Penetrationstest krav för upphandling – Guide

Visste du att 73% av svenska organisationer upplevde minst ett cybersäkerhetsincident under det senaste året? Detta visar hur viktigt det är med proaktiv säkerhetstestning. Det är särskilt viktigt när man väljer en partner genom offentlig upphandling.

Upphandlingsprocessen för säkerhetstestning är komplex. Många beslutsfattare känner osäkerhet kring hur man formulerar effektiva IT-säkerhet upphandlingskriterier. Det är viktigt att skydda organisationens digitala tillgångar.

I denna guide går vi igenom viktiga delar av att specificera testkriterier i upphandlingssammanhang. Vi använder vår expertis inom cybersäkerhet och känner till Lagen om offentlig upphandling (LOU). Detta ger er verktygen för en framgångsrik upphandling som uppfyller lagkrav och skyddar er.

Denna guide är för er som är IT-chefer, beslutsfattare och upphandlingsansvariga. Ni behöver förstå både affärsvärdet och tekniska specifikationer för säkerhetstestning.

Viktiga Punkter

• Förstå grundläggande kravställning för säkerhetstestning i offentlig sektor
• Lär dig identifiera kritiska IT-säkerhet upphandlingskriterier som skyddar er organisation
• Navigera Lagen om offentlig upphandling (LOU) med säkerhet och precision
• Implementera internationella standarder för säkerhetstestning i er upphandlingsprocess
• Få praktiska mallar och checklistor för tekniska specifikationer
• Undvik vanliga fallgropar som kan försvaga upphandlingens säkerhetsnivå

Vad är penetrationstest och dess syfte?

Penetrationstest är en viktig metod för att hitta säkerhetsbrister innan skadliga aktörer gör det. Det är en grundläggande del av IT-säkerhet. Det hjälper er att skydda er mot dagens cyberhot.

Vi ser hur bra tester kan förhindra stora säkerhetsincidenter. De skyddar känslig information.

Grundläggande definition och ramverk

Penetrationstest är en systematisk och kontrollerad simulering av verkliga cyberattacker. Auktoriserade säkerhetsexperter försöker hitta sårbarheter i er IT-infrastruktur. FSPOS-dokumentet säger att det är en viktig del av cyberresiliens.

Det går längre än traditionella säkerhetskontroller. Det aktivt försöker bryta igenom era försvar.

Testmetodiken imiterar samma tekniker som riktiga angripare. Vi använder både manuella tekniker och avancerade verktyg. Detta ger er en verklighetstrogen bild av era säkerhetsrisker.

Huvudsyftet med säkerhetstestning

Syftet med penetrationstest är mångfacetterat. Det hjälper er att få en verklighetstrogen bedömning av er säkerhetsposition. Ni får insikter i tekniska brister och mänskliga felkällor.

När vi gör säkerhetstestning offentlig sektor, fokuserar vi på att testerna uppfyller cybersäkerhetskrav upphandling. Vi ger er konkreta rekommendationer för att åtgärda identifierade brister.

Testerna hjälper er att se om era säkerhetskontroller fungerar. Ni får svar på viktiga frågor. Till exempel om era brandväggar fungerar som de ska.

Kategorier av penetrationstester

Vi erbjuder flera typer av penetrationstest. Varje test fokuserar på specifika områden av er säkerhet. Ni väljer testtyp baserat på era behov och riskprofil.

• Nätverkspenetrationstester – undersöker säkerheten i er nätverksinfrastruktur
• Applikationspenetrationstester – fokuserar på webbapplikationer och mjukvara
• Sociala ingenjörskonst-tester – utvärderar den mänskliga faktorn
• Fysiska penetrationstester – bedömer säkerheten i era fysiska lokaler
• Red team-tester – avancerade simuleringar som använder underrättelseinformation

FSPOS-dokumentet betonar vikten av Red team-tester. Dessa avancerade tester bygger på specifik information om er verksamhet. Vi kombinerar ofta flera testtyper för en heltäckande säkerhetsbedömning.

Sårbarhetsbedömningar kompletterar penetrationstesterna. De definierar, identifierar och klassificerar sårbarheter. Vi använder en strukturerad approach för att säkerställa att inga kritiska säkerhetsbrister förbises.

Varför är penetrationstest viktiga vid upphandling?

Det är en viktig fråga för svenska organisationer när de handlar med IT. Hur kan vi säkerställa säkerheten från start? Penetrationstest har blivit en strategisk nödvändighet snarare än en teknisk formalitet. När organisationer köper nya IT-system och digitala lösningar, måste de veta att säkerheten måste byggas in från början.

Genom att inkludera penetrationstest i upphandlingsprocessen kan vi identifiera och åtgärda säkerhetsbrister innan systemet går i drift. Detta sparar tid och resurser jämfört med att hantera säkerhetsincidenter senare. Cyberresiliens handlar om att skydda sig mot hot och bygga en organisation som kan förutse, motstå och snabbt återhämta sig från cyberattacker.

Riskhantering

Penetrationstest är en viktig del av varje organisations riskhanteringsprocess, särskilt vid IT-upphandlingar. Vi hjälper våra kunder att förstå att dessa tester identifierar konkreta säkerhetsrisker innan system implementeras. Detta gör att organisationen kan minska riskerna istället för att hantera kostsamma incidenter senare.

FSPOS-dokumentet visar att övning och test är viktigt för att hantera cyberrelaterade risker. Genom systematiska tester kan vi upptäcka sårbarheter innan angripare gör det. Detta ger organisationen tid att implementera lämpliga säkerhetsåtgärder.

Riskhantering genom penetrationstest omfattar flera aspekter av säkerhet. Sårbarhetsbedömningar, scenariobaserade tester och redteam-tester ger en komplett bild av riskexponeringen. Detta hjälper beslutsfattare att fokusera på säkerhetsinvesteringar baserat på verkliga hot.

Regelefterlevnad

När myndigheter och offentliga organisationer upphandlar enligt penetrationstest LOU, är säkerhetstestning viktigt. Det visar att organisationen tar cybersäkerhet på allvar. Genom att visa att man genomför systematisk testning bygger man långsiktigt värde.

GDPR kräver att man skyddar personuppgifter genom tekniska och organisatoriska åtgärder. Penetrationstest hjälper till att verifiera att dessa åtgärder fungerar. Detta är särskilt viktigt för säkerhetsrevision myndigheter som visar att man följer bästa praxis.

CPMI/IOSCO-riktlinjerna definierar cyberresiliens som förmågan att förutse, motstå och snabbt återhämta sig från cyberattacker. Genom att följa dessa riktlinjer kan organisationer säkerställa att deras säkerhetsrevision uppfyller både nationella och internationella standarder.

Förbättrad säkerhet

Förbättrad säkerhet är den största fördelen med penetrationstest vid upphandling. Dessa tester ger en objektiv bedömning av var försvar är svagast. Vi rekommenderar att se penetrationstest som en investering i säkerhet, inte en kostnad.

Regelbundna tester hjälper till att utveckla cyberresiliens genom att utvärdera tekniska kontroller och teamets förmåga att hantera säkerhetsincidenter. En holistisk syn på säkerhet är avgörande för att bygga robusta system som kan motstå hot. Genom att inkludera penetrationstest i upphandlingskrav säkerställer vi att säkerhet är inbyggd från början.

Vi rekommenderar att penetrationstest blir ett obligatoriskt krav i upphandlingar av IT-system och tjänster. Detta gäller särskilt för system som hanterar känslig information eller kritiska affärsprocesser. Genom att ställa krav på säkerhetstestning tidigt i upphandlingsprocessen skapar organisationer förutsättningar för hållbar digital transformation.

Förmånsområde	Kortsiktig påverkan	Långsiktig påverkan	Mätbar effekt
Riskhantering	Identifiering av akuta sårbarheter	Proaktiv säkerhetskultur	Reducerade säkerhetsincidenter med 60-80%
Regelefterlevnad	Uppfyllande av lagkrav	Stärkt förtroende och trovärdighet	Undvikande av sanktionsavgifter och böter
Förbättrad säkerhet	Omedelbar åtgärd av kritiska brister	Kontinuerlig säkerhetsförbättring	Ökad cyberresiliens och återhämtningsförmåga
Kostnadsbesparing	Förebyggande av dataläckor	Minskade totala säkerhetskostnader	Genomsnittlig besparing på 3-5 miljoner kronor per undviken incident

Sammanfattningsvis är penetrationstest vid upphandling en strategisk investering. Den ger värde genom bättre riskhantering, säkerställd regelefterlevnad och förbättrad säkerhet. Organisationer som inkluderar dessa krav tidigt i upphandlingsprocessen är bättre rustade för en komplex digital värld där cyberhot ständigt förändras.

Lagkrav och standarder i Sverige

Lagkrav och säkerhetsstandarder är viktiga för etisk hackning kravspecifikation och IT-säkerhet upphandlingskriterier i Sverige. Vi hjälper er genom det svenska regelverket. Detta regelverk bygger på internationella och nationella standarder för säkerhet.

Standarder och krav hjälper oss att skapa tydliga krav. Dessa kan följas av både köpare och leverantörer.

När vi skapar upphandlingsdokument för penetrationstester, tittar vi på exempel från offentlig sektor. Fortifikationsverket visar hur ska-krav struktureras. Dessa krav måste uppfyllas för att anbud ska kunna utvärderas.

FSPOS-dokumentet refererar till internationella riktlinjer som CPMI/IOSCO. Det refererar också till nationella ramverk som CBEST från Storbritannien och TIBER-NL från Nederländerna.

GDPR och dataskydd

GDPR är grund för dataskyddskrav i Sverige. Det förpliktar organisationer att implementera tekniska och organisatoriska åtgärder. Vi integrerar dessa krav i etisk hackning kravspecifikation för att säkerställa lämplig säkerhetsnivå.

Detta innebär att penetrationstester och säkerhetsrevisioner är viktiga. De visar att säkerhetsnivån är lämplig.

Principerna för dataskydd påverkar direkt vår planering av säkerhetstestning. Vi måste säkerställa att testningen skyddar personuppgifter. Detta kräver tydliga avtal och begränsad åtkomst till data.

Organisationer som hanterar personuppgifter måste vara noggranna. Vi rekommenderar att dokumentera hur penetrationstester bidrar till GDPR-efterlevnad. Detta inkluderar identifiering av sårbarheter och testning av säkerhetskontroller.

• Identifiera sårbarheter som kan leda till dataintrång
• Verifiera att säkerhetskontroller fungerar som avsett
• Testa incidenthanteringsprocesser och rapporteringsrutiner
• Säkerställa att dataportabilitet och raderingsrättigheter fungerar säkert

ISO 27001 och säkerhetsstandarder

ISO 27001-standarden ger oss ett ramverk för informationssäkerhet. Vi använder det som grund för IT-säkerhet upphandlingskriterier. Standarden specificerar krav på systematisk riskbedömning och val av säkerhetskontroller.

Vi rekommenderar att organisationer som följer ISO 27001 integrerar penetrationstester i sitt årliga internrevisionsprogram. Detta ger objektiv verifiering av säkerhetskontroller. Standarden kräver också dokumentation av testresultat.

När vi utformar kravspecifikationer baserade på ISO 27001 fokuserar vi på följande områden:

1. Omfattning av testning enligt riskbedömning och tillgångsklassificering
2. Testmetodik som överensstämmer med standardens kontroller
3. Rapporteringsformat som stödjer ledningens genomgång
4. Integration med organisationens processer för kontinuerlig förbättring

NIST-ramverket

NIST-ramverket från National Institute of Standards and Technology är en viktig struktur för oss. Vi använder särskilt NIST Cybersecurity Framework. Det organiserar säkerhetsarbete kring fem kärnfunktioner: Identifiera, Skydda, Upptäcka, Reagera och Återhämta.

Penetrationstester spelar en central roll i flera av dessa funktioner. De hjälper till att identifiera sårbarheter och testa organisationens förmåga att upptäcka och reagera på intrång.

När vi utformar upphandlingskrav för penetrationstester med NIST som grund, säkerställer vi att testerna täcker alla relevanta kärnfunktioner. Detta innebär att vi inte bara testar tekniska sårbarheter utan också organisatoriska förmågor som incidenthantering och återhämtning.

Vi ser att ISO 27001, NIST och GDPR skapar en robust grund för etisk hackning kravspecifikation och IT-säkerhet upphandlingskriterier. Genom att aligna våra upphandlingskrav med dessa standarder och ramverk gör vi det enklare för leverantörer att förstå och svara på kraven. Detta höjer kvaliteten på både anbud och genomförande.

Faktorer att beakta i kravspecifikationen

Att skapa en detaljerad kravspecifikation är viktigt. Det kräver att ni tänker på flera viktiga saker. Detta påverkar kvaliteten på de penetrationstester ni gör.

En bra kravspecifikation hjälper er och leverantörer. Den gör att ni vet vad som ska hända. Det minskar risken för missförstånd.

Fortifikationsverket visar hur man gör detaljerade krav. Det hjälper er att inte missa något viktigt.

Omfattning och mål

Starta med att bestämma vad ni vill testa. Det är viktigt för att inte missa något viktigt. Det hjälper er att spara tid och resurser.

När ni skriver penetrationstest krav för upphandling bör ni ha en plan. Identifiera era viktigaste tillgångar först. Sedan kartlägg de största hoten mot er.

Det är viktigt att ni vet vad ni vill uppnå. Till exempel att testa er nya internetbank. Eller att se om ni följer GDPR.

Lägga tid på detaljerad kravspecifikation är viktigt. Det hjälper er att få bättre resultat.

Specifika mål är viktiga. Det hjälper er att veta vad ni ska testa. Till exempel att hitta sårbarheter med vissa poäng.

Det är också bra att testa hur snabbt ni kan reagera. Till exempel att upptäcka intrång inom 24 timmar.

Tidsramar och budget

Tidsramar och budget är viktiga. Ni måste tänka på hur mycket ni vill testa. En medelkomplex miljö tar ofta 2-4 veckor att testa.

Det tar också tid att rapportera och analysera. Större test kan ta månader. Det är därför budget är så viktig.

Det är bra att tydliggöra tidsramar i kravspecifikationen. Det hjälper leverantörer att planera bättre. Det minskar risken för förseningar.

• Planeringstid: 1-2 veckor för förberedelser och koordinering
• Genomförandetid: 2-4 veckor för medelkomplexa miljöer
• Rapporteringstid: 1-2 veckor för detaljerad dokumentation
• Efterarbete: Tid för verifieringstester efter åtgärder

När ni planerar budget, tänk på alla kostnader. Det inkluderar uppföljningstester. Opsio hjälper företag med upphandling av IT-drift med långsiktig planering.

Kvalifikationer för utförande

När ni väljer leverantör, tänk på deras kvalifikationer. Det är viktigt att de har rätt kunskaper. Det garanterar en bra jobb.

Se till att de har de rätta certifieringarna. Det visar att de har genomgått den rätta utbildningen. Certifieringar som CREST och OSCP är bra exempel.

Certifiering	Fokusområde	Relevans
CREST	Standardiserad penetrationstestning	Hög för kommersiella projekt
OSCP	Praktisk offensiv säkerhet	Teknisk kompetens och hands-on färdigheter
CEH	Etisk hacking och testmetodik	Bred säkerhetskunskap
ISO 27001 Lead Auditor	Informationssäkerhet och ledningssystem	Förståelse för organisatoriska aspekter

Det är också bra att se deras erfarenhet. De bör ha gjort liknande jobb tidigare. Det visar att de vet vad de gör.

Det är också viktigt att ni vet hur ni ska få rapporter. Hur ofta ska ni få uppdateringar? Vilken detaljgrad ska rapporten ha?

Det är också viktigt att ni vet hur leverantören hanterar sårbarheter. Kommer de att ge rekommendationer? Finns det support för att hjälpa er?

Genom att tänka på dessa penetrationstestning leverantörskrav får ni ett bättre resultat. Det ger er värde för pengarna och skapar en säker grund för framtiden.

Processen för att genomföra ett penetrationstest

Professionella penetrationstest går igenom flera viktiga steg. Dessa steg hjälper till att göra en noggrann säkerhetsanalys av IT-system. Varje steg bygger på det föregående för att öka säkerheten. Vi följer en beprövad metod för att säkerställa att alla delar av er IT-miljö granskas noggrant.

Resultaten blir både användbara och lätt att handla efter. Detta gör att ni kan ta de nödvändiga åtgärderna för att skydda er.

Förberedelse och planering

Förberedelsefasen är den första steget mot ett lyckat penetrationstest. Den kräver noggrann planering med er organisation. Vi skapar en detaljerad projektplan som anger vilka system som ska testas och när.

Planeringen inkluderar också hur vi ska kommunicera och hantera eventuella problem. Detta säkerställer att ni kan hantera kritiska fynd snabbt och effektivt.

Vi gör också riskbedömningar och ser till att alla nödvändiga godkännanden finns på plats. Juridiska avtal skapas för att definiera vad testet omfattar. Detta skyddar er organisation och våra testare.

Vi samlar in information genom att granska dokument och göra en inledande säkerhetsanalys. Detta ger oss en översikt över vad vi ska testa.

Vi definierar testscenarier och användarfall som speglar verkliga hot. Vi ser till att testet följer de cybersäkerhetskrav som ställs på er. Vi identifierar också kritiska tillgångar som behöver extra uppmärksamhet.

Genomförande av testet

Genomförandet följer en strukturerad metodik för att säkerställa säkerhet. Vi använder olika skanningar beroende på testets mål. Detta ger en komplett bild av er säkerhetsläge.

Processen är anpassningsbar och ändras baserat på de fynd vi gör. Detta gör att testet blir mer effektivt.

Penetrationstestet består av flera faser som tillsammans granskar er säkerhet. Vi använder oss av både automatiserade verktyg och manuella tekniker för att hitta sårbarheter.

Vi försöker aktivt utnyttja dessa sårbarheter för att få obehörig åtkomst. Detta hjälper oss att se vad en angripare kan göra. Vi dokumenterar alla fynd och tekniker under testet.

Vi använder olika skanningsmetoder beroende på testets karaktär. Autentiserade skanningar ger djupare insikter. Icke-autentiserade skanningar simulerar externa angrepp. Vi gör också specialiserade skanningar för att täcka alla aspekter av er säkerhet.

Vi följer alltid de cybersäkerhetskrav som ställs på er. Vi håller kontinuerlig kontakt med er säkerhetsorganisation. Om vi hittar kritiska sårbarheter pausar vi testet och informerar er direkt.

Rapportering av resultat

Rapporteringen är en viktig del av penetrationstestet. Det är viktigt att resultaten är tydliga och lätt att förstå. Vi lägger stor vikt vid att ge er detaljerad dokumentation.

Våra rapporter är strukturerade för att passa olika intressenters behov. De ger en översikt för ledningen och detaljerad information för implementeringsteamen.

Vår rapport innehåller flera delar som ger en komplett bild av er säkerhetsläge. Vi presenterar fynden och besvarar frågor från era team. Denna dialog är viktig för att säkerställa att ni förstår tekniska detaljer.

Vi erbjuder löpande stöd under implementeringsfasen. Vi genomför verifieringstester för att se till att rekommendationerna har implementerats korrekt.

Skillnaden mellan interna och externa tester

Testperspektiv ger olika insikter om er säkerhetsposition. Vi hjälper er att förstå skillnaderna mellan interna och externa tester. Det är viktigt att välja rätt testmetoder för att skydda er verksamhet.

Varje testperspektiv simulerar olika attackscenarier. En bra teststrategi inkluderar både perspektiv. Detta är särskilt relevant för myndigheter som hanterar känslig information.

Interna tester – Skydd mot insider-hot

Interna penetrationstester simulerar scenariot där en angripare redan har tillgång till ert nätverk. Detta kan ske genom att en extern angripare tar sig in eller en anställd agerar illvilligt. Testarna får en startpunkt innanför era brandväggar.

Testarna försöker eskalera privilegier och röra sig lateralt i nätverket. Detta liknar det som FSPOS-dokumentet beskriver som autentiserade skanningar. Testarna får samma systemåtkomst som privilegierade användare.

Detta perspektiv är kritiskt eftersom många organisationer har starka perimeterskydd men svaga interna segmenteringar. När ni utformar penetrationstestning leverantörskrav bör ni specificera att interna tester ska inkludera utvärdering av nätverkssegmentering.

Externa tester – Försvar mot internetbaserade attacker

Externa penetrationstester fokuserar på skydd mot attacker från internet. Testarna agerar som en extern angripare utan förkunskap om er miljö. Detta motsvarar FSPOS-dokumentets icke-autentiserade skanningar.

Målsystemen inkluderar webbapplikationer, e-postsystem och VPN-lösningar. Detta är särskilt relevant för myndigheter som driver digitala tjänster. De måste vara publikt tillgängliga men säkra mot cyberattacker.

Externa tester utvärderar er första försvarslinje och identifierar sårbarheter. När ni specificerar penetrationstestning leverantörskrav för externa tester bör ni inkludera alla publikt exponerade IP-adresser.

Hybridlösningar – Realistiska attacksimulationer

Hybridlösningar kombinerar externa och interna testperspektiv. Detta ger den mest realistiska bilden av en verklig attack. Testarna börjar med externa tester för att identifiera en initial intrångspunkt.

När testarna brutit igenom perimeterskyddet fortsätter de med interna tester. Detta avslöjar den verkliga risken genom att demonstrera hela attackkedjan. Detta är avslöjande för att se hur långt en angripare kan ta sig.

Vi ser ett växande intresse för assumed breach-tester. I dessa tester förutsätts att perimeterskyddet redan har brutits. Detta fokuserar på att utvärdera organisationens förmåga att upptäcka en angripare som redan är inne i nätverket.

När ni utformar säkerhetstestning offentlig sektor rekommenderar vi att båda perspektiven inkluderas. I era penetrationstestning leverantörskrav bör ni specificera om ni önskar separata tester eller en integrerad hybrid-approach. Detta ger maximal värde från investeringen.

Hur man utvärderar leverantörer av penetrationstest

Val av leverantör för penetrationstest är viktigt för er organisations säkerhet. Vi hjälper er att välja rätt partner. Kvaliteten på testerna beror på leverantörens kompetens.

Starta med att se anbud från minst tre leverantörer. Detta ger er chansen att jämföra olika erbjudanden. Anbud ska bedömas enligt samma kriterier för en rättvis jämförelse.

Utvärderingsmodellen bör ha tre delar. En demo, dokumentation av tidigare jobb, och referenser. Detta ger en klar bild av leverantörens förmåga.

Certifieringar att leta efter

I er etisk hackning kravspecifikation ska leverantören ha relevanta certifieringar. Det visar deras kunskap och förmåga att genomföra test.

De viktigaste certifieringarna är:

• CREST – särskilt CREST Registered Penetration Tester eller CREST Certified Tester, som är högt respekterade i branschen
• OSCP (Offensive Security Certified Professional) – känd för sina praktiska och utmanande prov som testar verklig kompetens
• CEH (Certified Ethical Hacker) – en etablerad certifiering för etisk hackning
• GPEN (GIAC Penetration Tester) – fokuserar på praktiska penetrationstestfärdigheter

Det är viktigt att kontrollera vilka konsulter som ska jobba med er. Det är deras kompetens som avgör testens kvalitet.

Erfarenhet och referenser

Erfarenhet och referenser är viktiga. Vi rekommenderar att ni ser detaljer om tidigare jobb. Det är bra att ha referenser från samma bransch eller komplexitet som er.

Kontakta referenserna för att få en riktig bild av leverantörens arbete. Fråga om deras erfarenhet av kommunikation och rapportering.

För säkerhetsrevision myndigheter är det viktigt att leverantören känner till offentlig sektors krav. De måste ha kunskap om säkerhetskrav och processkrav.

En bra metod är att be finalisterna göra presentationer. De ska beskriva hur de skulle testa er specifika utmaning. Det visar deras kreativitet och förståelse för er verksamhet.

Metodik och verktyg

Vi fokuserar på leverantörens metodik och verktyg. Fråga om de följer en testmetodik, som OWASP Testing Guide. Det är viktigt att de har en balans mellan automatisering och manuell testning.

Manuell expertis är viktigare än automatisering. Automatiserade verktyg kan inte hitta alla sårbarheter.

Be leverantörer visa exempel på tidigare rapporter. Detta hjälper er att bedöma deras dokumentationskvalitet. Rapporten ska passa er organisation.

Viktiga aspekter att titta på inkluderar:

1. Hur leverantören hanterar rapportering och kommunikation under och efter testet
2. Vilka verktyg de använder och hur dessa kompletteras med manuell expertis
3. Hur de prioriterar och kategoriserar sårbarheter i sina rapporter
4. Vilken uppföljning och support de erbjuder efter testets genomförande

Genom att träffa de personer som kommer att jobba med er, kan ni bedöma om ni kan lita på dem. Detta möte är avgörande för att välja rätt leverantör som er säkerhetspartner.

Vanliga fallgropar vid upphandling av penetrationstest

Att undvika vanliga fallgropar vid upphandling av penetrationstest är viktigt. Det hjälper er att få mest värde för pengarna. Många gör samma misstag när de följer LOU.

Genom att lära av andras misstag kan ni göra bättre. Det sparar tid och pengar. Och ni får säkrare system.

Otydliga krav skapar förvirring

Den vanligaste fallgropen är otydliga krav i upphandlingsdokumentationen. Många skriver generiska krav utan detaljer. Det leder till problem.

Detta skapar stora problem. Leverantörer tolkar uppdraget olika. Det blir svårt att jämföra anbud.

Vaga krav skapar många utmaningar:

• Leverantörer vet inte vilka system som ska testas
• Testningens djup och omfattning är oklart
• Metodval och rapporteringskrav saknas
• Kompetenskrav för testarna specificeras inte
• Prissättningen blir inkonsekvent mellan anbud

Vi rekommenderar detaljerade kravspecifikationer. Om ni saknar kompetens, ta in extern hjälp.

Tydliga krav ska inkludera allt från omfattning till kompetenskrav. Det gör jämförelser rättvisa.

Ignorera rekommendationer kostar dyrt

Att ignorera rekommendationer från leverantören är ett stort misstag. Det gäller både under upphandlingen och i slutrapporten.

Vissa gör det för att fylla i kryssträd. De använder inte resultaten för att förbättra säkerheten. Det är slöseri med resurser.

Leverantörens råd är värdefull expertis:

• Råd om hur testet bör utformas
• Identifiering av kritiska sårbarheter
• Prioritering av säkerhetsförbättringar
• Strategiska insikter för säkerhetsutveckling

Penetrationstester är en del av en kontinuerlig förbättringsprocess. Identifierade sårbarheter måste åtgärdas. Annars är testet meningslöst.

Använd insikterna för att utveckla er säkerhetsstrategi. Det ger långsiktigt värde.

Underestimera tid och resurser

Att underestimera tid och resurser är ett stort misstag. Det gäller både testet och åtgärdsarbetet efteråt.

Organisationer förväntar sig ofta för mycket. Ett grundligt test kan ta många veckor.

Realistiska tidsramar måste inkludera flera faser:

1. Förberedelser och systeminventering
2. Själva penetrationstestets genomförande
3. Rapportgenomgångar med berörda parter
4. Åtgärdsplanering för identifierade sårbarheter
5. Uppföljande verifieringstester

Åtgärder för sårbarheter kan kräva mycket tid och resurser. Det kan ta månader, inte dagar.

Planera för tillräckliga tidsramar och resurser redan i upphandlingsfasen. Detta inkluderar hela säkerhetsförbättringscykeln.

Säkerställ att ni har budget och stöd för säkerhetsförbättringar. Det är viktigt för att testet ska ha någon effekt.

Kostnader kopplade till penetrationstest

Vi hjälper er att förstå de olika kostnaderna för penetrationstester. Detta gör det lättare att fatta beslut om cybersäkerhetskrav upphandling. Att veta vad kostnaderna är hjälper er att budgetera bättre och välja rätt testnivå.

Sabina Öberg påpekar att god upphandling är värdefull på lång sikt. Det är en strategisk investering, inte bara en kostnad.

Investeringen i säkerhetstestning varierar beroende på flera faktorer. Det är viktigt att se det som en strategisk investering. Rätt nivå av testning skyddar inte bara er IT-miljö utan stärker också er konkurrenskraft och kundförtroende.

Faktorer som påverkar kostnaden

Omfattningen av testet är den största faktorn som påverkar priset för Penetrationstest krav för upphandling. Ett begränsat webbapplikationstest kan kosta från 50 000 till 100 000 kronor. Ett omfattande test av en komplex IT-miljö kan kosta flera hundratusen kronor eller mer.

Testets djup och komplexitet spelar också en stor roll. En grundläggande sårbarhetsscanning är relativt billig. Men djupgående manuella penetrationstester kräver specialistkompetens och kostar mer.

Avancerade Red team-tester som sträcker sig över flera månader är mycket dyrare. De är primärt för stora organisationer med höga säkerhetskrav. FSPOS-dokumentet beskriver dessa olika nivåer.

Leverantörens kompetens och erfarenhet påverkar priset. Konsulter med högsta certifieringar tar typiskt 1500 till 3000 kronor per timme. Denna investering är motiverad eftersom mer erfarna testare är betydligt mer effektiva och hittar sårbarheter som mindre erfarna skulle missa.

Geografiska faktorer kan också påverka kostnaden. Lokala leverantörer erbjuder ibland mer kostnadseffektiva lösningar för mindre komplex testning. Internationella specialistföretag kan vara nödvändiga för mycket avancerade hotscenarier.

Testnivå	Omfattning	Tidsåtgång	Kostnadsspann
Grundläggande sårbarhetsscanning	Automatiserad scanning av system	1-3 dagar	20 000-50 000 kr
Webbapplikationstest	Manuell testning av webbapplikation	5-10 dagar	50 000-150 000 kr
Omfattande penetrationstest	Flera system, nätverk och applikationer	2-4 veckor	200 000-500 000 kr
Red team-test	Simulering av avancerade hotaktörer	1-6 månader	1 000 000+ kr

Budgetering för penetrationstest

Vi rekommenderar att ni ser penetrationstester som en återkommande investering snarare än en engångskostnad. Säkerhetslandskapet och er IT-miljö förändras kontinuerligt. Detta innebär att tester behöver upprepas regelbundet, typiskt årligen för kritiska system och efter större förändringar.

En praktisk budgeteringsmodell är att allokera 2 till 5 procent av er totala IT-budget till säkerhetstestning och validering. Exakt procentsats beror på er bransch, riskexponering och regulatoriska krav. Organisationer inom finanssektorn och sjukvården bör ofta ligga i den högre delen av spannet på grund av känslig information och strängare cybersäkerhetskrav upphandling.

Budgetera inte bara för själva penetrationstestet. Efterarbetet för att åtgärda identifierade sårbarheter kostar ofta mer än testet i sig. Uppföljande verifieringstester säkerställer att åtgärderna varit effektiva och bör också inkluderas i budgeten.

Vi ser också att många organisationer glömmer att räkna in interna resurser. Era IT-team behöver tid för att förbereda testmiljöer, delta i möten och implementera åtgärder. Denna tid representerar en reell kostnad som bör beaktas i den totala budgeten.

Långsiktiga besparingar genom test

Kostnaden för penetrationstester är minimal jämfört med de potentiella kostnaderna för en verklig säkerhetsincident. Studier visar att genomsnittskostnaden för ett dataintrång globalt är över 4 miljoner dollar enligt IBM:s Cost of Data Breach Report. För svenska organisationer uppgår kostnaderna ofta till flera miljoner kronor.

Dessa kostnader inkluderar inte bara direkta utgifter för incident response. Regulatoriska böter under GDPR kan vara betydande. Förlorade affärer, varumärkesskador och ökade försäkringspremier adderar snabbt till totalkostnaden.

Genom att proaktivt identifiera och åtgärda sårbarheter innan de exploateras ger penetrationstester en direkt ROI genom riskreducering. Detta är kärnan i kostnadseffektiv säkerhetshantering. Förebyggande åtgärder är alltid billigare än att hantera konsekvenserna av en attack.

Sekundära fördelar inkluderar förbättrat förtroende hos kunder och partners. Enklare efterlevnad av regulatoriska krav sparar tid och administrativa kostnader. Lägre försäkringskostnader för cyberförsäkring är en direkt ekonomisk fördel som många organisationer upplever.

En starkare övergripande säkerhetskultur i organisationen gör er mer resilient mot framtida hot. Medarbetare blir mer medvetna om säkerhetsrisker. Processer och rutiner förbättras kontinuerligt baserat på testresultat och rekommendationer från erfarna konsulter.

Framtiden för penetrationstest i Sverige

Säkerhetslandskapet i Sverige förändras snabbt. Detta beror på nya teknologier, ökade hot och strängare regler. Tillsammans skapar de nya krav på penetrationstest.

Traditionella testmetoder behöver utvecklas. De måste kompletteras med mer avancerade tekniker. Detta för att möta säkerhetsutmaningarna i framtiden.

Organisationer som förbereder sig idag kommer att ha fördelar. Detta när dessa förändringar accelererar under kommande år.

Teknikutveckling och trender

Artificiell intelligens och maskininlärning förändrar hur vi gör penetrationstest. Angripare använder AI för att automatisera attacker och identifiera sårbarheter snabbare.

Detta innebär att vi behöver utveckla testmetoder som simulerar AI-drivna attackscenarier. Vi måste utvärdera organisationers förmåga att upptäcka och reagera på dessa hot.

Traditionella årliga penetrationstester kompletteras nu med kontinuerlig testning. Detta ger en mer realtidsorienterad bild av säkerhetspositionen. Vi ser en rörelse mot automatiserad sårbarhetsanalys IT-system.

Detta tillvägagångssätt möjliggör snabbare identifiering av nya sårbarheter. Det minskar fönstret för potentiella angrepp.

Cloud-computing och containerisering förändrar IT-landskapet. Det kräver nya testmetoder och kompetenser inom säkerhetsteamen. Traditionella nätverksbaserade penetrationstester räcker inte längre.

Vi behöver testa API-säkerhet och container orchestration-plattformar som Kubernetes. Detta inkluderar Infrastructure-as-Code-konfigurationer och säkerhetsutmaningar från multi-cloud-miljöer.

Internet of Things och Operational Technology utgör växande attackytor. Detta kräver specialiserad testningskompetens. Det är särskilt kritiskt för industriella miljöer och kritisk infrastruktur.

Vi ser ett ökande behov av experter som förstår både IT-säkerhet och OT-utmaningar. Tillgänglighet och säkerhet måste balanseras på nya sätt.

Ökande behov av säkerhet

Cyberattacker blir allt mer sofistikerade och skadliga. Detta driver behovet av omfattande och regelbunden säkerhetstestning. Nationalstatsaktörer och hacktivister utvecklar nya attackmetoder.

Vi ser att tiden mellan att en sårbarhet offentliggörs och att den aktivt exploateras har minskat dramatiskt. Detta kräver snabbare responsförmåga från organisationer.

Organisationers digitala attackyta växer exponentiellt. Detta beror på digital transformation och ökad sammankoppling av system. Distansarbete har öppnat nya ingångspunkter för angripare.

Tredjepartsleverantörer i leveranskedjan skapar ytterligare säkerhetsutmaningar. Detta innebär att säkerhetstestning offentlig sektor och privat näringsliv behöver täcka en bredare yta. De måste inkludera tester av fjärråtkomst och molntjänster.

Konsekvenserna av framgångsrika cyberattacker har eskalerat. Organisationer riskerar ekonomiska förluster och regulatoriska böter. Rättsliga konsekvenser och permanent skada på deras ryk är också möjliga.

Vi ser att verksamhetskontinuitet hotas direkt av ransomware-attacker. Detta gör regelbunden och omfattande penetrationstestning till en nödvändighet.

Lagstiftningsändringar och deras påverkan

NIS2-direktivet ställer högre krav på cybersäkerhetsåtgärder. Det täcker kritisk infrastruktur och viktiga sektorer med krav på riskanalyser och säkerhetsåtgärder. Penetrationstester blir en förväntad del av efterlevnadsarbetet.

DORA-förordningen för finanssektorn kräver avancerad testning. Detta inkluderar TIBER-EU-ramverket som simulerar sofistikerade attacker. Vi ser att denna typ av testning kommer att spridas till andra sektorer.

Framtidens upphandlingar av säkerhetstjänster kommer att kräva mer sofistikerade testmetoder. Vi hjälper organisationer att bygga upp kompetens och etablera processer för systematisk sårbarhetsanalys. Detta proaktiva tillvägagångssätt förbereder organisationer för kommande krav och förbättrar deras säkerhet.

Regelverk	Omfattning	Testkrav	Implementering Sverige
NIS2-direktivet	Kritisk infrastruktur och viktiga sektorer (energi, transport, hälsa, finans)	Regelbundna riskanalyser och säkerhetstester, incidentrapportering	2024-2025, nationell implementering pågår
DORA	Finansiella organisationer och tredjepartsleverantörer	Threat-led penetration testing enligt TIBER-EU minst vart tredje år	Januari 2025, direkt tillämplig förordning
GDPR	All verksamhet som behandlar personuppgifter	Lämpliga tekniska och organisatoriska åtgärder, säkerhetstester rekommenderas	Maj 2018, fortsatt utveckling genom praxis
ISO 27001	Frivillig standard för informationssäkerhet	Regelbunden testning av säkerhetskontroller och systemsårbarheter	Internationell standard, svensk version tillgänglig

Regulatoriska förändringar skapar utmaningar och möjligheter för organisationer i Sverige. De som ser det som en möjlighet att förbättra sin säkerhet kommer att uppnå bäst resultat. Genom att integrera penetrationstest och kontinuerlig testning i verksamheten bygger vi resiliens.

Sammanfattning och slutsatser

Vi har visat att framgångsrik säkerhetstestning startar med tydliga krav och god planering. Rätt förberedelser hjälper er att skydda er organisation mot cyberhot. Det skapar också långsiktig säkerhetsresiliens.

Viktigheten av noggranna krav

Kvaliteten på era penetrationstester beror på hur ni formulerar kraven. Fortifikationsverket visar att strukturerade krav skapar förståelse mellan er och leverantören. Specifika krav om omfattning och rapportering stärker er säkerhetsposition.

Uppmaning till åtgärd

Börja er säkerhetsresa med en riskbedömning av kritiska system. Identifiera tillgångar som behöver testning. Skapa en plan för systematisk säkerhetstestning.

För organisationer som måste genomföra penetrationstest LOU är det viktigt att starta tidigt. Upphandlingsprocessen tar månader.

Frågor att ställa innan upphandlingen

Ställ er själva dessa frågor: Vilka system är mest kritiska? Finns intern kompetens, eller behöver vi extern hjälp? Vilka certifieringar och erfarenheter ska leverantören ha? Hur ofta behöver vi upprepa testerna?

Vi är redo att stödja er från behovsanalys till upphandlingsprocessen. Sabina Öberg säger att extern hjälp ger bättre resultat och högre värde på säkerhetsinvesteringar.

FAQ

Hur ofta bör vi genomföra penetrationstester för våra IT-system?

Vi rekommenderar åtminstone ett årligt penetrationstest för kritiska system. Detta eftersom säkerhetslandskapet ständigt förändras. Ny sårbarhet kan uppstå.

Förutom årliga tester, gör ni det efter större förändringar i IT-miljön. Det gäller också när nya sårbarheter publiceras som kan påverka era system. Organisationer med höga säkerhetskrav bör genomföra kontinuerlig säkerhetsövervakning. Kombinationen av kvartalsvisa eller halvårsvisa penetrationstester är också viktig.

Vilka certifieringar ska vi kräva av leverantörer som utför penetrationstester?

Kräv att leverantören och konsulterna har relevanta certifieringar. Detta inkluderar CREST, OSCP, CEH, GPEN, och liknande. Det visar deras teoretiska och praktiska kunskap.

Det är viktigt att kolla individuella konsulternas certifieringar. Det avgör kvaliteten på testerna. Särskilt viktigt för myndigheter är erfarenhet av offentlig sektor.

Vad är skillnaden mellan penetrationstest och sårbarhetsscanning?

Sårbarhetsscanning är en automatiserad process som jämför systemkonfigurationer mot kända säkerhetsbrister. Det ger en översikt men kräver manuell validering.

Penetrationstester är mer djupgående. De aktiva försöker utnyttja sårbarheter för att få obehörig åtkomst. Det ger en realistisk bedömning av skada en angripare kan orsaka.

Vi rekommenderar båda metoder. Sårbarhetsscanning ger kontinuerlig övervakning. Penetrationstester ger djupgående validering.

Hur hanterar vi identifierade sårbarheter efter ett penetrationstest?

Prioritera sårbarheter baserat på allvar och affärspåverkan. Skapa en åtgärdsplan med tydliga ansvar och tidsramar. Åtgärda kritiska sårbarheter omedelbart.

Verifiera att åtgärder är effektiva. Dokumentera hela processen. Det bygger kunskap och visar efterlevnad av regler.

Vad kostar ett penetrationstest för en medelkomplex IT-miljö?

Kostnaden varierar beroende på komplexitet och omfattning. En begränsad webbapplikationstest kan kosta 50 000-100 000 kr. En medelkomplex IT-miljö kan kosta 150 000-400 000 kr.

Avancerade Red team-tester kan kosta flera miljoner. Det är viktigt att budgetera för efterarbete och verifieringstester.

Måste vi inkludera penetrationstester i alla IT-upphandlingar enligt LOU?

LOU kräver inte penetrationstester i alla upphandlingar. Men andra regler och god praxis gör det ofta nödvändigt. GDPR och NIS2-direktivet ställer höga krav på säkerhetsåtgärder.

Inkludera penetrationstester i upphandlingar för kritiska system. Det minskar risk och kan vara mer kostnadseffektivt.

Hur lång tid tar ett penetrationstest att genomföra?

Tiden varierar beroende på komplexitet och omfattning. Ett grundligt test kan ta 2-4 veckor. Rapportering och efterarbete tar ytterligare 1-2 veckor.

Planera för tillräckligt med tid. Det är viktigt att ha kapacitet att stödja testarna och hantera kritiska fynd.

Vad är skillnaden mellan White box, Grey box och Black box penetrationstester?

White box-tester innebär att testarna har full tillgång till systeminformation. Black box-tester innebär att testarna inte har någon information. Grey box-tester ligger mellan dessa två.

Vi rekommenderar Grey box-tester för de flesta fall. De ger bäst värde för pengarna.

Hur skiljer sig penetrationstester från Red team-tester?

Penetrationstester fokuserar på tekniska sårbarheter. Red team-tester är mer avancerade och syftar till att simulera verkliga angrepp. De testar er övergripande cyberresiliens.

Red team-tester är mer realistiska. De tar längre tid och kräver mer resurser. De är lämpliga för mer avancerade testmål.

Vad händer om penetrationstestet upptäcker en kritisk sårbarhet i ett leverantörssystem?

När en kritisk sårbarhet upptäcks, informera er säkerhetsorganisation omedelbart. Kontakta systemleverantören för att rapportera sårbarheten. Dokumentera all kommunikation noggrant.

Ha tydliga avtal med leverantörer för säkerhetsuppdateringar. Det minskar risk för konflikter. I vissa fall kan ni behöva överväga alternativa lösningar.

Behöver vi informera användare eller medborgare när vi genomför penetrationstester?

Kommunikation om penetrationstester är viktig. Det beror på typen av test och system som testas. Regelbunden säkerhetstestning är ofta tillräcklig.

Informera personal om social engineering-tester. Det är viktigt att vara transparent. Men undvik detaljerad information om testtider och metoder.