Penetrationstest
Aftalt test, hvor specialister forsøger at bryde ind i jeres systemer, som en angriber ville gøre, for at finde svagheder før andre gør.
Kort svar
En penetrationstest (pentest) er en aftalt sikkerhedstest, hvor specialister med jeres tilladelse forsøger at bryde ind i netværk, systemer, applikationer eller konti – på samme måde som en kriminel ville gøre. Formålet er at finde og dokumentere svagheder, der faktisk kan udnyttes, så de kan rettes. En pentest er et øjebliksbillede og supplerer, men erstatter ikke, løbende sårbarhedsscanning.
- Aftal rammerneMål, omfang, tidspunkt, kontaktpersoner og hvad testerne må.
- KortlægTesterne undersøger, hvad der er synligt og tilgængeligt.
- Forsøg at bryde indSvagheder afprøves kontrolleret for at se, hvor langt man kan komme.
- RapportFund prioriteres efter alvor, med forslag til rettelser.
- Ret og gentestFejl rettes, og kritiske fund testes igen.
Hvad en penetrationstest er
Den amerikanske standardiseringsmyndighed NIST beskriver penetrationstest som sikkerhedstest, hvor testerne efterligner virkelige angreb for at finde måder at omgå sikkerheden i en applikation, et system eller et netværk. Styrelsen for Samfundssikkerhed (SAMSIK) beskriver det som test, hvor udefrakommende forsøger at bryde ind i netværk, enheder, systemer og applikationer, som en kriminel eller spion ville gøre.
Det afgørende er, at testen er aftalt og afgrænset. Uden tilladelse er det ikke en test, men et angreb.
Penetrationstest vs. sårbarhedsscanning
De to begreber forveksles ofte. SAMSIK nævner dem side om side som tekniske undersøgelser, der finder huller i cyberforsvaret, men de svarer på forskellige spørgsmål: Scanningen spørger “hvilke kendte svagheder har vi?”, mens pentesten spørger “hvor langt kan en angriber komme?”.
| Sårbarhedsscanning | Penetrationstest | |
|---|---|---|
| Hvad sker der? | Værktøj leder efter kendte svagheder | Specialister forsøger at bryde ind |
| Hvor ofte? | Løbende, fx månedligt eller oftere | Typisk enkeltstående, fx årligt |
| Resultat | Liste over kendte sårbarheder | Dokumentation af hvad der kunne udnyttes |
| Finder | Manglende opdateringer, svage opsætninger | Kombinationer af svagheder og fejl i logik |
| Kræver | Værktøj og nogen, der følger op | Aftalt omfang, tilladelse og specialister |
Typer af test
- Ekstern test: Det, der er synligt fra internettet – fx firewall, VPN, webmail og hjemmeside.
- Intern test: Hvad en angriber kan, hvis vedkommende allerede er på netværket, fx via en inficeret pc.
- Applikationstest: En bestemt webapplikation eller kundeportal.
- Cloud- og kontotest: Opsætningen af fx Microsoft 365 og Entra ID.
- Social engineering-test: Fx phishingkampagner eller opkald. Sikkerdigital.dk understreger, at sådanne test skal teste organisationen og aldrig udstille enkelte medarbejdere.
Det skal aftales på forhånd
Sikkerdigital.dk har seks principper for IT-sikkerhedstest. Blandt andet skal mål og midler aftales, det skal være klart, hvilke identiteter testerne må udgive sig for, testerne skal kunne identificere sig ved konflikter, og data skal håndteres ansvarligt.
- Præcist omfang: hvilke systemer, adresser og konti – og hvad der er udenfor.
- Tidsrum og hvem hos jer og jeres IT-leverandør der skal kende til testen.
- Om testerne må forsøge at påvirke driften, eller kun dokumentere.
- Hvordan fund og eventuelle persondata håndteres og slettes bagefter.
Vær opmærksom: Ligger systemerne hos en hostingleverandør eller i en cloudtjeneste, kan der være regler for, hvad I må teste. Afklar det med leverandøren først.
Hvornår giver en pentest mening for en lille virksomhed?
Vores vurdering: For mange virksomheder med 5–50 ansatte giver det mest værdi først at have styr på grundlaget – opdateringer, MFA, backup og løbende sårbarhedsscanning. En pentest giver især mening, når I har egne systemer eksponeret mod internettet, efter større ændringer, ved kundekrav eller som dokumentation over for fx en certificering.
Eksempel: En arkitektvirksomhed åbner en kundeportal, hvor bygherrer kan hente tegninger. Før lanceringen får de lavet en applikationstest af portalen og en ekstern test af de adresser, der er synlige fra internettet.
Spørgsmål I kan stille
- Hvad vil vi have svar på – og hvilke systemer er vigtigst?
- Er alle relevante leverandører informeret og enige om testen?
- Hvem ejer opfølgningen, når rapporten kommer?
- Har vi styr på de grundlæggende tiltag, så testen ikke bare finder det, vi allerede ved?
Hvornår giver det mening at få hjælp?
Er I i tvivl om, hvorvidt en pentest eller en sårbarhedsscanning er det rigtige næste skridt, kan Furesø Data hjælpe med at afklare behovet. Start evt. med et IT-sikkerhedstjek.
Spørgsmål og svar
Kan en pentest gå galt og lægge systemer ned?
Det kan ske, især ved test af ældre eller skrøbelige systemer. Derfor aftales tidspunkt, omfang og kontaktpersoner på forhånd, og der bør være taget backup.
Er en pentest et krav?
Ikke generelt for små virksomheder. Det kan være et krav fra kunder, i kontrakter eller i forbindelse med regler som NIS2 eller en certificering – tjek hvad der gælder for jer.
Forbehold: Test af systemer uden ejerens tilladelse kan være strafbart. Indhent altid skriftlig tilladelse fra systemejer og relevante leverandører.
Kilder (tjekket 31. oktober 2026)