*Uppdaterad 12 oktober 2026
De fem stegen i penetrationstestning som behandlas i denna guide är rekognosering, skanning, sårbarhetsbedömning, utnyttjande och rapportering. Tillsammans hjälper de organisationer att identifiera säkerhetsbrister, förstå hur angripare kan utnyttja dem och prioritera åtgärder.
Penetrationstestning, även kallat pentest, är en auktoriserad säkerhetsbedömning som kombinerar specialistkunskap med automatiserade verktyg för att undersöka sårbarheter och visa deras potentiella konsekvenser.
År 2026 måste testets omfattning spegla hur din verksamhet fungerar. Det kan omfatta interna nätverk, applikationer som är anslutna till internet, molnmiljöer, API:er och identitetssystem. Syftet är att besvara en praktisk fråga: var skulle en angripare kunna få tillgång, och vad skulle de kunna göra därefter?
Även om den här artikeln delar in den tekniska processen i fem steg, använder olika metodiker olika fasnamn och strukturer. Planering och godkännande måste ske innan testningen påbörjas.
Din organisation och testleverantören bör komma överens om vilka system som ingår i omfattningen, målen, tillåtna tekniker, testperioder och eventuella undantag. De bör också fastställa kontaktpersoner för nödsituationer, krav på datahantering och villkor för att avbryta testet.
Dessa regler för testgenomförandet ger testarna tydliga ramar och hjälper till att hantera operativa risker. NIST definierar dem som riktlinjer och begränsningar som fastställs innan ett säkerhetstest inleds.
Rekognosering är informationsinsamlingsfasen i penetrationstestningen. Den hjälper testarna att förstå miljön och identifiera potentiella ingångspunkter inom den överenskomna omfattningen.
Detta kan innebära att man granskar domännamn, IP-adresser, allmänt tillgängliga tjänster, applikationsinformation och uppgifter som tillhandahålls av era tekniska team.
Den information som finns tillgänglig beror på uppdraget. Vissa tester inleds med begränsad kunskap om miljön, medan andra inkluderar arkitekturdokumentation, testkonton och tillgång till relevanta konfigurationer.
Resultatet blir en tydligare bild av de system som utvärderas och av var ytterligare undersökning behövs.
Vid skanning används tekniska verktyg för att upptäcka aktiva system, öppna portar, tjänster och potentiella sårbarheter.
Det kan hjälpa till att identifiera föråldrad programvara, exponerade administrativa gränssnitt och konfigurationsproblem. För applikationer kan upptäckten även innebära kartläggning av tillgängliga sidor, slutpunkter och funktionalitet.
En upptäckt av en skanner innebär dock inte automatiskt en bekräftad säkerhetsrisk. Resultaten måste granskas i sitt sammanhang: är den berörda tjänsten tillgänglig, finns det skyddsåtgärder på plats och gäller upptäckten den faktiska konfigurationen?
Skanning ger testare en utgångspunkt för en djupare undersökning.
Under sårbarhetsbedömningen granskar testarna potentiella svagheter för att fastställa vilka som är relevanta och hur de kan påverka organisationen.
Detta kombinerar automatiserade resultat med manuell analys. För webbapplikationer kan testningen omfatta autentisering, auktorisering, sessionshantering, validering av indata och affärslogik. Dessa är några av de områden som behandlas i OWASP:s guide för webbsäkerhetstestning.
Manuell utredning är särskilt viktig när en svaghet beror på hur en applikation fungerar. En användare kan till exempel ha tillgång till en annan kunds information trots att denne har ett giltigt konto och har autentiserats.
Testare beaktar även hur sårbarheter samverkar. En exponerad tjänst och alltför omfattande behörigheter för ett konto kan tillsammans utgöra en allvarligare risk än vad var och en av dessa faktorer skulle tyda på var för sig.
Detta steg hjälper till att avgöra vilka problem som motiverar kontrollerad utnyttjande och ytterligare konsekvensbedömning.
Utnyttjande innebär kontrollerade försök att utnyttja identifierade sårbarheter inom ramen för de överenskomna reglerna för testet.
Syftet är att fastställa om en sårbarhet kan utnyttjas och vilken åtkomst den skulle kunna ge. Beroende på omfattningen kan testarna bedöma om de kan kringgå åtkomstkontroller, få ytterligare behörigheter eller nå andra system.
Ett test kan till exempel visa att ett konto med låga behörigheter kan få åtkomst till begränsad funktionalitet. Det ger organisationen bevis på svagheten och dess konsekvenser.
Målet är att påvisa konsekvenserna med hjälp av minsta möjliga insats. Att orsaka störningar eller extrahera stora mängder känsliga data är inte ett rutinmässigt krav. Eventuella tekniker som kan orsaka störningar måste övervägas noggrant och godkännas innan de används.
Testare bör dokumentera bevis och omedelbart rapportera väsentliga fynd så att organisationen kan vidta åtgärder.
Rapporten från penetrationstestet redogör för vad som testades, vad som upptäcktes och vad organisationen bör göra härnäst.
En användbar rapport bör innehålla:
Tekniska team behöver tillräckligt med detaljer för att förstå och åtgärda varje problem. Affärsintressenter behöver förstå de potentiella konsekvenserna och vilka förbättringar som bör prioriteras. NCSC:s riktlinjer betonar på liknande sätt vikten av att rapportera säkerhetsproblem, deras risker och metoder för lösning.
Rapporteringen bör leda till åtgärder. Utse ansvariga, kom överens om tidsfrister för åtgärder och ordna med nya tester för att kontrollera om åtgärderna löser de ursprungliga problemen.
Börja med de system, data och tjänster som din organisation är beroende av. Ett testprogram bör återspegla förändringar i den miljön, inklusive nya applikationer, molninstallationer, integrationer och åtkomstarrangemang.
Fråga er om omfattningen täcker kopplingarna mellan systemen såväl som enskilda komponenter. En applikation kan verka säker, medan svagheter i dess API eller behörigheter exponerar känslig information.
När AI-baserade applikationer är inblandade, diskutera deras specifika funktionalitet och risker under avgränsningen. Utgå inte från att ett konventionellt infrastruktur- eller applikationstest automatiskt utvärderar allt AI-relaterat beteende.
Testningen måste också ske parallellt med löpande sårbarhetshantering. En penetrationstest ger bevis för den överenskomna omfattningen vid en viss tidpunkt; efterföljande förändringar kan medföra nya svagheter.
Integrity360:s CREST-ackrediterade penetrationstjänster utvärderar nätverk, applikationer, molnmiljöer, identiteter och anslutna enheter. Våra specialister kombinerar automatiserade verktyg med manuella tester för att undersöka attackvägar och förklara deras potentiella påverkan på verksamheten.
Vi skräddarsyr uppdragen efter er miljö, era mål och er riskprofil och tillhandahåller tydliga resultat samt praktisk vägledning för åtgärder som hjälper era team att prioritera förbättringar.
Utforska Integrity360:s penetrationstestningstjänster och prata med vårt team om dina testbehov.
Penetrationstestning är en auktoriserad utvärdering där säkerhetsspecialister identifierar svagheter och försöker utnyttja dem på ett kontrollerat sätt. Det hjälper organisationer att förstå hur sårbarheter kan utnyttjas och vilka konsekvenser en lyckad attack kan få.
Denna guide beskriver fem steg: rekognosering, skanning, sårbarhetsbedömning, utnyttjande och rapportering. Olika metodiker grupperar dessa aktiviteter på olika sätt. Omfattningsbestämning och godkännande sker före testningen, medan åtgärdande och omtestning följer efter resultaten.
Vid sårbarhetsskanning används automatiserade verktyg för att identifiera potentiella svagheter, särskilt kända sårbarheter. Penetrationstestning innefattar dessutom specialistutredning och kontrollerad utnyttjande för att bedöma om svagheterna kan utnyttjas och vilka konsekvenser detta kan få.
Testfrekvensen bör återspegla organisationens risk, vikten av de berörda systemen samt tillämpliga avtalsmässiga eller efterlevnadskrav. Väsentliga förändringar av applikationer, infrastruktur eller åtkomstarrangemang bör också leda till en översyn av testbehovet.
Testning kan medföra operativa risker, särskilt när produktionssystem är inblandade. Tydligt definierad omfattning, överenskomna tekniker, lämpliga testfönster och god kommunikation hjälper till att hantera den risken. En ansvarsfull leverantör bör förklara potentiella konsekvenser snarare än att lova att störningar är omöjliga.
Dina team bör granska resultaten, prioritera åtgärder och tilldela ansvar för korrigeringar. Genom omtestning kontrolleras sedan om dessa ändringar har åtgärdat de identifierade svagheterna. Resultaten kan också ligga till grund för förbättringar av processerna för utveckling, konfiguration och sårbarhetshantering.
Nej. Ett penetrationstest utvärderar ett definierat omfång inom en överenskommen tidsram. Det kan inte identifiera alla möjliga svagheter eller garantera skydd mot framtida attacker. Det bör utgöra en del av ett fortlöpande säkerhetsprogram.