Sådan vælger I tester, når rapporten skal bruges over for kunder

Et softwarehus, der vælger tester, vælger også, hvem kunderne skal stole på. Hvis kunderne ikke accepterer testeren, hjælper det ikke, at testen var grundig, og så står I med en rapport, der skal forklares i hvert salg. Valget hviler derfor på to ting ud over den faglige kvalitet: at testeren opfylder de krav, jeres kunder stiller, og at testeren kan levere dokumenter, der kan udleveres.

De generelle krav til en penetrationstester, fx relevant erfaring, en forklaret metode og et brugbart rapporteksempel, er beskrevet for købere på penetrationtest.dk. Her handler det om de kriterier, der kommer oveni, når rapporten skal ud af huset.

Saml kundernes krav, før I spørger testere

Begynd ikke med testerne. Begynd med de krav, kunderne allerede har stillet. Gennemgå de seneste skemaer, leverandørpolitikker og kontrakter, og notér alt, der handler om testeren:

Uafhængighed · om testen skal udføres af en ekstern part uden rolle i udvikling og drift.
Certificeringer · om en kontrakt eller politik nævner bestemte ordninger eller kvalifikationer.
Erfaring · om kunder spørger til erfaring med en bestemt type produkt eller branche.
Rapportens form · sprog, resumé, erklæringsbrev og status efter efterprøvning.
Tilgængelighed · om kunder ønsker at kunne stille spørgsmål til testeren.

Listen bliver jeres kravspecifikation. Den gør det muligt at spørge testerne om det, der faktisk afgør kundernes accept. → Kontrakten kræver en bestemt certificering hos testeren

Uafhængighed, kunderne kan se

Kunderne vil kunne se, at testeren ikke har en interesse i resultatet. Spørg derfor testeren, om der er andre forbindelser til jer: udvikling, drift, salg af produkter eller partnerskaber med de leverandører, I bruger. Nielco IT er et eksempel på en tester, der ikke sælger produkter og ikke har leverandørpartnerskaber, men spørgsmålet skal stilles til enhver tester, I overvejer.

En tester med andre opgaver hos jer er ikke udelukket, men forholdet skal kunne forklares, når kunden spørger. → Kunden spørger, hvem der testede

Kvalifikationer, der kan dokumenteres

Det britiske NCSC skriver, at penetrationstest udført af tredjepart kun bør udføres af kvalificeret og erfarent personale. Hvad det betyder i praksis, varierer fra kunde til kunde. Nogle nævner certificeringer, andre spørger efter erfaring med webapplikationer og API’er eller med produkter, hvor mange kunder deler samme løsning.

Bed testeren om at beskrive kvalifikationerne hos dem, der faktisk skal udføre testen, og spørg, om oplysningerne må videregives til kunder. CREST, en britisk nonprofitorganisation for sikkerhedsbranchen, udgiver vejledninger om afgrænsning, udførelse og afslutning af penetrationstest, som kan give inspiration til spørgsmålene. → Testerens navn og certificering

Bed om eksempler på de dokumenter, kunderne får

Et anonymiseret rapporteksempel viser, hvordan testeren skriver. For et softwarehus er det mindst lige så vigtigt at se, hvordan resuméet ser ud, og om testeren kan levere et erklæringsbrev og en kundeversion. Bed om eksempler på alle tre, og læs dem, som en kundes sikkerhedsansvarlige ville gøre:

Kan resuméet stå alene? · forstår man omfang, periode og resultat uden resten af rapporten?
Er omfanget konkret? · fremgår roller, moduler og udeladelser?
Er erklæringsbrevet nøgternt? · beskriver det testen uden at love sikkerhed?
Kan status efter efterprøvning dokumenteres? · og i hvilken form?

Hvis testeren ikke leverer erklæringsbreve eller kundeversioner, er det ikke et udtryk for dårlig kvalitet, men det betyder, at I selv må finde en anden løsning, når kunden spørger. → Erklæringsbrevet fra testeren

Fortroligheden hører med til valget. Testeren får indsigt i produktets svagheder, og rapporten bliver senere delt med kunder. Afklar derfor, hvordan testeren håndterer materialet, om testeren vil underskrive en fortrolighedsaftale, og hvad testeren tillader jer at udlevere. Spørg også, om kunder må kontakte testeren direkte med spørgsmål, og hvad testeren i så fald må sige. Det er en aftale, der skal være på plads, før den første kunde spørger. → Bestil testen til kundebrug

Overvej også, om testeren kan levere inden for de frister, jeres kunder sætter. En tester, der først kan begynde efter en vigtig fornyelse, kan være det rigtige valg på lang sigt, men så skal kunden have en plan i mellemtiden. Spørg, hvor lang tid der typisk går fra testens afslutning til rapport og erklæringsbrev foreligger, og om efterprøvning kan lægges, så status er klar før de kendte kundefrister. Svarene skal ses i forhold til jeres egen kalender, ikke som et kvalitetsmål.

Samme tester eller ny tester

Når I har en tester, kunderne kender, er der en fordel i kontinuitet: rapporterne ligner hinanden fra år til år, og kunderne kan følge udviklingen. Nogle kunder foretrækker omvendt, at testeren skiftes med mellemrum, så produktet bliver set med nye øjne. Ingen af delene er et krav i sig selv. Hold øje med, om jeres kunder har en holdning, og vær klar til at forklare jeres valg. Skifter I tester, skal kunderne kunne se, hvordan den nye rapport hænger sammen med den gamle. → Rapport fra en tidligere tester

Et tænkt eksempel

Et softwarehus med en platform til kundeservice i webshops har fået krav fra tre kunder: en kræver ekstern og uafhængig tester, en anden nævner en bestemt certificering, og en tredje vil have rapporten på engelsk. Softwarehuset skriver kravene ind i sin forespørgsel, beder to testere om anonymiserede eksempler på rapport, resumé og erklæringsbrev og spørger, om kvalifikationerne må oplyses til kunder. Den ene tester kan opfylde alle tre krav og levere erklæringsbrev på engelsk. Den anden tester var fagligt lige så relevant, men kunne ikke levere dokumenterne på engelsk. Valget falder på den første, og begrundelsen gemmes, så den kan bruges, hvis en kunde spørger.

Det skal I lade være med

Vælge tester uden at kende kundernes krav · Saml dem først.
Lade prisen alene afgøre valget · En rapport, kunderne afviser, er dyr.
Antage, at en certificering er dækkende · Læs kundens formulering præcist.
Glemme at se eksempler på resumé og erklæringsbrev · Det er dem, kunderne får.
Oplyse kvalifikationer uden testerens accept · Aftal det på forhånd.
Skifte tester uden at forklare det for kunderne · Sammenhængen skal kunne ses.

Hvad kan og ikke kan konkluderes

En tester, der er valgt ud fra kundernes krav, giver en rapport, som kunderne har bedre mulighed for at acceptere, og færre spørgsmål i salget. Valget siger ikke noget om resultatet af testen, og det kan ikke garantere, at alle kunder accepterer testeren. Kunder med særlige krav kan stadig bede om noget andet.

Tjekliste til valget af tester

☐ Har I samlet kundernes krav til testeren?
☐ Er testerens uafhængighed afklaret og beskrevet?
☐ Er kvalifikationerne hos de udførende personer dokumenteret?
☐ Har I set eksempler på rapport, resumé og erklæringsbrev?
☐ Er udlevering og kunders kontakt til testeren aftalt?
☐ Er begrundelsen for valget gemt?

Kilder

NCSC (UK): Penetration testing: tredjepartstest bør kun udføres af kvalificeret og erfarent personale.
CREST: vejledninger om køb og implementering: vejledninger om afgrænsning, udførelse og afslutning af penetrationstest.

Senest gennemgået: oktober 2026.