Hvilken sikkerhetskontroll konkurransegrunnlaget krever: CHECK, ITHC og PTaaS

CHECK, ITHC, PTaaS, CREST og Cyber Essentials er ikke fem nivåer av samme jobb, men fem ulike ting. Slik leser du hvilket av dem konkurransegrunnlaget faktisk krever, og om det gjelder deg.

Du åpner konkurransegrunnlaget, finner avsnittet om sikkerhet i kravspesifikasjonen og leser fem navn der: CHECK, ITHC, PTaaS, CREST og Cyber Essentials Plus. Ved siden av dem står ordene «sikkerhetsgjennomgang» og «penetrasjonstest», skrevet som om de var trinn i samme jobb — fra den billigste til den dyreste.

De er ikke trinn, men fem ulike ting som svarer på fem ulike spørsmål: hvem som får teste, hva som gjøres med et konkret nett, hvordan testen avregnes, om leverandøren selv har fått orden på sin infrastruktur, og om systemet oppfyller en norm. Et tilbud som blander to av dem, lover enten det som ikke kan loves, eller betaler for det som ikke var krevd.

Denne artikkelen selger ikke CHECK, og det er ærlig å si det med en gang: vi er ikke deltakere i CHECK-ordningen, og denne teksten påstår det ikke. Artikkelen forklarer hva konkurransegrunnlaget faktisk krever, slik at du kan skjønne om det i det hele tatt gjelder deg — og bare i det tilfellet der kravet viser seg å være en vanlig sikkerhetskontroll av et nettsted, peker det mot sikkerhetsgjennomgangen vår.

Prisen her skiller seg ikke med prosent, men flere ganger, fordi et tilbud som svarer på et Cyber Essentials-krav, og et tilbud som svarer på en full penetrasjonstest av et system med mange roller, er to ulike budsjetter, og en oppdragsgiver som legger dem i samme tabell, sammenligner det usammenlignbare. Likeledes taper tilbyderen som leser kravet ett trinn høyere enn det er skrevet, anskaffelsen med et helt korrekt, bare unødvendig dyrt tilbud.

Fem navn som ikke er fem nivåer av samme jobb

• CHECK — Storbritannias nasjonale cybersikkerhetssenters (NCSC) ordning for virksomheter. Den fastsetter hvem som får teste systemer i offentlig sektor og kritisk infrastruktur, og i hvilken form rapporten skal skrives.
• ITHC — et konkret kontrolloppdrag med et konkret omfang, krevd for tilknytning til Storbritannias forvaltningsnett. Det er et oppdrag, ikke en ordning.
• CREST — en internasjonal bransjeforening med medlemsstatus og eksamener. Den er ikke et synonym for CHECK, og denne sammenblandingen er den vanligste i tilbudene.
• PTaaS — penetration testing as a service, altså en leveranse- og avregningsmodell: plattform, abonnement, hyppigere funn. Den sier ingenting om hvem som tester og etter hvilken norm.
• Cyber Essentials og Cyber Essentials Plus — en sertifisering av leverandørens egne fem grunnkontroller, ikke av systemet som leveres.

Alle fem er britiske eller internasjonale instrumenter, og ingen av dem finnes i norsk regelverk, og det er det første du må ha med deg når du leser et norsk konkurransegrunnlag der ett av dem er skrevet inn.

CHECK er en ordning for virksomheter, ikke en testmetode

CHECK er en ordning NCSC forvalter, der en virksomhet tas opp, ikke en metode hvem som helst kan anvende. NCSCs råd til kjøpere forutsetter at arbeidet utføres av en deltaker i ordningen, at teamet ledes av en CHECK Team Leader og at det arbeider en CHECK Team Member der, at disse personene har britisk personellsikkerhetsklarering, og at rapporten skrives i ordningens format; under et gitt graderingsnivå går en kopi til NCSC. Det betyr at CHECK ikke er noe du kan «oppfylle» med en test av tilstrekkelig kvalitet, fordi virksomheten enten er i ordningen eller ikke, og ingen metodebeskrivelse i tilbudet erstatter det. CHECK er heller ikke lov: NCSC skriver det som retningslinjer for ordningen, og for forvaltningsnettet er det én av flere anerkjente veier, ikke et krav i en paragraf.

Viktigere enn innholdet i ordningen er hvem CHECK er laget for, og NCSC skriver det uten omsvøp: ordningen er bygget for sentralforvaltningen, offentlige virksomheter og kritisk infrastruktur. For sentralforvaltningens systemer som behandler data med en gitt merking og høyere, anbefaler NCSC at vurderingen overlates til en deltaker i ordningen, for øvrige offentlige virksomheter anbefales det sterkt, men for en organisasjon som verken er offentlig sektor eller kritisk infrastruktur, peker NCSC selv mot de vanlige rådene for bestilling, ikke mot CHECK. For et privat selskap som lager tilbud til en kommersiell oppdragsgiver er CHECK ikke et mål å strekke seg etter. Det er en annen stats interne orden i offentlig sektor, og at navnet dukker opp i et kommersielt tilbud tyder oftere på at det er skrevet av, enn at arbeidet blir bedre.

ITHC er et oppdrag for et konkret nett

ITHC — IT Health Check — er det en britisk virksomhet trenger for å knytte seg til, eller bli værende på, forvaltningsnettet. Støttedokumentet fra Cabinet Office fra 2022, som tilknytningsprosessen fortsatt viser til, beskriver minsteomfanget: kontroll både utenfra og innenfra, den indre delen med skanning og manuell analyse i hele miljøet, mens store miljøer kan nøye seg med stikkprøver, og da skal utvalget ikke være mindre enn en tiendedel. Tilknytningsprosessen krever at rapporten ikke er eldre enn ett år og ikke allerede er brukt i en tidligere søknad. Norsk har ikke et eget ord for dette — en bokstavelig helse-metafor forklarer ingenting — så behold ITHC og forklar én gang at det gjelder sikkerhetskontroll av tilknytningen til et konkret nett.

Selve omfanget er beskrevet langt mer detaljert enn det som vanligvis havner i et tilbud, fordi den ytre delen kontrollerer tjenester som nås fra internett (e-post, nettsteder, brannmurer), fjernaksess og tilknytninger fra tredjeparter. I den indre delen er det, ved siden av skanning, krevd manuell analyse, samt konfigurasjon av arbeidsstasjoner og servere, status på sikkerhetsoppdateringer, trådløse nett og tilknytningsporten. I store miljøer er stikkprøver tillatt, og der dukker den tiendedelen opp som gjerne forsvinner i tilbudene. Resultatet har også krav: antall, type og alvor av funn i et forståelig sammendrag, så langt det er mulig med CVSS-grunnverdi. Disse tallene er ITHC-kravene fra Cabinet Office til et konkret nett — det er verken en CHECK-norm eller en norsk norm, og det er ikke riktig å overføre dem til en norsk anskaffelse som et allment kvalitetsmål.

Tre navn som oftest forveksles med CHECK

De tre øvrige navnene dukker opp i konkurransegrunnlag ved siden av CHECK som om de var varianter av det, og hvert av dem svarer faktisk på et annet spørsmål: ett om hvem som eksaminerte personen, ett om hvordan arbeidet leveres og betales, og ett om leverandøren selv har fått orden på sin infrastruktur. Nettopp disse tre skaper det meste av de feilskrevne tilbudene.

CREST er ikke CHECK

Dette er den vanligste feilen og samtidig den mest nyttige forskjellen denne artikkelen kan si, fordi den endrer innholdet i tilbudet: CREST er en forening med medlemsstatus og eksamener, mens CHECK er NCSCs ordning med egen deltakelse og egne roller. CREST beskriver det selv som en egen vei — sertifikatet deres kan være én måte en person viser kompetanse på, men det følger ikke automatisk at virksomheten er CHECK-deltaker. Den praktiske følgen når tilbud sammenlignes er enkel: krever konkurransegrunnlaget CHECK, oppfyller ikke et CREST-sertifikat kravet, og omvendt — krever det CREST, er CHECK-deltakelse mer enn det som ble krevd, og det er da trolig betalt for mye.

PTaaS er en avregningsmodell, ikke en ordning

PTaaS beskriver hvordan tjenesten leveres og betales: en plattform med dashbord, abonnement, funn som dukker opp fortløpende, og ny kontroll etter rettinger. Bransjens beskrivelser formulerer det som en leveransemodell, og der finnes verken et kvalifikasjonskrav eller en myndighet som godkjenner den. Derfor er svaret på spørsmålet «oppfyller PTaaS et CHECK- eller ITHC-krav» ikke «ja» eller «nei» — det er et spørsmål om to ulike ting. En avregningsmodell kan ikke oppfylle et krav om hvem som får teste og etter hvilken metodikk, så hvis begge står i konkurransegrunnlaget, må de leses hver for seg: den ene sier kompetansekravet, den andre hvordan arbeidet er lagt opp i tid.

Cyber Essentials kontrollerer leverandøren, ikke det som leveres

Cyber Essentials er en sertifisering av fem grunnkontroller i leverandørens egen infrastruktur, og Plus-varianten legger til en kontroll med standardverktøy. Sertifikatet fornyes årlig, og anskaffelsesveiledningen PPN 014 knytter den til sikkerhet i leverandørkjeden. Derav grensen som ofte overskrides i tilbud: Cyber Essentials Plus er ikke den penetrasjonstesten konkurransegrunnlaget krevde av systemet som skal utvikles. Det er et bevis for leverandørens egne maskiner og kontoer, så en virksomhet kan være sertifisert etter Cyber Essentials Plus og levere et system som aldri er testet.

Tre påstander du ikke skal stole på

Rundt disse navnene har det lagt seg et lag av påstander som skrives av fra én tjenestebeskrivelse til den neste, og de tre vanligste er enten usanne eller utdaterte, så de er verd å lese ved siden av det kilden faktisk sier.

«CHECK kreves av britisk lov.» Ingen lov navngir CHECK, og NCSC bruker i sine råd ordene «bør» og «anbefaler sterkt», og også håndboken for britiske digitale tjenester tillater et tilsvarende nivå. Det eneste stedet kravet er strengt, er vilkårene for tilknytning til et konkret nett, og også der er ordningen én av flere anerkjente veier.

«For å bli CHECK-deltaker må virksomheten først være CREST-akkreditert.» Det var sant for en eldre opptaksvei og gjentas fortsatt i tekster fra tjenesteleverandører, men i den nyeste standarden for ordningen kreves det noe annet på virksomhetsnivå. Delvis sant blir det likevel for personene, fordi en CREST-eksamen kan være ett av kompetansebevisene under det aktuelle faglige navnet. Nettopp denne forskjellen mellom virksomhetsnivå og personnivå er den annonsene tier om.

«Uten CHECK får man ikke teste britiske statlige systemer.» Den rettslige grensen trekkes ikke av ordningen, men av tillatelsen: uberettiget tilgang til et datasystem er et straffbart forhold uavhengig av om testeren er i ordningen. CHECK er oppdragsgiverens politikk for hvem arbeidet skal overlates til, ikke en erstatning for tillatelse, og disse to spørsmålene er verd å holde fra hverandre. Den praktiske betydningen er at skriftlig tillatelse trengs alltid, også når verken en ordning eller et regelverk krever den uttrykkelig.

Hva et norsk konkurransegrunnlag faktisk krever

I Norge er det først verd å avklare hvor et slikt krav i det hele tatt kommer fra, fordi svaret ikke ligger der det vanligvis letes: anskaffelsesloven fastsetter framgangsmåte, likebehandling, forutberegnelighet og at oppdragsgiveren skal opptre tillitvekkende, og § 5d åpner for krav og kriterier om sikkerhet og beredskap, men loven navngir ikke verken penetrasjonstesting, CHECK, ITHC eller PTaaS. Heller ikke anskaffelsesforskriften, som beskriver konkurransegrunnlag og kravspesifikasjoner, fastsetter en bestemt type sikkerhetskontroll. Det betyr at sikkerhetskravet står i konkurransegrunnlaget fordi oppdragsgiveren selv har skrevet det — vanligvis fordi oppdragsgiveren har en plikt som kommer fra et annet sted. Derfor er det riktige spørsmålet ikke «hva krever anskaffelsesloven», men «hvilken plikt har oppdragsgiveren selv, og blir den med denne kontrakten lagt på meg».

I Norge skapes denne plikten, når den finnes, av digitalsikkerhetsloven sammen med sikkerhetsloven, og det er sikkerhetsloven § 6-5 som navngir testen: virksomheten kan be Nasjonal sikkerhetsmyndighet om å forsøke å trenge inn i skjermingsverdige informasjonssystemer, som et tilbud, ikke som et pålegg om å kjøpe en kommersiell test, og bare for systemer som behandler skjermingsverdig informasjon eller har avgjørende betydning for grunnleggende nasjonale funksjoner. Digitalsikkerhetsloven pålegger tilbydere av samfunnsviktige og digitale tjenester risikovurdering, tiltak og varsling, uten å navngi penetrasjonstesting, og mer om selve arbeidet står i en egen artikkel om hva penetrasjonstesting er.

Norge har ingen CHECK å melde seg inn i

Dette er forskjellen som forklarer det meste av forvirringen rundt CHECK, og den står i selve regelen: sikkerhetsloven § 6-5 går via myndigheten, ikke via en selskapsordning du kan søke deg inn i. Den første veien er NSM selv, den andre at NSM etter virksomhetsikkerhetsforskriften § 62 kan la andre virksomheter utføre slike tester; da skal virksomhetene være leverandørklarert og ha personell med nødvendig klarering og kompetanse. Det er både virksomhet og personell, og det er NSM som åpner for tredjepart, ikke et åpent register over akkrediterte firmaer for penetrasjonstesting.

Den andre veien deler likevel etter hva oppdragsgiveren er. For et vanlig bedriftsnettsted utenfor sikkerhetslovens virkeområde er det ingen lovfestet liste over hvem som får teste. Står systemet under sikkerhetsloven, kommer leverandørklarering og personellsikkerhetsklarering i tillegg, og først da kan en tredjepart NSM har sluppet til, utføre inntrengingstestingen. Der finnes verken en selskapsordning av CHECK-typen, et medlemsregister eller en liste over akkrediterte firmaer du kan slutte deg til. Norge har ingen CHECK å melde seg inn i, og sertifikater som CEH og OSCP som dukker opp i konkurransegrunnlag, er oppdragsgiverens eksempler, ikke en lukket lovliste. For en virksomhet som lager tilbud til et norsk konkurransegrunnlag betyr det at det som skal bevises, er de navngitte personenes kompetanse — og, der loven krever det, virksomhetens leverandørklarering — ikke CHECK-status.

Hva du bør legge i tilbudet

Av at Norge ikke har en CHECK å melde seg inn i, følger også hva tilbudet må bevise, og en generell virksomhetsbeskrivelse hjelper ikke her; det som hjelper, er den navngitte personens sertifikat eller erfaringsbeskrivelse, og der sikkerhetsloven treffer, dokumentasjon på leverandørklarering og klarering. Er det flere testere i teamet, er det verd å si hvem av dem som oppfyller hvilket vilkår, fordi oppdragsgiveren skal kunne kontrollere det uten å lese mellom linjene.

Likeledes er det verd å ikke misforstå en eksempelliste som et lukket krav, fordi sertifikater som navngis i konkurransegrunnlaget oftest er eksempler, og det betyr at et annet internasjonalt anerkjent sertifikat for penetrasjonstesting oppfyller kravet like godt når dokumentet sier «eller tilsvarende». Et tilbud som forklarer det i ett avsnitt, letter vurderingen mer for oppdragsgiveren enn en bunke sertifikatkopier uten forklaring.

Etterlevelsesrevisjon er heller ikke penetrasjonstesting i Norge

Ved siden av penetrasjonstesting står etterlevelsesrevisjon, og det er to ulike jobber med to ulike målestokker: penetrasjonstesting leter etter hvor langt en angriper kommer, etterlevelsesrevisjon kontrollerer om systemet og prosessene oppfyller en norm, og resultatet er en dom om etterlevelse, ikke en liste over tekniske svakheter.

Det viser de ulike kvalifikasjonskravene klarest, fordi de i praksis skrives forskjellig: den som skal utføre en penetrasjonstest, blir gjerne bedt om angrepstekniske sertifikater som CEH og OSCP; til etterlevelsesrevisjon navngis helt andre — styrings- og revisjonssertifikater. Står det ett sett sertifikater i konkurransegrunnlaget, men beskrevet innholdet i den andre jobben, er det en motsetning som er verd å oppdage før tilbudet, fordi den vanligvis betyr at oppdragsgiveren selv ennå ikke har avklart hva som kjøpes.

Andre land har sine egne verktøy

Norge har ingen CHECK, men flere europeiske land har egne svar på det samme spørsmålet, og leser du et konkurransegrunnlag på et annet språk, ville det være like mistenkelig å finne CHECK der som i et norsk. I Frankrike kvalifiserer det nasjonale byrået for informasjonssystemsikkerhet leverandører av sikkerhetsrevisjon, og denne kvalifikasjonen dekker fem revisjonsaktiviteter, der penetrasjonstester er én egen aktivitet ved siden av arkitektur-, konfigurasjons-, kildekode- og organisatorisk revisjon. Et fransk konkurransegrunnlag navngir derfor gjerne en konkret aktivitet, ikke hele kvalifikasjonen under ett, og tilbyderen må lese hvilken av de fem som er krevd.

I Spania krever den nasjonale sikkerhetsordningen (ENS) sikkerhetsrevisjon minst hvert annet år for systemer i høyere kategori, og de metodiske rådene skiller der særskilt den tekniske revisjonen, der teamet faktisk arbeider med systemet, fra etterlevelsesrevisjonen, som bygger på intervjuer og evidens. Etterlevelsesrevisjonen kan kreve framlagt en tidligere rapport fra en penetrasjonstest, men blir ikke selv en. I begge tilfeller er konklusjonen den samme som i Norge: navnet tilhører et konkret land, og flyttet til et annet marked betyr det ikke lenger noe.

Hvis konkurransegrunnlaget likevel har «CHECK» i seg

Dukker CHECK, ITHC eller Cyber Essentials opp i et norsk konkurransegrunnlag, er det to troverdige forklaringer, og dem er det verd å skille før tilbudet skrives. Den første er at oppdragsgiveren faktisk er en britisk kjøper eller arbeider med et britisk system, og da er kravet ekte, gjelder en deltaker i ordningen og er for de fleste norske utførere ganske enkelt ikke mulig å innfri. Den andre — og i praksis den vanligste — er at spesifikasjonen er hentet fra en engelsk mal, og at forfatteren ikke har merket at hen har kopiert et annet lands instrument.

Du skiller dem på resten av dokumentet: står det ved siden av henvisninger til sikkerhetsloven eller digitalsikkerhetsloven, dreier det seg om en norsk plikt, og CHECK har kommet dit ved en feil. Dette er verd å stille som spørsmål til oppdragsgiveren i konkurransens spørsmålsrunde, ikke å gjette i tilbudet, fordi svaret endrer både prisen og om du i det hele tatt kan delta.

Hva ordet «tilsvarende» betyr

I mange konkurransegrunnlag står forbeholdet «eller tilsvarende» ved siden av ordningens navn, og det er det viktigste avsnittet i hele sikkerhetsdelen, fordi det avgjør om du kan delta. Problemet er at selve ordet «tilsvarende» sjelden er definert i dokumentene, og derfor betyr det ulike ting avhengig av hvem som leser det.

Praktisk betyr det at bevisbyrden går over på tilbyderen: du må vise på hvilken måte det som tilbys, er tilsvarende. Derfor er svaret ikke et sertifikatnavn, men en sammenligning trekk for trekk — hvem som tester og med hvilken kompetanse, om sårbarhetene som finnes utnyttes, hva omfanget er, hvilken rapportform som brukes, og om det skjer ny kontroll etter rettinger. Stemmer trekkene, kan likeverdigheten beskrives; skiller minst ett vesentlig trekk seg, er det ærligere å si det enn å håpe at ingen sammenligner. At forbeholdet «eller tilsvarende» mangler, er et like klart signal den andre veien, fordi et konkurransegrunnlag som krever én konkret utenlandsk ordning uten alternativ, snevrer tilbyderkretsen inn til noen få virksomheter, og det er et spørsmål som er verd å stille oppdragsgiveren før det tas for gitt at det ikke går an å delta.

Hvor lenge rapporten gjelder

Fristene i konkurransegrunnlag dukker opp på tre måter, som kommer fra helt ulike steder og derfor ikke kan erstatte hverandre: ved tilknytning til det britiske forvaltningsnettet kan rapporten ikke være eldre enn ett år og kan ikke brukes om igjen i neste tilknytningssøknad. I Norge knytter sikkerhetsloven inntrengingstesting til skjermingsverdige informasjonssystemer uten å sette en kalenderfrist, og digitalsikkerhetsloven navngir ikke penetrasjonstesting i det hele tatt, mens i en kommersiell avtale er fristen ganske enkelt den partene har skrevet, og det betyr at den kan avtales.

I alle tre tilfellene holder det ikke med kalenderfristen alene, fordi en rapport fra en penetrasjonstest beskriver et konkret system på en konkret dato, så etter en vesentlig endring, som en ny integrasjon, en ny rollemodell eller en ombygging av betalingsflyten, eldes rapporten raskere enn tiden gjør. Nettopp derfor navngir både regelverksfrister og bransjestandarder vanligvis også endringen ved siden av intervallet.

Praktisk betyr det to ting som er verd å skrive hver for seg i tilbudet. For det første er det verd å si klart hvilken systemversjon eller hvilken utgave rapporten gjelder, fordi det senere avgjør en tvist om et funn er nytt. For det andre er det verd å avtale særskilt en ny kontroll etter rettinger, fordi et funn som er rettet, og et funn noen tror er rettet, skiller seg fra hverandre.

Slik leser du kravet før du lager tilbudet

I praksis holder det med fire spørsmål, stilt i fast rekkefølge, fordi hvert neste bare gir mening når det forrige er besvart. Det første er hvilket system som kontrolleres — det som leveres, eller leverandørens eget, og dette ene spørsmålet skiller Cyber Essentials fra alt det øvrige, så det er der du starter. Det andre er om kravet navngir utførerens status eller en konkret persons kompetanse: status peker nesten alltid mot en utenlandsk ordning, kompetanse mot det anskaffelsesforskriften lar oppdragsgiveren kreve, og det er grensen mellom et krav en norsk virksomhet kan innfri og et den ikke kan. Det tredje er om sårbarhetene som finnes skal utnyttes, fordi skal de det, dreier det seg om penetrasjonstesting, mens holder det med en funnliste, er det sårbarhetskartlegging, som koster helt andre penger. Det fjerde er hvilken norm oppdragsgiveren viser til, og vises det ikke til noen, er kravet oppdragsgiverens eget valg, og omfanget kan snakkes om.

Hvordan det ser ut i praksis, synes best på en typisk formulering i konkurransegrunnlaget: «Tilbyderen skal sørge for sikkerhetsgjennomgang av systemet i samsvar med CHECK eller tilsvarende metodikk.» Det første spørsmålet svarer med en gang — det som kontrolleres er systemet som leveres, altså faller Cyber Essentials bort. Det andre viser at utførerens status er navngitt, og det er en utenlandsk ordning; det tredje blir ubesvart, fordi ordet «gjennomgang» ikke sier om sårbarhetene vil bli utnyttet. Det fjerde er avgjørende: står det ingen henvisning til noen norm, er kravet oppdragsgiverens valg, «eller tilsvarende» er en åpen dør, og spørsmålet som skal stilles, er bare ett — om sårbarhetene som finnes skal utnyttes. Finnes ikke svarene i konkurransegrunnlaget, er de verd å be om skriftlig: et dokument som navngir en ordning, men ikke omfanget, gir usammenlignbare tilbud, og det er oppdragsgiverens tap, ikke tilbyderens.

Når det viser seg å være en vanlig sikkerhetsgjennomgang av nettstedet

I en del tilfeller, særlig i mindre anskaffelser, ligger det bak alle disse navnene et langt enklere behov: oppdragsgiveren vil vite om nettstedet eller applikasjonen er trygt før det tas i bruk. Der er det verken skjermingsverdig system, forvaltningsnett eller krav til leverandørkjeden — det er bare et ønske om ikke å slippe noe i drift som blir hacket den første måneden.

Denne grensen er verd å kjenne igjen ærlig også fra utførerens side, ikke bare fra oppdragsgiverens. Krever konkurransegrunnlaget faktisk deltakelse i en utenlandsk ordning, er det riktige svaret å la være å delta, eller å delta i partnerskap med den som har deltakelsen — ikke å beskrive metodikken sin slik at den ligner. Evalueringskomiteen merker det, og omdømmeprisen er større enn én tapt anskaffelse.

Nettopp i dette tilfellet hører sikkerhetsgjennomgangen vår hjemme, der det også er rom for manuell kontroll med skriftlig tillatelse. Det er ikke CHECK, ikke ITHC og utgis ikke for å være det; det er den jobben som svarer på spørsmålet som faktisk ble stilt. Ligger konkurransegrunnlaget på bordet og det er uklart hvilken av disse kategoriene det faller i, send oss sikkerhetsavsnittet i spesifikasjonen, så sier vi hvilket instrument som er navngitt der — også når svaret er at det ikke er en jobb for oss.