Et spørgsmål om IT-sikkerhed fra banken kan komme overraskende i en samtale, der ellers handler om kredit, regnskab og budgetter. Ledelsen kan ikke vide på forhånd, hvad banken vil bruge svaret til, og hvad den lægger vægt på. Svaret på, hvordan ledelsen skal tackle spørgsmålet, hviler derfor på to forhold: at I får afklaret, hvad banken faktisk spørger om, og at I svarer med det samme dokumenterede billede, som I giver kunder, forsikring og bestyrelse. Hvad den enkelte bank kræver, og hvordan den bruger svarene, er bankens sag og kan kun afklares med banken.
Afklar spørgsmålet, før I svarer
Et spørgsmål om IT-sikkerhed kan dække over meget forskelligt. Det kan være en generel interesse for, hvordan virksomheden styrer sine risici. Det kan handle om et bestemt projekt, som banken skal finansiere, for eksempel en ny webshop eller en ny produktionslinje med styring over nettet. Eller det kan være et fast punkt i bankens egen vurdering af sine kunder.
Spørg derfor tilbage, før I svarer:
- Hvad vil banken vide · er det et overblik, en bestemt type dokumentation eller svar på konkrete spørgsmål?
- Hvorfor spørger den · hænger spørgsmålet sammen med en bestemt bevilling eller et projekt?
- I hvilken form · ønskes et mundtligt svar, en kort beskrivelse eller et udfyldt skema?
- Hvem ser svaret · bliver det i kundeteamet, eller går det videre i banken?
Svarene gør det lettere at give et præcist svar og at undgå at sende mere, end der er brug for. → Én test, flere modtagere
Et billede, der hænger sammen
Banken er ikke den eneste, der spørger. Kunder sender sikkerhedsspørgeskemaer, forsikringsselskabet har sit skema, og bestyrelsen vil vide, hvordan det står til. Ledelsen bør sikre, at svarene til de forskellige modtagere bygger på det samme grundlag. Hvis banken får at vide, at alle systemer er testet, mens forsikringen har fået at vide, at kun webshoppen er det, er der et problem, uanset hvilket af svarene der er rigtigt.
Det praktiske svar er at have ét samlet overblik, som alle svar tager udgangspunkt i: hvad der er testet, hvornår, hvad der blev fundet, og hvor langt rettelserne er. Overblikket bør ejes af én person i ledelsen. → Hvem i ledelsen skal eje sikkerhedstesten?
Hvad ledelsen kan fortælle
Et svar til banken behøver ikke tekniske detaljer for at være brugbart. Det skal vise, at virksomheden kender sine risici og har styr på dem. Et godt svar kan bestå af få punkter:
- Hvilke systemer forretningen afhænger af · og hvad det vil betyde, hvis de står stille.
- Hvordan sikkerheden styres · hvem i ledelsen har ansvaret, og hvordan følges der op.
- Hvad der er afprøvet · seneste sikkerhedstest med dato og omfang.
- Hvad der er gjort ved fundene · status på rettelserne, uden detaljer om svaghederne.
- Hvad der er planlagt · næste test eller større tiltag, hvis det er besluttet.
Det kan være fristende at give et mere positivt billede, end der er dækning for, når en bevilling står på spil. Men et svar, der senere viser sig ikke at holde, kan skade tilliden mere end et ærligt svar om, at et område endnu ikke er gennemgået. → Løfter om sikkerhed til kunderne
Hvem svarer, og hvem godkender
Bankforbindelsen kan ligge hos direktøren eller økonomichefen, mens viden om systemerne ligger hos IT eller driftsleverandøren. Svaret til banken bør derfor laves i fællesskab: IT leverer fakta om, hvad der er testet og rettet, og den, der har bankforbindelsen, formulerer svaret, så det passer til modtageren. Den, der i ledelsen ejer overblikket over sikkerheden, læser svaret igennem, før det sendes.
Det kan lyde omstændeligt for et spørgsmål, der måske blev stillet i en bisætning. Men et svar til en långiver er et udsagn fra virksomhedens ledelse, og det kan blive læst igen, hvis der senere sker noget. → Spørgsmål til IT-chefen
Hvis banken beder om rapporten eller spørger til et projekt
En pentestrapport indeholder oplysninger om svagheder, som ikke bør ligge flere steder end nødvendigt. Hvis banken beder om dokumentation, så spørg, om en kort beskrivelse af testens omfang, tidspunkt og opfølgning kan dække behovet. Hvis banken alligevel ønsker mere, bør ledelsen beslutte, hvad der deles, hvordan det sendes, og hvem hos banken der modtager det. → Hvis testresultatet slipper ud
Hænger bankens spørgsmål sammen med et bestemt projekt, er det en god anledning til at overveje, om projektet bør testes, før det går i drift. En ny webshop, en kundeportal eller en ny produktionslinje med fjernstyring ændrer virksomhedens risiko. At kunne fortælle banken, at sikkerheden er en del af projektplanen og budgettet, kan være et bedre svar end at henvise til en test af systemer, der ikke har med projektet at gøre. → Sikkerhedstest i projektbudgettet
Et tænkt eksempel
En vognmandsforretning skal finansiere en udvidelse med nye lastbiler og et nyt system til planlægning af ruter, som chaufførerne bruger via en app. Kunderådgiveren i banken spørger i den forbindelse, hvordan virksomheden passer på sine IT-systemer.
Direktøren spørger tilbage og får at vide, at banken vil forstå, hvordan virksomheden har styr på risikoen ved det nye system. Økonomichefen samler et kort svar på en side: hvem der har ansvaret, hvornår kontornettet sidst blev testet, at fundene er rettet, og at det nye planlægningssystem er sat til at blive testet, før det tages i brug. Svaret bygger på det samme overblik, som forsikringen fik ved sidste fornyelse.
Det skal I lade være med
- At svare, før I ved, hvad der spørges om · spørg tilbage først.
- At give banken et andet billede end forsikringen og kunderne · brug samme grundlag.
- At sende hele pentestrapporten uden overvejelse · en kort beskrivelse kan være nok.
- At pynte på svaret, fordi en bevilling er på spil · det skal kunne stå for en prøvelse.
- At lade svaret afhænge af, hvem der tilfældigvis bliver spurgt · én person i ledelsen ejer overblikket.
Hvad kan og ikke kan konkluderes
Et afklaret spørgsmål og et dokumenteret, ensartet svar gør det lettere for ledelsen at stå inde for det, der bliver sagt til banken. Det kan ikke konkluderes, hvad den enkelte bank lægger vægt på, eller hvordan svaret indgår i dens vurdering. Det kan kun banken svare på.
Tjekliste, når banken spørger
- ☐ Er det afklaret, hvad banken spørger om, og hvorfor?
- ☐ Bygger svaret på det samme overblik som svar til forsikring og kunder?
- ☐ Er det besluttet, hvad der deles, og hvem der modtager det?
- ☐ Er status på rettelserne med, uden detaljer om svaghederne?
- ☐ Er sikkerheden en del af planen for det projekt, banken skal finansiere?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Ejere og investorer · Økonomidirektøren og sikkerhedstesten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
