...
Artikler til ledelsen
Beslutningen: skal vi teste?
En sikkerhedstest begynder med et spørgsmål, som ledelsen vil have svar på. Uden det spørgsmål er det svært at vælge den rigtige test og at bruge resultatet bagefter.
→ Temaside: Beslutningen: skal vi teste?
- Skal vi have lavet en penetrationstest? Det skal ledelsen kunne svare på
- Sikkerhedstest forklaret for direktionen
- Hvorfor beslutningen om en sikkerhedstest hører hjemme i ledelsen
- Hvad risikerer vi ved ikke at teste?
- Står en penetrationstest mål med vores størrelse?
- Hvad vil vi vide? Ledelsens spørgsmål, før testen bestilles
- Penetrationstest, scanning eller gennemgang: hvilket svar har ledelsen brug for?
- Tegn på, at det er tid til en sikkerhedstest
- Bestyrelsen beder om en sikkerhedstest: sådan griber direktionen det an
- Ny direktør: hvad man bør vide om sikkerheden i de første måneder
- Når virksomheden vokser hurtigere end sikkerheden
- Ny digital forretning: hvornår skal ledelsen kræve en test?
- Vi har aldrig haft et sikkerhedsproblem: er det et argument?
- IT siger, at alt er i orden: hvornår skal ledelsen bede om dokumentation?
- Hackerangreb i nyhederne: hvad ledelsen bør spørge om dagen efter
- En samarbejdspartner er blevet ramt: skal vi selv teste?
- Sikkerhedstest som en del af virksomhedens strategi
- Hvem i ledelsen skal eje sikkerhedstesten?
- Teste nu eller vente til efter omlægningen?
- Hvem bestemmer, hvor ofte vi tester?
- Penetrationstest eller angrebssimulering: hvilket niveau passer til virksomheden?
- En medarbejder advarer om et sikkerhedsproblem: ledelsens beslutning om at få det undersøgt
Hvad får ledelsen ud af testen?
En sikkerhedstest giver et uafhængigt svar på, om beskyttelsen af det vigtigste holder, når nogen prøver at komme igennem. Svaret er kun nyttigt, hvis ledelsen ved, hvad det kan bruges til.
→ Temaside: Hvad får ledelsen ud af testen?
- Hvad får ledelsen ud af en penetrationstest?
- Hvad en sikkerhedstest kan svare på, og hvad den ikke kan
- Det første testresultat: hvad ledelsen skal være forberedt på
- Et uafhængigt blik: hvad ledelsen får, som IT ikke selv kan give
- Én test, flere modtagere: bestyrelse, kunder og forsikring
- Test før I investerer i ny sikkerhed
- Virker de sikkerhedsinvesteringer, vi allerede har gjort?
- Leverancen set fra ledelsen: hvad I bør få, når testen er færdig
- Fra teknisk fund til forretningsrisiko: den oversættelse ledelsen har brug for
- Forstyrrer testen forretningen? Det skal ledelsen tage stilling til
- Kan en test vise, om vi kan modstå et ransomwareangreb?
- Kundedata og forretningshemmeligheder: kan testen vise, hvad der er på spil?
- Kan en test sige noget om medarbejdernes sikkerhedsadfærd?
- Hvad en sikkerhedstest ikke erstatter
- Måler testen vores sikkerhedsniveau?
- Hvad får ledelsen ud af at teste igen år efter år?
- Sikkerhedstest og virksomhedens omdømme
Risiko og ansvar
Ansvaret for IT-sikkerheden ligger hos ledelsen, også når driften er lagt ud til en leverandør. En sikkerhedstest flytter ikke ansvaret, men den giver ledelsen et bedre grundlag for at bære det.
- Ledelsens ansvar for IT-sikkerhed: hvor testen passer ind
- Direktionens og bestyrelsens roller, når virksomheden tester
- NIS2 og ledelsen: kort om ansvaret, og hvor testen kommer ind
- Har vi gjort, hvad vi kunne? Testen som dokumentation for ledelsens handlinger
- Risikovillighed: hvor meget sikkerhedsrisiko vil ledelsen leve med?
- Sikkerhedsrisiko i virksomhedens risikoregister
- Kronjuvelerne: hvilke systemer og data kan virksomheden ikke undvære?
- Hvad står stille, hvis systemerne er nede?
- Ansvaret kan ikke outsources: når driften ligger hos en leverandør
- Leverandørrisiko: når virksomhedens sikkerhed ligger i andres hænder
- Persondata og sikkerhedstest: ledelsens ansvar efter GDPR
- Testens egne risici: hvad ledelsen godkender, når der testes
- Testen finder tegn på, at nogen allerede er inde: ledelsens første beslutninger
- Er ledelsen klar, hvis testen viser det værste?
- Skal ledelsens egne konti og enheder med i testen?
- Hvem har adgang til hvad? Et spørgsmål for ledelsen
- Kan testresultatet bruges imod os?
- Hvem i virksomheden skal kende resultatet?
- Sikkerhedstest og intern kontrol
- Tre forsvarslinjer: hvor sikkerhedstesten hører hjemme
- Afhængige af én IT-person: en risiko, ledelsen kan gøre noget ved
- Koncerner og datterselskaber: hvem bestiller testen, og hvem ejer resultatet?
- Direktøren er også IT-ansvarlig: hvem kontrollerer så?
Budget og prioritering
En sikkerhedstest konkurrerer med andre investeringer om de samme midler. Ledelsen skal kunne vurdere, hvad testen giver i forhold til nye løsninger, og afsætte penge til at rette det, testen finder.
→ Temaside: Budget og prioritering
- Sådan budgetterer ledelsen med sikkerhedstest
- Fast budgetpost eller enkeltstående udgift?
- Sikkerhedstest eller nye sikkerhedsløsninger: hvad skal pengene gå til først?
- Hvad skal testes først? Ledelsens prioritering ud fra forretningen
- Det billigste tilbud: spørgsmål, ledelsen bør stille før godkendelsen
- Afsæt penge til rettelserne, før testen bestilles
- Hvad testen kræver af jeres egne folk
- Er testen pengene værd? Sådan vurderer ledelsen det
- Én stor test eller flere mindre?
- Flerårig testplan: sådan fordeler ledelsen indsatsen
- Hvornår kan ledelsen sige nej til en test?
- Testen skal ligge i morgen: hvad det betyder at have travlt
- Hvem betaler? Testen mellem afdelinger og projekter
- Sikkerhedstest i projektbudgettet
- IT beder om penge til en test: sådan vurderer ledelsen ønsket
- Leverandørens tilbud på rettelser: sådan holder ledelsen styr på det
- Kundekrav eller egne behov: hvad skal testen prioritere?
- Økonomidirektøren og sikkerhedstesten
- Hvad bestemmer omfanget? Ledelsens valg, der gør opgaven større eller mindre
Spørgsmål til IT, leverandører og testere
Ledelsen behøver ikke at kende teknikken for at stille de rigtige spørgsmål. Det, der tæller, er at få svar, man kan handle på, fra dem, der driver og tester IT.
→ Temaside: Spørgsmål til IT, leverandører og testere
- Spørgsmål, direktionen bør stille IT-chefen om sikkerhedstest
- Spørgsmål til IT-leverandøren om sikkerhed og test
- Spørgsmål til testeren, før ledelsen siger ja
- Softwareleverandørens egen sikkerhedstest: hvad ledelsen bør spørge om
- IT-leverandøren tilbyder selv at teste: hvad bør ledelsen overveje?
- Når IT er imod en ekstern test
- IT-chefen ønsker en test, og ledelsen tøver
- Hvordan ved ledelsen, om svarene fra IT er gode nok?
- Hvad IT bør rapportere til ledelsen efter testen
- Sikkerhedssprog for ledere: ord, I møder i rapporten og på mødet
- Leverandøren skal rette: hvilke svar ledelsen kan kræve
- Kontrakten med IT-leverandøren: hvad siger den om sikkerhedstest?
- En tester, ledelsen kan stole på
- Uvildighed: hvorfor testeren ikke bør sælge løsningerne bagefter
- Ledelsens godkendelse af testen: hvad den bør indeholde
- Når to leverandører peger på hinanden
- Skal ledelsen deltage i møderne med testeren?
- Tilbuddet forklaret for ledere uden teknisk baggrund
- Hvad ledelsen kan forvente at høre, mens testen står på
- Spørgsmål til ledelsen selv, før testen går i gang
Rapporten i ledelsen og bestyrelsen
Rapporten fra en sikkerhedstest er skrevet til flere læsere. Ledelsen og bestyrelsen skal kunne bruge den uden at læse de tekniske afsnit og uden at miste overblikket over det, der betyder noget.
→ Temaside: Rapporten i ledelsen og bestyrelsen
- Spørgsmål, bestyrelsesmedlemmer kan stille om sikkerhedstest
- Bestyrelsesmedlem uden IT-baggrund: det skal man holde øje med
- Når resultatet er dårligt: sådan fortæller direktionen det til bestyrelsen
- Hvordan skal resultatet præsenteres for direktionen?
- Sikkerhed som punkt på direktionsmødet
- Bestyrelsens årshjul: hvor sikkerhedstesten passer ind
- Hvad bør stå i referatet, når bestyrelsen har behandlet testen?
- Rød, gul og grøn: faldgruber ved farvekoder og scorer i ledelsesrapporter
- Ledelsesresuméet: hvad ledelsen bør kræve, før testen bestilles
- Revisionsudvalget og sikkerhedstesten
- Kan vi sammenligne os med andre virksomheder?
- Kan sikkerhed måles? Det, ledelsen kan følge efter en test
- Ejere og investorer: hvad skal de vide om testen?
- Når bestyrelse og direktion er uenige om sikkerhedsniveauet
- Den rådgivende bestyrelse og sikkerhedstesten
- Skal testeren selv fremlægge for bestyrelsen?
- Bestyrelsens egen viden om IT-sikkerhed: hvor meget er nok?
- Ny i bestyrelsen: hvad man bør spørge om sikkerheden
- Bestyrelsens tilsyn med opfølgningen: hvornår er sagen lukket?
Opfølgning og styring
En sikkerhedstest gør først en forskel, når fundene bliver rettet. Opfølgningen er ledelsens opgave, også når arbejdet udføres af IT eller en leverandør.
→ Temaside: Opfølgning og styring
- Hvem i ledelsen følger op på testen?
- Hvordan ved ledelsen, at fundene faktisk bliver rettet?
- Status på rettelserne: hvad ledelsen bør få at se
- Når rettelserne går i stå
- IT har ikke kapacitet til at rette: hvad gør ledelsen?
- Nøglepersoner skifter job: hvem bærer opfølgningen videre?
- Fra engangstest til fast praksis
- Hvad bør sikkerhedspolitikken sige om test?
- Lærte vi noget? Ledelsens evaluering efter testen
- Når de samme problemer vender tilbage: et ledelsesspørgsmål
- Hvornår kan ledelsen betragte testen som afsluttet?
- Hvem har skylden for fundene? Undgå jagten på syndebukke
- Sikkerhedskultur begynder i ledelsen
- Næste bestilling: hvad ledelsen bør ændre ud fra sidste test
- Opfølgning uden en IT-chef: hvem tager over?
- Organisationsændringer: hvornår skal opfølgningen tages op igen?
- Testresultatet i risikovurderingen året efter
Kunder, forsikring og omverden
Kunder, forsikringsselskaber og samarbejdspartnere spørger til sikkerheden. Det, ledelsen svarer, bliver til løfter, som virksomheden skal kunne stå inde for.
→ Temaside: Kunder, forsikring og omverden
- Kunderne spørger til vores sikkerhed: ledelsens svar
- Løfter om sikkerhed til kunderne: ledelsens ansvar for det, der siges
- En vigtig kunde stiller sikkerhedskrav, I ikke kan opfylde endnu
- Ledelsen underskriver forsikringsskemaet: hvad skal være dokumenteret?
- Forsikring eller sikkerhedstest: erstatter det ene det andet?
- Skal forsikringen have besked om testens resultat?
- Samtalen med forsikringsmægleren om IT-sikkerhed
- Banken spørger til IT-sikkerheden
- Kunden vil selv teste jeres systemer: skal ledelsen sige ja?
- Sikkerhedsspørgeskemaet fra kunden: hvem i ledelsen står inde for svarene?
- Hvad må vi sige offentligt om vores sikkerhedstest?
- Kundernes tillid efter en sikkerhedshændelse: hvad kan en test bruges til?
- Hvis testresultatet slipper ud
- Sikkerhed i forhandlingen med samarbejdspartnere
- Skal vi certificeres? Ledelsens overvejelser om ISO 27001
- ISO-certifikatet beviser, at vi er sikre: en misforståelse
- Revisor har ikke sagt noget: så er sikkerheden vel i orden?
- Udenlandske kunder forventer anden dokumentation
- Hvad skylder vi kunderne, når det gælder sikkerhed?
- Bestyrelsesansvarsforsikringen og IT-sikkerheden: spørgsmål, bestyrelsen bør stille
- Er et cyberangreb force majeure? Det, ledelsen ikke bør regne med, og hvor testen kommer ind
Ledelsens misforståelser
Nogle antagelser om sikkerhedstest lyder fornuftige, men fører ledelsen i den forkerte retning. De kan gøre testen dyrere, svagere eller overflødig, før den er bestilt.
→ Temaside: Ledelsens misforståelser om sikkerhedstest
- Sikkerhed er ikke kun IT’s opgave
- Testen skal bestås: en misforståelse, der spænder ben
- Det er tryggere ikke at vide det
- Vi tester, når en kunde kræver det
- Ledelsen behøver kun at vide, om det er godt eller skidt
- Vi kan alligevel ikke gøre noget ved det
- Sikkerhed bremser forretningen
- Nye sikkerhedsprodukter gør testen overflødig
- Har vi testet én gang, er vi dækket
- Den dyreste test er den bedste
Ledelsesorganer og ledelsesformer
Hvem der beslutter en sikkerhedstest, afhænger af, hvordan virksomheden er ledet. En frivillig foreningsbestyrelse, en fondsbestyrelse og en partnerkreds har forskellige opgaver, regler og hensyn.
→ Temaside: Ledelsesorganer og ledelsesformer
- Bestyrelsesformanden og sikkerhedstesten: dagsorden, forberedelse og opfølgning
- Medarbejdervalgte i bestyrelsen: sikkerhedstesten, fortroligheden og kollegerne
- Frivillig bestyrelse i en forening eller selvejende institution: hvem beslutter testen, og hvem følger op?
- Fondsbestyrelsen og sikkerhedstesten: tilsyn uden ejere og fonden som ejer af virksomheder
- Kommunalt ejet selskab: sikkerhedstesten i en bestyrelse med politisk udpegede medlemmer
- Børsnoterede selskaber: sikkerhedstesten, anbefalingerne for god selskabsledelse og oplysninger til markedet
- Partnerejede firmaer: når partnerkredsen skal beslutte en sikkerhedstest
Overvejer ledelsen en sikkerhedstest?
Skriv kort, hvad ledelsen gerne vil have svar på, og hvornår svaret skal bruges. Så vender jeg tilbage.
