Spørgsmål, bestyrelsesmedlemmer kan stille om sikkerhedstest

Et bestyrelsesmedlem behøver ikke forstå teknikken bag en sikkerhedstest for at føre tilsyn med den, men det kræver de rigtige spørgsmål. Spørgsmålene hviler på en enkel tanke: bestyrelsen skal kunne se, hvorfor der testes, hvad resultatet betyder for virksomheden, og hvem der sørger for, at der bliver fulgt op. Nedenfor står spørgsmålene i den rækkefølge, de bliver aktuelle, med en kort beskrivelse af, hvad et brugbart svar fra direktionen indeholder.

Hvordan selve bestyrelsespunktet bygges op, er beskrevet på opslagsværket penetrationtest.dk. Her handler det om bestyrelsesmedlemmets egne spørgsmål.

Spørgsmål er bestyrelsens arbejdsredskab

Bestyrelsen udfører ikke testen og behøver ikke læse rapporten. Dens indflydelse ligger i, hvad den beder om, og hvad den accepterer som svar. Det britiske NCSC har udgivet et kort spørgsmålssæt til bestyrelsesmedlemmer og understreger, at spørgsmålene er et udgangspunkt for samtalen og ikke en liste, der blot skal krydses af. Den tanke er også nyttig her. Et spørgsmål, der fører til en god drøftelse, er mere værd end et ja eller nej.

Det er også en fordel at stille spørgsmålene til flere end IT. Direktionen, økonomifunktionen og den, der har kundekontakten, kan se forskellige sider af samme risiko. → Bestyrelsesmedlem uden IT-baggrund

Før testen: formål og ramme

Hvorfor tester vi nu? · Et godt svar nævner anledningen, fx et nyt system, et kundekrav eller en beslutning fra sidste møde, og hvad virksomheden vil vide.
Hvad er med, og hvad er bevidst udeladt? · Svaret bør pege på de systemer og data, forretningen er mest afhængig af, og forklare fravalgene.
Hvem har godkendt rammen? · Der bør være en navngiven person i direktionen, der står inde for formål og afgrænsning.
Hvem udfører testen, og hvorfor dem? · Svaret bør handle om uafhængighed og kompetence, ikke kun om pris.
Er der afsat tid og penge til at rette det, testen finder? · Et svar uden plads til rettelser er et faresignal.

Svarene på de første to spørgsmål afgør, hvad bestyrelsen senere kan bruge resultatet til. En smal test giver et smalt svar, og det er bedre at vide det på forhånd. → Ledelsens valg og omfang

Når resultatet foreligger

Hvad er det vigtigste, testen viste? · Et brugbart svar beskriver konsekvensen for forretningen, fx at kundedata kunne ses af uvedkommende, og ikke den tekniske fejl.
Hvad var i orden? · Det fortæller, om tidligere beslutninger har virket.
Hvad overraskede direktionen? · Overraskelser viser, hvor virksomhedens eget billede af sikkerheden var forkert.
Hvad skal bestyrelsen beslutte? · Svaret bør være en kort liste, fx ekstra midler, accept af en risiko eller en ændret prioritering.
Kan resultatet bruges over for kunder eller forsikring? · Svaret bør tage højde for afgrænsningen og for, hvem der må se rapporten.

Hvis direktionen ikke kan svare på det første spørgsmål uden at læse op fra rapporten, er oversættelsen til forretningssprog ikke lavet endnu. Bed om den, før punktet behandles. → Fra teknisk fund til forretningsrisiko

Opfølgningen

De vigtigste spørgsmål kan først blive aktuelle længe efter testen, når opmærksomheden er rettet mod noget andet.

Hvad er rettet, og hvem har kontrolleret det? · En rettelse, ingen har efterprøvet, er en forventning.
Hvad er forsinket, og hvorfor? · Svaret bør nævne årsagen, fx mangel på folk eller en leverandør, der ikke har leveret.
Hvilke risici har vi valgt at leve med? · Hver accepteret risiko bør have en ejer og en dato for ny vurdering.
Hvornår tester vi igen, og hvad? · Svaret bør bygge på resultatet, ikke kun på kalenderen.

NCSC skriver i samme materiale, at bestyrelsen bør forvente at se rapportering om de øvelser, der er gennemført, og om det, organisationen har lært. Tankegangen kan overføres til sikkerhedstest: bestyrelsen skal ikke kun høre, at testen er gennemført, men også hvad der er ændret bagefter. → Bestyrelsens tilsyn med opfølgningen

Når svaret er uklart

Et uklart svar er ikke nødvendigvis et udtryk for, at noget er galt. Det kan betyde, at direktionen ikke har fået den information, den har brug for, fra IT eller fra leverandøren. Bestyrelsens opgave er da at bede om svaret til næste møde, ikke at gætte. Det kan også være en anledning til at spørge, om rapporteringen fra IT til direktionen er god nok.

Nogle svar bør dog få bestyrelsen til at spørge igen. Det gælder fx, når svaret er, at alt er i orden, uden at det fremgår, hvad der er undersøgt. Det gælder også, når ingen kan sige, hvem der ejer opfølgningen, eller når den samme forklaring på en forsinkelse går igen fra møde til møde. → Er svarene gode nok?

Et tænkt eksempel

En familieejet grossistvirksomhed har fået testet sin webshop og forbindelsen til lagersystemet. På bestyrelsesmødet fremlægger direktøren, at testen gik godt. Et bestyrelsesmedlem spørger, hvad der var med, og det viser sig, at forbindelsen til lagersystemet blev udeladt, fordi leverandøren ikke kunne nå at give adgang.

Bestyrelsen beder ikke om en ny test med det samme. Den beder om tre ting til næste møde: en kort beskrivelse af, hvad udeladelsen betyder for risikoen, en dato for, hvornår den manglende del kan testes, og navnet på den, der aftaler det med leverandøren. Spørgsmålet tog to minutter på mødet. Det ændrede, hvad bestyrelsen kunne bruge resultatet til, og det står nu i referatet, hvem der har opgaven.

Det skal I lade være med

At stille tekniske spørgsmål for at vise interesse · de flytter fokus fra det, bestyrelsen skal tage stilling til.
At nøjes med at spørge, om testen er bestået · en sikkerhedstest har ikke en bestået-grænse.
At acceptere et svar, der ikke nævner afgrænsningen · uden den ved bestyrelsen ikke, hvad resultatet dækker.
At spørge én gang og så slippe emnet · opfølgningen er der, hvor bestyrelsens spørgsmål gør mest forskel.
At lade spørgsmålene ligge hos ét medlem · tilsynet er hele bestyrelsens opgave.

Hvad kan og ikke kan konkluderes

Gode svar på spørgsmålene viser, at direktionen har styr på formål, resultat og opfølgning for den test, der er gennemført. De viser ikke, at virksomheden er sikker, og de dækker ikke de områder, der ikke var med i testen. Spørgsmålene erstatter heller ikke en egentlig vurdering af virksomhedens risici. De er bestyrelsens måde at sikre sig, at en sådan vurdering bliver lavet og brugt.

Tjekliste til næste bestyrelsesmøde

☐ Kender vi formålet med den seneste eller næste test?
☐ Ved vi, hvad der var med, og hvad der var udeladt?
☐ Har direktionen beskrevet de vigtigste fund i forretningens sprog?
☐ Er de beslutninger, bestyrelsen skal træffe, samlet i en kort liste?
☐ Har hver accepteret risiko en ejer og en dato?
☐ Er det aftalt, hvornår bestyrelsen hører om status igen?

Kilder

NCSC (UK), Cyber security 101 for board members: spørgsmålene er tænkt som et udgangspunkt for drøftelser og ikke som en tjekliste, der blot gennemgås; bestyrelsen bør forvente rapportering om gennemførte øvelser og erfaringer fra dem.

Senest gennemgået: oktober 2026.