Et bestyrelsesmedlem kan være valgt for sin viden om marked, økonomi, jura eller drift og føle sig usikker, når IT-sikkerhed kommer på dagsordenen. Svaret er ikke at lære teknikken, men at holde øje med nogle få pejlemærker, som viser, om virksomheden tager sikkerheden alvorligt. Pejlemærkerne hviler på det, bestyrelsen allerede gør på andre områder: den spørger til ejerskab, prioritering, opfølgning og ærlighed i rapporteringen. Pejlemærkerne kan bruges ved hvert møde, hvor sikkerhed er på dagsordenen, og de passer lige så godt til en lille ejerledet bestyrelse som til en større.
Teknisk forståelse er ikke kravet
Sikkerhed handler i bestyrelseslokalet om de samme ting som andre risici: hvad kan gå galt, hvad vil det koste forretningen, og hvem gør noget ved det. Det britiske NCSC skriver i sin vejledning til bestyrelser, at bestyrelsen har brug for en forståelse, der er god nok til at se, hvordan sikkerheden understøtter organisationens mål. Ordvalget er værd at bemærke. Der står ikke ekspertviden.
Erfaring fra andre områder er en styrke. Et medlem, der har ført tilsyn med økonomi eller kvalitet, ved, hvordan man spørger efter dokumentation, og hvordan et undvigende svar lyder. De samme færdigheder virker, når emnet er sikkerhed.
På sikkerdigital.dk ligger en tjekliste, der er målrettet bestyrelser, som ikke har digital sikkerhed som kernekompetence. Den siger direkte, at bestyrelsen ikke nødvendigvis skal kunne svare på alle spørgsmålene selv. Opgaven er at sikre, at direktionen kan. → Bestyrelsens egen viden om IT-sikkerhed
Første pejlemærke: nogen ejer emnet
Spørg, hvem i direktionen der står inde for sikkerheden, og hvem der sørger for, at fund fra en sikkerhedstest bliver rettet. Et godt tegn er, at svaret er et navn og ikke en afdeling. Et dårligt tegn er, at ansvaret ligger hos IT-leverandøren alene, eller at ingen helt ved, hvem der har det.
Ejerskab betyder ikke, at direktøren selv skal kunne rette fejl. Det betyder, at en person med beslutningskompetence holder øje med, at det sker, og kan svare bestyrelsen, når den spørger.
Spørg også, hvordan ejeren får sin viden. Hvis den kun kommer fra én kilde, fx en ekstern driftsleverandør, kan billedet blive ensidigt. En sikkerhedstest udført af en uafhængig part er en måde at få et andet blik på. → Det uafhængige blik
Andet pejlemærke: prioriteringen giver mening
Ingen virksomhed kan beskytte alt lige godt. Spørg derfor, hvilke systemer og data forretningen ikke kan undvære, og om de er dem, der testes og beskyttes først. Svaret kræver ikke teknisk viden at vurdere. Et bestyrelsesmedlem med erfaring fra driften kan hurtigt se, om listen passer til virksomhedens virkelighed.
Spørg også, hvad der sker, hvis et af systemerne står stille i en uge. Svaret siger noget om, hvor meget der står på spil, og hjælper bestyrelsen med at vurdere, om den indsats, direktionen foreslår, står mål med risikoen.
Hvis direktionen ikke har en sådan liste, er det et emne for næste møde. Tjeklisten på sikkerdigital.dk spørger netop, om der er en oversigt over de systemer, der er mest kritiske for den daglige drift. → Kronjuvelerne
Tredje pejlemærke: der bliver fulgt op
En sikkerhedstest har kun værdi, hvis resultatet fører til handling. Hold øje med, om bestyrelsen hører om status efter testen, eller om emnet forsvinder fra dagsordenen, når rapporten er fremlagt. Hold også øje med, om de samme forsinkelser går igen.
Det er ikke nødvendigt at forstå de enkelte rettelser. Det er nok at se, at hver væsentlig sag har en ejer og en dato, og at datoerne holder, eller at der er en forklaring, når de ikke gør. Bed gerne om, at status vises på samme måde hver gang. Så bliver det lettere at se udviklingen, også for den, der ikke kender detaljerne. → Status på rettelserne
Fjerde pejlemærke: rapporteringen er ærlig
Hvis alt altid er grønt, bør man spørge, hvad der ligger bag. En rapportering, der aldrig indeholder dårlige nyheder, kan betyde, at der ikke er nogen, men den kan også betyde, at ingen tør fortælle dem. Et godt tegn er, at direktionen selv fortæller, hvad der ikke virker, og hvad der var udeladt af testen.
Læg også mærke til sproget. Når fund forklares med konsekvenser for kunder, drift og data, er oversættelsen lavet. Når de forklares med fagudtryk, er den ikke. Det er rimeligt at bede om forklaringen i almindeligt sprog, og det er ikke et tegn på manglende viden at gøre det. → Sikkerhedssprog for ledere
Et tænkt eksempel
I en produktionsvirksomhed med et bestyrelsesmedlem fra bankverdenen og et fra salg kommer en sikkerhedstest på dagsordenen. Ingen af de to har IT-baggrund. Medlemmet fra banken spørger, hvem der ejer opfølgningen, og hvornår bestyrelsen hører om status. Medlemmet fra salg spørger, om de systemer, kunderne bestiller igennem, var med.
Direktøren kan svare på det første, men ikke på det andet. Det viser sig, at kundeportalen blev holdt uden for testen, fordi den drives af en leverandør. Bestyrelsen beder om en plan for, hvordan portalen kan komme med næste gang. Ingen tekniske spørgsmål blev stillet, men begge medlemmer bidrog med noget, IT-folk ikke havde tænkt på.
Det skal I lade være med
- At tie, fordi emnet virker teknisk · bestyrelsens spørgsmål handler om ledelse, ikke om teknik.
- At overlade emnet til det ene medlem med IT-erfaring · tilsynet er hele bestyrelsens ansvar.
- At lade sig nøje med fagudtryk · bed om forklaringen i forretningens sprog.
- At forsøge at vurdere tekniske løsninger · vurder i stedet ejerskab, prioritering og opfølgning.
- At tolke fravær af dårlige nyheder som et godt tegn · spørg, hvad der ikke er undersøgt.
- At bede om den fulde tekniske rapport for at virke grundig · den hjælper ikke bestyrelsen og bør kun deles med få.
Hvad kan og ikke kan konkluderes
Pejlemærkerne kan vise, om virksomheden har styr på ansvar, prioritering og opfølgning. De kan ikke vise, om de tekniske løsninger er gode nok, eller om en bestemt rettelse virker. Det kræver en sikkerhedstest eller en anden uafhængig undersøgelse. Pejlemærkerne er bestyrelsens måde at sikre, at den slags undersøgelser bliver lavet og brugt, uden at bestyrelsen selv skal være eksperter. Viser pejlemærkerne, at noget mangler, er det heller ikke bestyrelsens opgave at finde løsningen. Den beder direktionen om en plan og følger op på, at planen bliver gennemført. → Spørgsmål, bestyrelsesmedlemmer kan stille
Tjekliste til bestyrelsesmedlemmet
- ☐ Ved jeg, hvem i direktionen der ejer sikkerheden?
- ☐ Kender jeg de systemer og data, forretningen ikke kan undvære?
- ☐ Hører bestyrelsen om status efter en test?
- ☐ Indeholder rapporteringen også dårlige nyheder og fravalg?
- ☐ Bliver fundene forklaret i forretningens sprog?
Kilder
- NCSC (UK), Cyber Security Toolkit for Boards: bestyrelser har brug for en forståelse af cybersikkerhed, der er god nok til at se, hvordan den understøtter organisationens mål.
- sikkerdigital.dk, Bestyrelsens tjekliste til digital ansvarlighed (2024): tjeklisten er målrettet bestyrelser uden digital sikkerhed som kernekompetence; bestyrelsen skal ikke nødvendigvis kunne svare direkte på alle overvejelserne; spørgsmålet om en oversigt over de mest kritiske systemer.
Senest gennemgået: oktober 2026.
Næste skridt
- Spørgsmål, bestyrelsesmedlemmer kan stille om sikkerhedstest
- Ny i bestyrelsen: hvad man bør spørge om sikkerheden
Del af: Artikler til ledelsen
Læs også: Fra teknisk fund til forretningsrisiko · Sikkerhed er ikke kun IT
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
