glippenBestill test

Attestbrev

Eksempel på attestbrev etter en pentest

Attestbrevet er den ene siden dere sender til kunden eller legger ved anbudet. Det sier hva som ble testet, når, av hvem og hva som ble funnet, men ikke hvordan noen kommer inn. Under står et fullt eksempel med en oppdiktet kunde.

Last ned eksempelet (PDF)

Oppdatert · Erik Nilsen · endringslogg

Leseren

Hvem som leser det

Kunden deres har en leverandørvurdering å fylle ut, eller et sikkerhetsskjema med et spørsmål om penetrasjonstest. I et anbud er det den som vurderer tilbudene. Ingen av dem skal rette noe. De skal kunne vise at leverandøren er testet, og legge dokumentasjonen i saken.

Det de trenger, er hva som ble testet, når, av hvem, og hva som er status. Det er det attestbrevet er. Hva skjemaene spør om, og hva dere svarer før testen er gjort, står i Kunden ber om pentest-rapport og Sikkerhetsdokumentasjon til anbud.

Innhold

Hva som står i det

Omfang
Hvilken applikasjon, hvilke API-er, hvilket miljø og hvilke roller. Det som ikke var med, står også.
Testperiode
Datoene testen ble kjørt, og hvilken versjon som ble testet.
Metode
At testen ble gjort som innlogget bruker, med hvilke verktøy, og hva den ble vurdert mot.
Hvem som testet
Navnet på den som testet og firmaet, og hvilke bånd firmaet har til kunden ut over testen.
Funn
Antall funn per alvorlighetsgrad. Ingen beskrivelse av selve funnene.
Hva som er lukket
Hvilke funn som er rettet og verifisert på nytt, med datoen for retesten. Det som fortsatt er åpent, står som åpent.
Skillet mellom kundene
Én setning om hvor godt kundenes data holdes adskilt, skrevet som et testresultat: at tilgang på tvers av kunder ble forsøkt, og om den ble oppnådd innenfor omfanget. Står der appen har flere kunder.
Forbehold
At brevet gjelder det som ble testet i perioden, og ikke sier at systemet er sikkert.

Aldri

Hva som aldri står i det

Brevet beskriver ikke funnene. Det står ingen endepunkter, ingen forespørsler, ingen skjermbilder og ingenting om hvordan en svakhet kan brukes. Et brev som sier hvor dørene står åpne, er en del av rapporten, og rapporten skal ikke ut.

Det står heller ingenting som ikke kan dokumenteres. Brevet sier ikke at systemet er sikkert, og det setter ikke noe stempel på det.

Rapporten

Forskjellen på brevet og rapporten

Rapporten
Skrevet for dem som skal rette. Hvert funn står med hvor det er, hvordan det ble funnet, hva det betyr og hva som må endres, og bevismaterialet følger med. Den beskriver hvordan man kommer inn hos dere, og den blir hos dere.
Attestbrevet
Skrevet for dem som skal vurdere dere. Én side på norsk og én på engelsk, som kan videresendes uten å gi bort noe. Alt som står i brevet, står også i rapporten.

Slik rapporten ser ut, står i eksempelrapporten.

Forbehold

Hva brevet ikke kan si

Et attestbrev beskriver det som ble testet i en bestemt periode, innenfor et bestemt omfang. Det er ikke en attest på at systemet er sikkert. Ingen test finner alt, og det som endres etter testen, er ikke vurdert.

Det er derfor datoene står der. En mottaker som kan faget, leser dato og omfang før noe annet, og et forsiktig brev med ekte datoer er verdt mer for dem enn et som lover noe.

Hvor gammel dokumentasjon mottakeren godtar, avgjør mottakeren. Det finnes ingen norsk standard for hva et attestbrev skal inneholde, så innholdet over er det vi mener det bør inneholde.

Testene

Testene det følger med

Ordrett fra leveransen i prislisten, for hver test som har attestbrev.

  • Pentest av app og API24 900 kr eks. mva

    • Attestbrev på én side, på norsk og engelsk: hva som ble testet, når, metode, hvem som testet, funn per alvorlighetsgrad og hva som er lukket og verifisert på nytt
    • Én retest innen 60 dager, og et nytt attestbrev etter den

  • Pentest av større plattform49 900 kr eks. mva

    • Attestbrev på én side, på norsk og engelsk: hva som ble testet, når, metode, hvem som testet, funn per alvorlighetsgrad og hva som er lukket og verifisert på nytt
    • Én retest innen 60 dager, og et nytt attestbrev etter den

  • Glippen Løpende3 900 kr/mnd eller 42 900 kr/år eks. mva

    • Attestbrev på én side, på norsk og engelsk, oppdatert etter hver retest

App-sjekk og Microsoft 365-gjennomgang har ikke attestbrev.

Eksempel

Eksempelet, på norsk og engelsk

Kunden er oppdiktet, og domenene ligger under .example, som er reservert til dokumentasjon. Dette er brevet etter retesten, når det meste er lukket og ett funn fortsatt er åpent.

EKSEMPEL. Kunden, systemet og datoene er oppdiktet. Dette er ikke en test av noe system.

Attestbrev: uavhengig sikkerhetstest

Utsteder
Glippen (Nilsen Konsult)
Oppdragsgiver
Eksempelfirma AS
System
Eksempelportalen, webapplikasjon og API: app.eksempelfirma.example og api.eksempelfirma.example
Miljø
Testmiljø med samme versjon som produksjon (4.12)
Testperiode
14. til 25. september 2026
Retest
20. oktober 2026
Funn
Kritisk 0, høy 1, middels 2, lav 1
Utgave
2, etter retesten. Første utgave 30. september 2026

Metode

Test som innlogget bruker, med fire roller (administrator, saksbehandler, leser og gjest) fordelt på to testkunder. Testingen er gjort med egne verktøy og AI-agenter styrt av testeren, og hvert funn er reprodusert og vurdert av testeren før det er tatt med. Vurdert mot OWASP Top 10 og OWASP API Security Top 10.

Omfang

Autorisasjon og tilgang til objekter på tvers av roller og kunder, API-et (BOLA, mass assignment og rate limiting), innloggings- og sesjonsflyt, hemmeligheter i frontend og en ekstern sjekk av domenene. Ikke omfattet: mobilappen, skyoppsettet, internt nettverk og Microsoft 365.

Skillet mellom kundene

Tilgang til data og handlinger på tvers av de to testkundene ble forsøkt med alle fire roller, og ble ikke oppnådd innenfor omfanget, verken i testperioden eller ved retesten.

Status

Funnet med høy alvorlighetsgrad og begge funnene med middels alvorlighetsgrad er rettet og verifisert på nytt ved retesten 20. oktober 2026. Funnet med lav alvorlighetsgrad er åpent. Eksempelfirma AS oppgir at det er planlagt rettet innen 31. desember 2026.

Testet av

Erik Nilsen, Glippen. Nilsen Konsult har ingen eierinteresser i Eksempelfirma AS og ingen andre oppdrag for dem.

Forbehold

Brevet beskriver det som ble testet i perioden og innenfor omfanget over. Det sier ikke at systemet er sikkert: ingen test finner alt, og endringer etter retesten er ikke vurdert. Den fullstendige rapporten er konfidensiell og ligger hos Eksempelfirma AS.

Mysen, 21. oktober 2026

Erik Nilsen

Glippen (Nilsen Konsult)

Glippen er et produkt fra Nilsen Konsult · org.nr 931 405 861 MVA

EXAMPLE. The client, the system and the dates are fictional. This is not a test of any system.

Letter of attestation: independent security test

Issued by
Glippen (Nilsen Konsult)
Client
Eksempelfirma AS
System
Eksempelportalen, web application and API: app.eksempelfirma.example and api.eksempelfirma.example
Environment
Test environment running the production version (4.12)
Test period
14 to 25 September 2026
Retest
20 October 2026
Findings
Critical 0, high 1, medium 2, low 1
Edition
2, after the retest. First edition 30 September 2026

Method

Authenticated testing with four roles (administrator, case handler, reader and guest) spread across two test customers. The testing was done with our own tools and with AI agents directed by the tester, and every finding was reproduced and assessed by the tester before it was included. Assessed against the OWASP Top 10 and the OWASP API Security Top 10.

Scope

Authorisation and object access across roles and customers, the API (BOLA, mass assignment and rate limiting), login and session handling, secrets left in the frontend, and an external check of the domains. Not in scope: the mobile app, the cloud configuration, the internal network and Microsoft 365.

Separation between customers

Access to data and actions across the two test customers was attempted with all four roles and was not achieved within scope, neither during the test period nor at the retest.

Status

The high severity finding and both medium severity findings have been fixed and re-verified at the retest on 20 October 2026. The low severity finding is open. Eksempelfirma AS states that a fix is planned by 31 December 2026.

Tested by

Erik Nilsen, Glippen. Nilsen Konsult has no ownership interest in Eksempelfirma AS and no other engagements for it.

Limitations

This letter describes what was tested during the period and within the scope above. It does not state that the system is secure: no test finds everything, and changes made after the retest have not been assessed. The full report is confidential and held by Eksempelfirma AS.

Mysen, 21 October 2026

Erik Nilsen

Glippen (Nilsen Konsult)

Glippen is a product of Nilsen Konsult · org.nr 931 405 861 MVA

Last ned som PDF, én side per språk

Neste

Vil dere ha et slikt brev for deres løsning

Bestill en pentest, så får dere svar innen én virkedag med scope-dokument til signering og bekreftet testvindu. Har dere et skjema eller et anbud med frist, send det, så sier vi hvilken test som svarer på det.

Bestill Pentest av app og APISpør om skjemaet eller anbudet