Penetrationstest: vad ni behöver veta innan ni beställer

Ett test är en sekvens, inte en produkt. Först fastställs omfattningen: vilka system, vilka adresser, vilka konton, vilka tider, och vad som uttryckligen ligger utanför. Därefter kartläggs angreppsytan, sedan formuleras hypoteser om vad som kan vara utnyttjbart, och de prövas. Det som fungerar kedjas ihop till en väg, och vägen bedöms utifrån vad den betyder för verksamheten.

Sista steget är det som ni betalar för. Ett fynd som inte är reproducerat är en hypotes, och en rapport full av hypoteser flyttar triageringen från leverantören till era egna tekniker.

Omfattningssteget är också det som oftast görs för snabbt. Det är där ni bestämmer vad testet inte kommer att titta på, och den avgränsningen är den enda delen av testet som inte går att rätta i efterhand.

Brottsbalken formulerar dataintrång utan att nämna avsikt att skada. Rekvisitet är att någon olovligen bereder sig tillgång till en uppgift avsedd för automatiserad behandling. Ett penetrationstest gör exakt det, och det som gör handlingen laglig är att den inte är olovlig.

Straffskalan visar varför detta inte är en formalitet. Dataintrång ger böter eller fängelse i högst två år, och grovt dataintrång fängelse i lägst ett och högst åtta år, där man särskilt beaktar om gärningen orsakat allvarlig skada eller avsett ett stort antal uppgifter.

Praktiskt betyder det att tillståndet ska vara skriftligt, daterat, undertecknat av någon som faktiskt får ge det, och avgränsat till namngivna system. Ett test som råkar nå ett system utanför avgränsningen är inte täckt av tillståndet, vilket är skälet till att omfattningen ska skrivas som en lista snarare än som en beskrivning.

Den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst två år.

Kostnaden följer omfattning och djup, inte antalet dagar i sig. Ett bredare mål kräver mer kartläggning, och ett djupare mandat kräver mer tid per fynd. Två offerter som skiljer sig kraftigt beskriver oftast två olika arbeten snarare än två olika priser.

Det gör offertjämförelser svårare än de ser ut. En låg offert kan vara en skanning med en rapportmall, och en hög kan innehålla arbete ni inte behöver. Det som gör dem jämförbara är att ni själva skriver omfattningen först och ber alla lämna pris på samma avgränsning.

En andra faktor som sällan står i offerten är vem som verifierar fynden. Verifieringen är den dyraste delen av leverantörens arbete och den lättaste att tumma på, och den syns inte i priset förrän ni läser rapporten.

Cybersäkerhetslagen ställer inget krav på penetrationstest med ett visst intervall. Kravet i 2 kap. 3 § är att åtgärderna ska vara lämpliga och proportionella, och punkt 6 avser strategier för att bedöma deras effektivitet. Testning är det vanligaste sättet att göra en sådan bedömning konkret, men det är ert val av metod.

Frånvaron av ett föreskrivet intervall är ingen lättnad. Om det inte finns en nivå att uppfylla kan ni inte heller peka på att ni uppfyllt den, utan får visa hur ni resonerade: vad ni testade, varför just det, vad ni valde bort och när ni ska ta om det.

Det gör rapporten till mer än ett tekniskt dokument. Den är underlaget som visar att bedömningen faktiskt gjordes, vilket är den fråga en tillsynsmyndighet ställer.