Business casen for regelmæssig penetration testing

"Vi er for små til at være et mål." Det hører jeg fra danske SMV'er hver uge. Og hver uge beviser nyhederne det modsatte.

Lille betyder ikke sikker

Angribere browser ikke CVR-registret efter store virksomheder. De scanner internettet for sårbarheder. Din virksomhed med 20 ansatte og en upatched WordPress-side er lettere at kompromittere end en bank — og det ved angriberne godt.

Hvad en pentest faktisk finder

En god penetration test er ikke bare at køre Nmap og aflevere en PDF. Det er en struktureret vurdering, der:

1. Kortlægger din angrebsflade — hvert endpoint, service og login-side
2. Tester authentication — password-politikker, session management, MFA bypass
3. Forsøger privilege escalation — kan en almindelig bruger blive admin?
4. Tester data exfiltration — kan følsomme data forlade dit netværk uopdaget?

Afkastet

Den gennemsnitlige omkostning ved et databrud for en dansk SMV er 2-5 millioner kroner, når du medregner GDPR-bøder, tabt forretning og genopretningsomkostninger.

En penetration test koster en brøkdel af det og giver dig handlingsbare resultater, du kan rette, før angribere finder de samme problemer.

Hvornår du bør teste

• Før lancering af et nyt produkt
• Efter større infrastrukturændringer
• Mindst årligt for compliance
• Efter enhver sikkerhedshændelse