Skal vi teste sikkerheden, og hvad får vi ud af det?

En sikkerhedstest er en ledelsesbeslutning, før den bliver en IT-opgave. Den koster tid og penge, den rører ved systemer, som forretningen ikke kan undvære, og den giver viden, som ledelsen bagefter skal handle på. sikkerhedstesten.dk er skrevet til direktører, ejere og bestyrelsesmedlemmer, der skal tage stilling uden selv at kende teknikken.

Det korte svar: test, når der er et spørgsmål om sikkerheden, som kun en afprøvning kan besvare, og når virksomheden er parat til at gøre noget ved det, testen finder. Udbyttet er et uafhængigt svar på, om beskyttelsen af det vigtigste holder, når nogen faktisk prøver at komme igennem. Det svar kan ledelsen bruge til at prioritere, til at stå inde for sine løfter over for kunder og forsikring og til at føre tilsyn.

Beslutningen begynder med et spørgsmål

En test uden formål giver en rapport uden modtager. Begynd derfor med det, ledelsen vil vide: om en ny løsning er klar til kunderne, om de seneste investeringer i sikkerhed har virket, eller hvor udsat virksomheden er set udefra. Tag også stilling til, hvad det betyder at vente. Et nej er en gyldig beslutning, når det er begrundet og har en dato for, hvornår spørgsmålet tages op igen.

→ Skal vi have lavet en penetrationstest? · Hvad risikerer vi ved ikke at teste? · Tegn på, at det er tid til en sikkerhedstest

Det får ledelsen ud af testen

Ledelsen får ikke et stempel, men et billede af, hvor virksomheden kan rammes, og hvad det vil betyde for driften, kunderne og økonomien. Værdien opstår i oversættelsen fra tekniske fund til forretningsrisiko: hvad kan stå stille, hvilke oplysninger kan komme i forkerte hænder, og hvad skal rettes først. En test viser samtidig, hvad den ikke har set, og det er lige så vigtigt for de beslutninger, der følger.

→ Hvad får ledelsen ud af en penetrationstest? · Hvad en sikkerhedstest kan svare på · Fra teknisk fund til forretningsrisiko

Risikoen og ansvaret bliver i ledelsen

IT-afdelingen eller driftsleverandøren kan udføre arbejdet, men ledelsen bestemmer, hvor meget risiko virksomheden vil leve med. Det kræver, at ledelsen kender sine kronjuveler: de systemer og data, uden hvilke forretningen går i stå. Ligger driften hos en leverandør, følger ansvaret ikke med i kontrakten. Testen er en af de måder, ledelsen kan se, om beskyttelsen svarer til det, der står på spil. Teksterne her er ikke juridisk rådgivning.

→ Ledelsens ansvar for IT-sikkerhed · Kronjuvelerne · Ansvaret kan ikke outsources

Budget og de rigtige spørgsmål

En test hører hjemme i budgettet sammen med de rettelser, den med stor sandsynlighed fører til. Afsæt plads til begge dele, før der bestilles, så rapporten ikke bliver liggende. Ledelsen behøver ikke at forstå metoden for at stille gode spørgsmål til IT-chefen, IT-leverandøren og testeren: hvad bliver testet, hvad bliver ikke, hvem er uafhængig af det, der testes, og hvad får ledelsen at se bagefter.

→ Sådan budgetterer ledelsen med sikkerhedstest · Afsæt penge til rettelserne · Spørgsmål til IT-chefen

Bestyrelsen, opfølgningen og omverdenen

Resultatet skal kunne behandles på et bestyrelsesmøde, også af medlemmer uden IT-baggrund. Bagefter er det opfølgningen, der afgør, om testen var pengene værd: en navngiven ejer, en status, ledelsen kan læse, og en plan for det, der ikke bliver rettet. Når kunder, forsikringsselskab eller bank spørger til sikkerheden, er det ledelsen, der står inde for svaret, og det svar er stærkere, når det hviler på en afprøvning.

→ Spørgsmål, bestyrelsen kan stille · Bliver fundene faktisk rettet? · Kunderne spørger til vores sikkerhed

Nielco IT står bag

sikkerhedstesten.dk er en del af Nielco IT, som er John Nielsen. Én konsulent, selvstændig siden 2009, med mere end 30 års erfaring i IT-sikkerhed fra blandt andet finanssektoren, offentlige myndigheder og kritisk infrastruktur. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber, så en anbefaling er ikke knyttet til et salg. Fortrolighedsaftale (NDA) underskrives på forespørgsel.

Vil I vide mere om, hvordan en test er bygget op, og hvordan rapporten læses, står det i opslagsværket penetrationtest.dk.

→ Alle artikler · Spørgsmål og svar · Om sitet

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT