Hvorfor beslutningen om en sikkerhedstest hører hjemme i ledelsen

I nogle virksomheder starter en sikkerhedstest som en idé i IT-afdelingen eller hos driftsleverandøren, og så bliver den også bestilt der. Det virker naturligt, fordi testen handler om systemer. Men tre ting gør den til en ledelsesbeslutning: testen kræver mandat, den handler om forretningens risiko, og den kræver penge og prioritering, som kun ledelsen kan give.

Det betyder ikke, at direktionen skal styre opgaven i detaljer. Det betyder, at ledelsen fastlægger formålet, godkender rammerne og står for det, resultatet fører til. IT og testeren sørger for resten.

Mandat: nogen skal give lov

En sikkerhedstest er et kontrolleret forsøg på at bryde ind i virksomhedens egne systemer. Det kræver en tydelig tilladelse fra nogen, der har ret til at give den. Hvis dele af systemerne drives af en leverandør eller ligger hos en hostingudbyder, skal de også give deres samtykke, og det sker lettere, når anmodningen kommer fra ledelsen.

Mandatet handler også om den risiko, testen selv medfører. En afprøvning af systemer i drift kan i nogle tilfælde forstyrre dem. Hvem accepterer den risiko, og hvad må testeren gøre, hvis noget alvorligt dukker op? Det er spørgsmål, som en IT-medarbejder ikke bør stå alene med. → Testens egne risici

Endelig sætter mandatet rammen for, hvad testeren må se. En test kan give adgang til kundedata, lønoplysninger eller forretningshemmeligheder. Ledelsen bør vide det og have taget stilling til det, før testen begynder.

Risiko: det er forretningen, der står på spil

IT kan sige, hvilke systemer der findes, og hvordan de er sat op. Men det er ledelsen, der ved, hvad det koster forretningen, hvis ordresystemet står stille, hvis kunders oplysninger slipper ud, eller hvis et produktionsanlæg må lukkes. Valget af, hvad der skal testes, bør derfor tage udgangspunkt i forretningens risiko og ikke i, hvad der er nemmest at afprøve.

En pjece om informationssikkerhed og risikostyring på sikkerdigital.dk understreger, at risikostyring ikke kun er en teknisk opgave, men en del af topledelsens ansvar. Pjecen er rettet mod offentlige organisationer, men pointen gælder også private virksomheder: den, der har det overordnede ansvar, skal sætte retning, prioritere ressourcer og følge op.

Der er også et spørgsmål om risikovillighed. Testen vil finde svagheder, og nogle af dem vil ikke blive rettet med det samme. At leve med en kendt risiko er en ledelsesbeslutning, som skal træffes af nogen med myndighed til det. → Risikovillighed

Budget: rettelser koster mere end testen

Testen er ikke nødvendigvis den største udgift. Den egentlige regning kommer bagefter, når fundene skal rettes, systemer måske skal udskiftes, eller leverandøren skal ændre noget, der ikke er dækket af den nuværende aftale. Hvis testen bestilles uden ledelsens opbakning, risikerer IT at stå med en rapport og intet budget til at handle på den.

Når ledelsen er med fra begyndelsen, kan pengene til opfølgning tænkes ind samtidig med beslutningen om at teste. Det gør det også lettere at prioritere, når fundene er mange: hvad skal rettes nu, hvad kan vente, og hvad accepteres? → Afsæt penge til rettelserne, før testen bestilles

Når IT både driver og bestiller

Der er også et spørgsmål om uafhængighed. Hvis den afdeling eller leverandør, der driver systemerne, også bestemmer, hvad der testes, og præsenterer resultatet, kan det blive svært for ledelsen at skelne mellem fakta og forsvar. Det handler ikke om mistillid, men om at give ledelsen et grundlag, den selv kan vurdere.

Når ledelsen bestiller testen og modtager resultatet direkte, bliver IT’s rolle tydeligere. IT kan hjælpe med at forberede opgaven, svare på testerens spørgsmål og lægge en plan for rettelser. Ledelsen beholder overblikket og kan stille spørgsmål til både IT og testeren. → Et uafhængigt blik

I mindre virksomheder er der ikke altid en IT-afdeling, men en ekstern leverandør, der både driver systemerne og rådgiver om sikkerhed. Her er ledelsens rolle endnu vigtigere. Leverandøren kan være dygtig og velmenende, men den har en naturlig interesse i, at resultatet ser pænt ud. Når ledelsen selv fastlægger formålet og vælger, hvem der tester, undgår man, at leverandøren kommer til at kontrollere sig selv.

Hvordan rollerne kan fordeles

En enkel fordeling kan se sådan ud. Ledelsen beslutter, hvorfor der testes, hvad der som minimum skal være med, og hvor mange penge der er til test og rettelser. En udpeget person i ledelsen ejer opgaven og modtager resultatet. IT eller driftsleverandøren forbereder testen, giver de nødvendige oplysninger og laver forslag til rettelser. Testeren udfører opgaven inden for de aftalte rammer og forklarer resultatet. Fordelingen behøver ikke være formel, men den bør være skrevet ned, så ingen er i tvivl, når rapporten ligger på bordet.

Lovgivning peger samme vej

For virksomheder omfattet af NIS2-direktivet lægger artikel 20 ansvaret for at godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med gennemførelsen på ledelsesorganerne. Om virksomheden er omfattet, og hvad det betyder i dansk ret, skal vurderes konkret. → NIS2 og ledelsen

Også uden for NIS2 kan kunder, forsikringsselskaber og banker bede ledelsen redegøre for sikkerheden. Når en direktør underskriver et sikkerhedsspørgeskema eller en forsikringsanmodning, er det ledelsen, der står inde for svarene. Det er svært, hvis ledelsen ikke har været med til at beslutte, hvad der er afprøvet. Det britiske NCSC har udgivet et værktøj til bestyrelser, som tager udgangspunkt i, at bestyrelsen har en central rolle i at sikre, at organisationen er robust. Teksten her er ikke juridisk rådgivning.

Det skal I lade være med

At lade IT bestille alene · formål, risiko og budget skal godkendes af ledelsen.
At give mandat uden rammer · testeren skal vide, hvad der må røres, og hvem der kan træffe beslutninger.
At glemme leverandørernes samtykke · systemer hos andre kræver deres tilladelse.
At bevilge testen uden opfølgning · rettelserne er den store post.
At lade den, der driver systemerne, fremlægge resultatet alene · ledelsen skal kunne stille spørgsmål direkte.

Hvad kan og ikke kan konkluderes

Når ledelsen ejer beslutningen, bliver testen et redskab til ledelsens egne valg om risiko og prioritering. Det øger chancen for, at resultatet bliver brugt, og at rettelserne får både penge og opbakning.

At ledelsen beslutter, gør ikke testen mere grundig, og det fritager ikke IT for ansvaret for den daglige drift. Rollerne skal være tydelige på begge sider. Hvem der konkret skal eje opgaven i ledelsen, er et særskilt spørgsmål. → Hvem i ledelsen skal eje sikkerhedstesten?