Fra bestilling til retest

1. 01

   Bestilling

   Du fyller ut skjemaet med hvilken tjeneste det gjelder, hvilke domener eller miljøer som skal testes, og når det passer.

   Du får svar innen én virkedag. Hvis noe i bestillingen er uklart, spør vi om det med en gang i stedet for å gjette.

2. 02

   Scope og regler for testen

   Du får et scope-dokument som sier nøyaktig hva som skal testes, hva som ikke skal testes, og hvilke regler som gjelder underveis. Det er dette som kalles Rules of Engagement.

   Dokumentet signeres av begge parter. Ingenting testes før det er på plass. Det beskytter deg, og det beskytter oss.

3. 03

   Avtalt testvindu

   Vi avtaler når testen kjøres. Er det et produksjonsmiljø, legger vi den utenom perioder der dere ikke tåler støy.

   Du får vite hvilken IP-adresse trafikken kommer fra, slik at driftsleverandøren din kan skille testen fra et reelt angrep. Trenger noen andre å varsles, tar vi det før vi begynner.

4. 04

   Rapport og skriftlig gjennomgang

   Du får rapporten på den datoen vi ble enige om. Side 1 er et sammendrag du kan videresende til ledelsen. Resten er teknisk, med dokumentasjon per funn og et konkret tiltak til hvert av dem.

   Etter at du har lest den, går vi gjennom den skriftlig. Du kan stille så mange spørsmål du vil, og du får svar samme dag.

5. 05

   Retest innen 30 dager

   Når dere har rettet det som ble funnet, tester vi de samme punktene på nytt og bekrefter skriftlig hva som faktisk er lukket.

   Retesten er inkludert i 30 dager etter levering. Trenger dere lengre tid, sier dere fra, så finner vi ut av det.

Hva trenger dere fra meg?

Domenet eller miljøet som skal testes, én kontaktperson som kan svare på spørsmål underveis, og en signatur på scope-dokumentet.

For Microsoft 365 trenger vi lesetilgang, altså Global Reader eller Security Reader. For autentisert testing av en webapp trenger vi en testbruker med vanlig rolle, helst i et testmiljø. Ut over det trenger du ikke gjøre noe mens testen pågår.

Hvem gjør selve testingen?

Erik Nilsen setter omfanget, styrer agentene, avgjør hva som er et reelt funn og skriver rapporten. Alvorlighetsgraden settes etter hva som faktisk kan skje hos dere, ikke etter hva et verktøy skriver ut.

Store deler av selve testingen kjøres av AI-agenter, innenfor et regelverk og en programvare Glippen har bygget selv. Agentene foreslår angrepsvektorer, kombinerer informasjon på tvers, kontrollerer oppsettet mot OWASP Top 10 og kjente CVE-er, og etterprøver det som er rettet.

Agentene får full testkapasitet innenfor avtalt omfang, og aldri utenfor. Ingenting kjøres før scope og skriftlig autorisasjon er signert. Modellene kommer fra store leverandører, valgt blant annet fordi de ikke trener på det som sendes gjennom API-et. Verktøyene og instruksjonene rundt dem har vi bygget selv. Hva som sendes hvor, står i personvernerklæringen.

Hva skjer hvis dere finner noe kritisk?

Da venter vi ikke på rapporten. Du får beskjed samme dag, med nok informasjon til at dere kan stenge det med en gang.

Deretter fortsetter testen som avtalt, og funnet står i rapporten på vanlig måte sammen med det vi bekreftet etterpå.

Hvordan faktureres det?

Faktura sendes fra Nilsen Konsult etter levering, med 14 dagers forfall. Prisene som står på tjenestesiden er eks. mva, og merverdiavgift kommer i tillegg på fakturaen.

Skulle det dukke opp arbeid utenfor avtalt omfang, får du et skriftlig anslag først, og du bestemmer selv om det skal gjøres.

Hva hvis dere ikke finner noe?

Da står det i rapporten, sammen med hva som ble testet og hvordan det ble testet. Prisen er den samme: du betaler for at det blir undersøkt, ikke for antall funn.

En rapport som viser at oppsettet holder er verdt å ha for seg selv, blant annet når kunder, revisor eller forsikringsselskap spør.

Bestillingen tar et par minutter. Du får svar innen én virkedag med scope-dokument til signering og bekreftet testvindu.