Det var kundens tredje penetrationstest på fire år. De to første rapporter var grundige og teknisk korrekte, og de havde ført til næsten ingen ændringer. Fundene var reelle. De overlevede bare aldrig vejen frem til en budgetbeslutning.
Mønstret var velkendt. En rapport ankommer med fund vurderet som kritiske, høje og middel. Den når frem til en ledelse, der ikke kan se, hvad noget af det betyder for forretningen, og så bliver den lagt i arkivet med de bedste intentioner.
Sådan gjorde vi
Selve testen var almindeligt arbejde: den eksterne perimeter, kundens primære applikation og det interne netværk set fra en kompromitteret arbejdsstation. Det, der ændrede sig, var måden, hvert resultat blev skrevet op på.
Hvert fund indeholdt tre ting:
- Hvad en angriber kunne nå, demonstreret frem for påstået
- Hvad det ville koste netop denne forretning, sagt med deres egne ord
- Hvad det ville kræve at rette, som en indsats en leder kunne sætte af i et kvartal
Ét fund kædede tre problemer med lav alvorlighed sammen til læseadgang til kundedatabasen. Vurderet hver for sig var alle tre blevet accepteret som lav risiko i en tidligere rapport.
Hvad der ændrede sig
Vi præsenterede selv for ledelsen, uden at det tekniske team skulle oversætte for os. Kæden ovenfor tog fire minutter at forklare og krævede ingen sikkerhedsbaggrund at følge.
Udbedringen blev godkendt på det møde. Ikke fordi fundene var mere alvorlige end sidst, men fordi dem, der havde budgettet, for første gang kunne se, hvad de købte.
Det tekniske team havde vidst alt dette i to år. De var ikke blevet ignoreret. De havde bare spurgt på et sprog, som resten af rummet ikke talte.