Når en bestyrelse har læst en testrapport, er det naturligt at spørge, om resultatet er godt eller skidt i forhold til andre i branchen. En sikkerhedstest kan ikke svare på det, fordi den er bygget til at undersøge jeres egne systemer under jeres egne betingelser og ikke til at placere jer på en fælles skala. Det, ledelsen kan sammenligne med, er derfor noget andet: jeres eget mål, jeres egne tidligere resultater og de krav, I faktisk skal leve op til.
Hvorfor ønsket opstår
Ledelser er vant til nøgletal, der kan holdes op mod branchen: indtjening, kundetilfredshed, sygefravær. Sikkerhed bliver en undtagelse, og det kan føles utrygt. Hvis konkurrenten har det samme problem, virker et fund mindre alvorligt. Hvis konkurrenten er langt foran, virker det mere presserende.
Behovet er legitimt. Bestyrelsen vil vide, om indsatsen står mål med risikoen, og om virksomheden er sakket bagud. Spørgsmålet er bare, om et benchmark kan give det svar, eller om det giver en falsk tryghed.
Hvorfor testrapporten ikke kan bruges som målestok
To testrapporter fra to virksomheder ligner hinanden i opbygning, men næsten intet andet er fælles. Hver opgave har sin egen afgrænsning, sine egne systemer, sin egen varighed og sin egen tester. Det samme gælder alvorlighedsgraderne: de er sat for at prioritere rettelser i netop jeres miljø, ikke for at kunne lægges sammen på tværs af virksomheder.
- Afgrænsningen er forskellig · en virksomhed har fået testet sin webshop, en anden hele kontornettet.
- Dybden er forskellig · en kort test kan finde andet end en grundig test af de samme systemer.
- Antallet af fund siger lidt · få fund kan skyldes en snæver opgave, og mange fund kan være mindre forhold.
- Rapporten er fortrolig · I får ikke nødvendigvis lov at se andres resultater, og I bør heller ikke dele jeres egne.
En test kan altså fortælle, hvad der var galt hos jer på et bestemt tidspunkt. Den kan ikke fortælle, om det er mere eller mindre, end konkurrenten ville have fået. → Måler testen vores sikkerhedsniveau?
Hvad et benchmark kan skjule
Sammenligninger med andre kan også gøre skade. Hvis bestyrelsen hører, at virksomheden ligger på niveau med branchen, kan det dæmpe viljen til at rette fund, der i virkeligheden er alvorlige for jer. Og et gennemsnit siger intet om, hvilke data I har, hvad der står stille hos jer, eller hvem der kunne have interesse i at ramme netop jer.
Vær også opmærksom på scorer og modenhedsniveauer, som nogle undersøgelser og værktøjer udregner. Et niveau tre er en betegnelse for en række egenskaber, ikke et tal, der betyder det samme i en anden virksomhed eller et andet værktøj. Spørg altid, hvad scoren bygger på, før den kommer i bestyrelsesmaterialet. → Rød, gul og grøn i ledelsesrapporter
Det, ledelsen kan sammenligne med i stedet
Der er tre sammenligninger, som giver mening, og som en test kan bidrage til.
- Jeres eget mål · hvor vil I være, og hvor langt er I? Det kræver, at ledelsen har formuleret, hvilken risiko den vil acceptere.
- Jeres egne tidligere resultater · samme systemer testet igen viser, om rettelserne holdt, og om de samme problemer vender tilbage. Det kræver, at afgrænsningen er nogenlunde den samme.
- De krav, I skal opfylde · kundekrav, branchekrav eller lovkrav er en fast målestok, som ikke afhænger af, hvad andre gør.
Det amerikanske standardiseringsinstitut beskriver netop den første sammenligning i sit rammeværk for cybersikkerhed, CSF 2.0. Her laver organisationen en profil af, hvor den er i dag, og en profil af, hvor den vil hen, og bruger forskellen til en prioriteret plan. Rammeværket understreger, at det ikke er en løsning, der passer til alle, fordi risici, risikovillighed og mål er forskellige. Der findes også fælles profiler for bestemte sektorer, men de er tænkt som udgangspunkt for jeres eget mål, ikke som en rangliste. → Risikovillighed
Vil ledelsen alligevel have et blik udefra på hele sikkerhedsarbejdet, er det en anden opgave end en test. En vurdering af modenhed op mod et anerkendt rammeværk ser på styring, processer og ansvar, ikke kun på systemerne. Den giver mest mening, hvis den gentages med samme metode, så jeres egen udvikling kan følges. Den bliver heller ikke til en placering i branchen, men den giver bestyrelsen et fast sprog at drøfte niveauet i, og en sikkerhedstest kan bruges som et af dens input.
Når nogen spørger, hvordan I ligger
Kunder, forsikringer og banker kan spørge, om jeres sikkerhed er på niveau. Det er fristende at svare med en sammenligning, men det er et svar, ledelsen kan have svært ved at dokumentere. Svar i stedet med fakta, I kan stå inde for: hvad der er testet, hvornår, og hvordan fundene er håndteret. → Kunderne spørger til vores sikkerhed
Det samme gælder internt. Hvis en direktør i bestyrelsen siger, at andre virksomheder har det meget værre, er det godt at kunne spørge stille tilbage: hvordan ved vi det, og ændrer det, hvad vi skal gøre hos os?
Et tænkt eksempel
En kæde af tømmerhandler har fået testet sin kundeportal for håndværkere. Rapporten har to alvorlige fund. Et bestyrelsesmedlem har hørt fra en anden bestyrelse, at deres test havde langt flere, og foreslår, at resultatet derfor er tilfredsstillende.
Direktøren beder testeren om en kort forklaring til bestyrelsen. Svaret er, at de to fund handler om, at en håndværker kan se andre kunders ordrer og priser, og at det er alvorligt uanset, hvad andre har fundet. Bestyrelsen vælger at måle sig på, om fundene er rettet og efterprøvet inden næste møde, og om portalen holder ved den næste test.
Det skal I lade være med
- At sammenligne antal fund med andre · tallene bygger på forskellige opgaver.
- At bruge en branchescore som pejlemærke uden at spørge · find ud af, hvad den måler.
- At lade et gennemsnit afgøre prioriteringen · jeres egne kronjuveler afgør den.
- At bede testeren om en placering · en tester kan ikke rangere jer i forhold til virksomheder, den ikke har testet.
- At svare kunder med en sammenligning · svar med det, I har gjort.
Hvad kan og ikke kan konkluderes
En sikkerhedstest kan vise, hvor I står i forhold til jeres eget mål og jeres egne tidligere test, når opgaven er sammenlignelig. Den kan ikke vise, om I er mere eller mindre sikre end konkurrenterne, og et benchmark kan ikke erstatte ledelsens egen vurdering af, hvad der står på spil hos jer.
Tjekliste, før ledelsen sammenligner
- ☐ Har ledelsen formuleret sit eget mål for sikkerheden?
- ☐ Er tidligere test lavet på de samme systemer?
- ☐ Ved vi, hvilke krav fra kunder, branche eller lov vi skal måles på?
- ☐ Er det afklaret, hvad en eventuel score bygger på?
- ☐ Svarer vi omverdenen med fakta frem for sammenligninger?
Kilder
- NIST, The Cybersecurity Framework (CSF) 2.0, CSWP 29: afsnit 1 (ingen løsning, der passer til alle; forskellige risici og risikovillighed) og 3.1 (nuværende profil, målprofil og fælles profiler som grundlag for egen målprofil).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Når de samme problemer vender tilbage · Kronjuveler
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
