Många team köper ett penetrationstest för att en kund bad om det. De väljer en leverantör, bokar en vecka, får en PDF och lägger undan den bredvid den förra. Testet blir ett kvitto i stället för en säkerhetsövning, och de verkliga riskerna det lyfte fram ligger orörda tills nästa granskning.

Ett penetrationstest tjänar in sin kostnad när du agerar på det du hittar. Rapporten är början på arbetet, inte slutet. Den här guiden går igenom hur du avgränsar omfattningen, väljer en leverantör du kan lita på, möter den frekvens dina ramverk förväntar sig och gör varje fynd till spårad åtgärd i OptiTech.

Varför ett penetrationstest hör hemma i ditt efterlevnadsprogram

Både revisorer och företagsköpare vill ha bevis på att du letar efter svagheter innan angripare gör det. Ett penetrationstest är ett kontrollerat försök att ta sig in i dina system, utfört av personer du anlitar, så att du får veta var du är exponerad på dina egna villkor.

För SOC 2 och ISO 27001 är ett penetrationstest ett av de tydligaste bevisen på att dina tekniska kontroller håller under press. Det visar att du inte bara skriver policyer, du testar dem. Och när en potentiell kunds säkerhetsteam frågar hur du validerar ditt försvar är en färsk sammanfattning av ett penetrationstest svaret som avslutar samtalet snabbt.

Bestäm omfattningen innan du letar leverantör

Det dyraste misstaget är att testa fel sak. Innan du pratar med en leverantör, bestäm vad som ingår och skriv ner det. En tydlig omfattning håller testet fokuserat och priset ärligt.

Gå igenom några frågor:

• Vad skyddar du? Din kundvända applikation, ditt interna nätverk, din molnmiljö eller alla tre. Rangordna dem efter vilken skada ett intrång skulle orsaka.
• Vad ligger utanför gränsen? Produktionssystem som inte tål last, tredjepartstjänster du inte äger och allt som ett avtal förbjuder dig att röra.
• Vilken åtkomst får testaren? Det är här lådans färg kommer in.

Blackbox, greybox och whitebox

"Lådan" beskriver hur mycket testaren vet innan hen börjar.

• Blackbox. Testaren får inget mer än ditt publika fotavtryck, precis som en verklig utomstående. Det är realistiskt men långsamt, eftersom tiden går åt till kartläggning i stället för djup.
• Greybox. Testaren får begränsad information, till exempel ett vanligt användarkonto. Det är den bästa avvägningen för de flesta SaaS-bolag, eftersom det speglar en kapad kund eller en illvillig användare.
• Whitebox. Testaren får full åtkomst, inklusive källkod och arkitektur. Det hittar mest, eftersom inget är dolt, och ger bäst valuta när du vill ha djup framför realism.

De flesta team på väg mot SOC 2 eller ISO 27001 klarar sig bra med ett greybox-test mot sin huvudapplikation, och breddar omfattningen när de växer.

Välj en leverantör du kan stå för

Din revisor och dina kunder kommer att titta på vem som gjorde testet, så välj en firma som tål granskning. Några tecken skiljer en riktig säkerhetspartner från en som bara skannar och fakturerar:

• Erkända certifieringar. Testare med meriter som OSCP eller CREST har bevisad kompetens, inte bara en verktygslicens.
• Ett manuellt angreppssätt. Automatisk skanning är ett minimum. Du betalar för människor som kedjar ihop fynd på samma sätt som en angripare skulle.
• En exempelrapport. Be att få se ett maskat exempel. En bra rapport förklarar konsekvens och ger tydliga åtgärdssteg, inte bara en lista med skannerutdata.
• Ett omtest ingår. De bästa leverantörerna verifierar dina rättningar efter att du åtgärdat, så att du får bevis på att bristen är stängd.

Billiga tester som producerar en rå skannerdump kostar dig mer senare, eftersom revisorer och köpare genomskådar dem.

Hur ofta du behöver testa

Frekvens är där team blir nervösa, så här kommer den enkla versionen.

Varken SOC 2 eller ISO 27001 anger en fast kalender. Båda förväntar sig test i en rimlig takt och efter betydande förändringar. I praktiken har marknaden landat i ett årligt penetrationstest som utgångspunkt för båda ramverken. Det är vad revisorer förväntar sig se, och vad köpare utgår från att du kör.

Testa oftare än en gång om året när du släpper stora förändringar i din applikation, byter till ny infrastruktur eller går in på en marknad med hårdare förväntningar. Utlösaren är inte bara kalendern, det är verklig förändring av det du skyddar.

Läs rapporten som en revisor gör

När rapporten kommer, motstå lusten att skumma sammanfattningen och lägga undan den. Läs den så som en revisor eller köpare kommer att göra.

Varje fynd bär en allvarlighetsgrad, oftast kritisk, hög, medel eller låg, och ofta ett CVSS-värde. Börja i toppen. Ett enda kritiskt fynd väger tyngre än tjugo låga. För varje punkt, se förbi etiketten till konsekvensen: vad skulle en angripare faktiskt kunna göra, och vilka uppgifter eller vilken åtkomst står på spel?

Håll utkik efter fyndet alla ignorerar: informationspunkter och accepterade risker. Du behöver inte åtgärda alla, men du måste fatta ett beslut och notera varför. En revisor som ser ett orört medelfynd utan ägare och utan notering kommer att fråga varför, och "vi hann inte" är inte ett svar som bygger förtroende.

Omvandla fynd till spårade åtgärder

Det är här värdet finns. En rapport du agerar på skyddar dig; en rapport du arkiverar gör ingenting. Skillnaden mellan de två är ägarskap och uppföljning.

I OptiTech registrerar du varje penetrationstest som en uppsättning bedömningar av fynden. Varje fynd blir en spårad post med en allvarlighetsgrad, en ägare och en åtgärdsfrist, så att inget hänger på att någon kommer ihåg. När ditt team rättar problem flyttas statusen och bevisen bifogas, vilket betyder att din nästa revision visar fyndet och rättningen sida vid sida.

Den posten matar också dina kontroller. Ett fynd om svag åtkomsthantering kopplas tillbaka till kontrollen det påverkar, så att du kan se om samma glapp dyker upp igen. Med tiden slutar dina penetrationstester vara isolerade händelser och blir en återkoppling som härdar ditt program.

Sammanfattningen köpare faktiskt frågar efter

Företagsköpare ber sällan om hela rapporten, och du bör inte lämna ut den, eftersom den är en karta över dina svaga punkter. Det de vill ha är en sammanfattning av penetrationstestet: en bekräftelse på att en ansedd firma testade dig nyligen, vad omfattningen var och att du åtgärdade det som spelade roll.

Ett trust center som backas av ditt OptiTech-program publicerar precis det. Köpare ser att du testar, att du agerar på resultaten och att dina fynd har ägare och stängningsdatum. Säkerhetsgranskningar går snabbare för att beviset redan finns där.

Kom igång

Du behöver inget stort program för att börja testa väl:

1. Skriv din omfattning och rangordna det som betyder mest.
2. Ta fram två eller tre leverantörer med riktiga meriter och exempelrapporter.
3. Boka ett greybox-test mot din huvudapplikation.
4. Lägg in varje fynd i OptiTech med en ägare och en frist samma dag som rapporten kommer.
5. Publicera sammanfattningen till ditt trust center när du har åtgärdat.

Ett penetrationstest är bara så bra som det du gör härnäst. Spåra fynden, stäng dem på en tidslinje, så får både dina revisorer och dina köpare samma tydliga svar.

Redo att göra fynd från penetrationstester till spårade åtgärder? Boka en demo och se hur OptiTech kopplar ihop dina tester, kontroller och bevis.