Får I en rapport med fund i opsætningen, skal driften kunne se præcis, hvad fundet bygger på, og selv kunne gentage kontrollen, når fejlen er rettet. Et brugbart bevis er derfor et udtræk, et skærmbillede eller en kommando med tidspunkt, kilde og den konto, der målte, så samme kontrol kan køres igen og give et nyt resultat.
Det er sitets formulering, at genskabelighed er kravet. Uden den kan ingen af parterne vise, at et fund er rettet.
Hvad NIST siger om at dokumentere arbejdet
NIST’s vejledning om teknisk sikkerhedsvurdering fra 2008 har et afsnit om håndtering af data under og efter en vurdering (SP 800-115, afsnit 7.4). Den anbefaler, at der føres en log over aktiviteterne med mindst disse oplysninger:
- Dato og tidspunkt.
- Navnet på den, der udførte aktiviteten.
- Identifikation af eget system og målsystemet.
- Det anvendte værktøj.
- Den kommando, der blev kørt.
- Kommentarer.
Afsnit 7.4.2 handler om at gemme resultaterne fra værktøjerne og fundene, så de kan bruges senere. NIST skriver også, at en rettelse kun kan bekræftes af det hold, der testede, hvis den oprindelige test gentages som en spejlkopi (afsnit 8). Verifikation alene ved en underskrift er billigere på kort sigt, men der er risici ved ikke at kontrollere teknisk, at ændringerne er gennemført.
Tre former for bevis
Et konfigurationsfund kan dokumenteres på tre måder. De har hver deres styrke.
- Udtræk · Styrke: Fuldstændigt, kan sorteres og sammenlignes · Svaghed: Kræver, at det er tydeligt, hvordan det er trukket · Brug den til: Lister over konti, regler, indstillinger på mange maskiner
- Kommando med output · Styrke: Kan gentages præcist · Svaghed: Viser kun det, kommandoen spørger om · Brug den til: Enkelte indstillinger, effektive politikker
- Skærmbillede · Styrke: Viser det, administratoren ser · Svaghed: Kan ikke sorteres og er svært at sammenligne · Brug den til: Indstillinger, der kun findes i en administrationsflade
Det er almindelig praksis at foretrække udtræk og kommandoer frem for skærmbilleder, fordi de kan køres igen. Et skærmbillede er dog ofte det eneste, der kan vise en indstilling i en administrationsflade uden en grænseflade til udtræk. Så skal det have tidspunkt og den sti i fladen, det er taget fra. Tag hellere flere skærmbilleder, der hver viser én indstilling tydeligt, end ét, der viser en hel side, hvor det relevante er svært at finde.
Felterne i et fund
Et fund, der kan genskabes, har efter sitets ordning disse felter. Eksemplet er tænkt.
- Fund · (Tre konti uden flerfaktor har administratorrolle)
- Målestok · (Den valgte baseline og punktet i den)
- Berørte objekter · (Navnene på de tre konti)
- Kilde · (Identitetsplatformens liste over rolletildelinger)
- Sådan blev det trukket · (Den kommando eller den sti i administrationsfladen, der gav listen)
- Tidspunkt og konto · (Dato, klokkeslæt og den læsekonto, der blev brugt)
- Bilag · (Udtrækket som fil med samme navn som fundet)
- Kontrol af rettelse · (Kør samme udtræk igen; de tre konti skal have flerfaktor eller ikke længere have rollen)
Det sidste felt er det, der gør fundet nyttigt for driften. Det fortæller, hvordan rettelsen kan ses, uden at nogen udefra skal ind igen.
Når driften selv leverer beviset
I mange gennemgange er det driften, der trækker udtrækkene, og den, der gennemgår, læser dem. Det er fornuftigt, fordi driften kender systemerne og har rettighederne. Men det stiller krav til formen:
- Gem rådata, ikke et redigeret regneark. Et regneark, hvor nogen har slettet linjer, kan ikke bruges som bevis.
- Skriv ned, hvordan udtrækket blev trukket, med kommando eller sti.
- Notér tidspunktet og kontoen.
- Lad filnavnet sige, hvad der er i den, og hvornår den er trukket.
Når de fire ting er på plads, kan den, der gennemgår, regne efter. Og når fundet skal kontrolleres efter rettelsen, kan driften køre samme kommando og lægge det nye resultat ved siden af det gamle.
Det betyder også, at driften selv kan bruge beviset. Et fund, der peger på en konkret kommando og en konkret fil, kan lægges ind i en sag i driftens eget system og lukkes, når det nye udtræk viser rettelsen. På den måde bliver rapporten en arbejdsliste og ikke et dokument, der lægges i en mappe.
Forordningens krav til dokumentation af test
For de digitale tjenesteudbydere, forordning 2024/2690 gælder for, siger bilagets punkt 6.5.2, at sikkerhedstest dokumenteres med testenes type, omfang, tid og resultater, og at der ud for hver konstatering står en vurdering af dens betydning og af mulige afbødninger. For andre er punktet en målestok for, hvad dokumentationen bør rumme. Hvordan bevis behandles i en sikkerhedsaudit som helhed, er et bredere emne end det tekniske udtræk.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at alle udtræk gemmes med tidspunkt, kilde og metode, og at fundene i rapporten peger på bilagene. Det tager lidt længere tid at trække et udtræk ordentligt første gang, men den tid spares, når det skal gentages.
Uden genskabeligt bevis bliver uenigheder om fund til diskussioner om hukommelse. Og når et fund meldes rettet, kan ingen vise det, uden at hele kontrollen laves om fra bunden.
Det skal I lade være med
- At levere udtræk som redigerede regneark · gem rådata.
- At nøjes med en underskrift som bevis for en rettelse · gentag kontrollen.
- At tage skærmbilleder uden tidspunkt og sti · så kan de ikke genskabes.
Det skal gennemgangen kunne vise
- ☐ For hvert fund: kilde, metode, tidspunkt og konto.
- ☐ Rådata som bilag med sigende filnavne.
- ☐ En beskrivelse af, hvordan rettelsen kan kontrolleres.
- ☐ En log over de kommandoer og værktøjer, der er brugt i gennemgangen.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 7.4 og 8, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.5.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag det seneste fund, I har rettet, og prøv at vise rettelsen med et udtræk, der kan sammenlignes med det oprindelige.
Læs også: Opfølgende gennemgang: samme udtræk, nyt resultat · Rapporten fra en teknisk gennemgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
