer gør adgangen sporbar.
Glemme udløbsdatoen · Adgang uden udløb bliver stående i årevis.
Tro, at læseadgang forhindrer kopiering · Den gør det sværere, ikke umuligt.
Lade gamle udgaver ligge tilgængelige · Fjern dem, når en ny rapport erstatter dem.
Udlevere uden at notere det · Uden log kan I ikke svare på, hvem der har rapporten.

Hvad kan og ikke kan konkluderes

Læseadgang med navngivne personer og udløb giver jer mere kontrol og bedre overblik end en vedhæftet fil. Den forhindrer ikke, at indholdet gengives, og den erstatter ikke fortrolighed og mærkning. En fil kan være det rigtige valg for kortere dokumenter, men så skal I vide, at kopien er ude af jeres hænder.