Tolv frågor att ställa innan ni väljer pentestleverantör

Dessa avgör om ni köper manuellt arbete eller verktygsutdata, vilket är den enskilt största kvalitetsskillnaden mellan leverantörer i samma prisklass.

Fråga vem som verifierar varje fynd innan det når er, och vad verifiering betyder konkret hos dem. Fråga hur de kedjar ihop enskilda fynd till angreppsvägar, och be om ett exempel. Fråga vilken andel av arbetet som är manuellt. Och be om ett exempel på ett fynd som deras verktyg flaggade och som de sedan avfärdade som falskt positivt, med motiveringen.

Den sista frågan är den mest diagnostiska i hela listan. En leverantör som verifierar har flera sådana exempel och berättar gärna om dem. En som inte verifierar har inga, eftersom ingenting någonsin avfärdas.

Dessa är de som oftast förbises och de som skapar problem efteråt, eftersom rekvisitet i 4 kap. 9 c § brottsbalken är att åtkomsten sker olovligen och inte att den sker med gott uppsåt.

Fråga hur de hanterar tillstånd för system ni inte själva råder över, alltså molnplattformar, tredjepartsdrift och integrationer. Fråga vad som händer om testet oavsiktligt når något utanför omfattningen. Fråga hur testtrafiken går att skilja från ett verkligt angrepp under pågående test. Och fråga vad som gäller om de under testet hittar tecken på ett verkligt pågående intrång.

Den sista frågan har ett rätt svar som är värt att lyssna efter: de kontaktar er omedelbart och stoppar sitt eget arbete, eftersom fortsatt testning då förstör spår.

Den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling döms för dataintrång till böter eller fängelse i högst två år.

Rapporten är produkten, så den ska utvärderas innan ni köper snarare än efter.

Be om en avidentifierad exempelrapport från ett tidigare uppdrag. Fråga om reproduktionssteg ingår per fynd. Fråga hur allvarsgraden sätts och om den justeras mot er miljö eller kommer från verktyget. Och fråga om ett avgränsat omtest efter åtgärd ingår eller kan prissättas separat.

När ni fått exempelrapporten: läs undantagslistan först. Om det inte framgår vad som uttryckligen låg utanför omfattningen är rapporten inte tolkningsbar, och det är den vanligaste bristen i annars välskrivna leveranser.

Fråga vad som skulle få dem att säga att de inte är rätt leverantör för er. En leverantör med ett verkligt svar nämner en miljötyp, en teknik eller en storlek där de inte är starkast. En som säger att de passar alla har beskrivit en produkt som inte finns.

Fråga sedan vem i er bransch och i er storlek som är kund hos dem, och be om att få prata med dem. Det är den enda referensfrågan som ger något kontrollerbart, eftersom svaret antingen är ett namn eller ett skäl till att det inte finns ett namn, och båda är informativa.

Ingen av frågorna är obekväm att ställa. Båda går snabbare än en utvärderingsworkshop och säger mer om leverantören har tänkt på var deras arbete tar slut.

Skicka frågorna i förväg. Syftet är inte att överraska någon utan att komma förbi säljmaterialet till de personer som vet svaren, och en leverantör med bra svar uppskattar chansen att förbereda dem.

Anteckna svaren med datum i upphandlingsunderlaget. Under cybersäkerhetslagen är valet av leverantör en del av leverantörskedjan enligt artikel 21.2 d, och den dokumenterade jämförelsen är det som visar att valet var en bedömning snarare än en vana.

Väg sedan svaren mot varandra i stället för mot en tänkt perfekt leverantör. Den som svarar ärligt att omtest inte ingår men kan prissättas är mer användbar än den som svarar ja på allt.