Kodeks for sikkerhedstest

Sikkerhedstest, hvor eksperter simulerer et cyberangreb mod en organisation med de samme værktøjer og metoder, som hackerne anvender, skal foregå forsvarligt. Det er vigtigt at sørge for, at de medarbejdere, der bliver udsat for testen, ikke får krænket deres hverdag eller privatliv.

Derfor står en række brancheorganisationer, myndigheder og faglige organisationer bag et fælles kodeks for sikkerhedstest. Det kan bruges af leverandører af sikkerhedstest og af de organisationer, der bestiller leverandørerne til at udføre testen.

Kodekset dækker blandt andet over, hvordan man skal håndtere eventuelt følsomme data. Det kan for være bruger-passwords. Samtidig skal man sikre, at man overholder Databeskyttelseslovens regler om blandt andet slettefrister.

En sikkerhedstest er beregnet til at trykprøve organisationen og dens medarbejderes parathed til at håndtere meget målrettede trusler. Kodekset beskriver derfor også, at det er vigtigt at indgå klare aftaler på forhånd, der afgrænser testen. For eksempel bør kunden godkende, hvordan en teknik som phishing må bruges i testen.

De sikkerhedstest, som Center for Cybersikkerhed har mulighed for at udføre i samarbejde med udvalgte myndigheder og virksomheder, er reguleret af lovgivningen. Kodekset kan ses som en hjælp til andre organisationer og leverandører, som udfører eller får udført sikkerhedstest.

IT-Branchen, KL og HK har i fællesskab udarbejdet kodekset. Som afsendere står samlet: Akademikerne, Center for Cybersikkerhed, Dansk Erhverv, Dansk Industri, Danske Regioner, Digitaliseringsstyrelsen, Erhvervsstyrelsen, Finans Danmark, HK, IT-Branchen, KL og SMV Danmark.