Hvordan ved ledelsen, at fundene faktisk bliver rettet?

Et fund, der står som lukket i en statusoversigt, er ikke nødvendigvis rettet. Det kan være meldt lukket af den, der lavede ændringen, uden at nogen har kontrolleret, at ændringen virker. Ledelsen ved først, at et fund er rettet, når to ting er på plads: der findes en dateret beskrivelse af, hvad der er ændret, og en anden end den udførende har efterprøvet, at det oprindelige problem ikke længere kan genfindes. Begge dele er krav, ledelsen selv kan stille, uden at forstå de tekniske detaljer.

En melding er ikke et resultat

Når IT-chefen eller leverandøren skriver, at et fund er lukket, er det en oplysning om, at der er gjort noget. Det siger ikke, om det, der er gjort, løser problemet, eller om det er gjort alle de steder, hvor problemet fandtes. For ledelsen er forskellen vigtig, fordi det er ledelsen, der står inde for resultatet over for bestyrelse, kunder og forsikring.

Det amerikanske standardiseringsinstitut NIST beskriver i sin vejledning om sikkerhedstest tre måder at kontrollere rettelser på: en gennemgang af systemet, en ny test og dokumentation fra dem, der har gennemført ændringerne. Vejledningen peger samtidig på, at der er en risiko ved at nøjes med dokumentation og ikke efterprøve ændringen teknisk. Det er en god rettesnor for ledelsen: en underskrevet redegørelse er bedre end ingenting, men den er ikke det samme som en kontrol.

I praksis kan ledelsen skelne mellem tre niveauer, når status bliver fremlagt:

Meldt rettet · den udførende oplyser, at ændringen er lavet. Ingen har kontrolleret den.
Dokumenteret · der ligger en beskrivelse af ændringen, hvem der lavede den, og hvornår. Den kan læses af andre.
Efterprøvet · en anden end den udførende, for eksempel testeren, har kontrolleret, at det oprindelige problem ikke længere findes.

Bed om, at status altid viser, hvilket niveau hvert fund er på. Så kan ledelsen se, om “ti lukkede fund” betyder ti efterprøvede rettelser eller ti beskeder fra en travl driftsafdeling. → Status på rettelserne

Hvilke fund kræver efterprøvning?

Ikke alle fund behøver en ny test. Det vil være dyrt og tage tid, som ellers kunne bruges på at rette. Ledelsen kan i stedet beslutte en enkel regel: de alvorlige fund efterprøves af en anden end den udførende, mens mindre fund kan lukkes på dokumentation. Hvor grænsen går, hænger sammen med den risikovillighed, ledelsen allerede har formuleret. → Risikovillighed

Beslut reglen, før testen bestilles, eller senest når rapporten er gennemgået. Så kan efterprøvningen indgå i budgettet og i aftalen med testeren. Hvordan en retest gennemføres og afgrænses i praksis, er beskrevet på penetrationtest.dk. → Budget til rettelser

Krav, ledelsen kan stille til dokumentationen

Dokumentationen behøver ikke være lang. Den skal kunne læses af en anden end den, der skrev den, og den skal kunne findes igen om et år. Ledelsen kan bede om, at hver rettelse er beskrevet med:

Fundets betegnelse · så rettelsen kan knyttes til rapporten uden tvivl.
Hvad der er ændret · i almindelige ord, uden at ledelsen skal forstå teknikken.
Hvor ændringen er lavet · i drift eller kun i et testmiljø.
Hvem og hvornår · navn på den ansvarlige og en dato.
Hvad der står tilbage · hvis rettelsen kun dækker en del af problemet.

Det sidste punkt er det vigtigste. En delvis rettelse er ikke en fejl, men den skal stå som delvis. Ellers kan bestyrelsen få at vide, at et forhold er håndteret, selv om en del af det stadig er åben.

Når leverandøren retter

Når en IT-leverandør eller softwareleverandør retter, ligger ansvaret for, at det bliver kontrolleret, stadig hos virksomheden. Leverandøren kan have en naturlig interesse i, at en sag kan lukkes hurtigt. Det er ikke mistillid at bede om dokumentation og efterprøvning. Det er god leverandørstyring, og kravet bør helst stå i aftalen, før det bliver aktuelt. → Spørgsmål til IT-leverandøren

Peger to leverandører på hinanden, når et fund skal rettes, er det et tegn på, at ansvaret ikke er fordelt tydeligt nok. Det er en ledelsesopgave at få det afklaret. → Når leverandørerne peger på hinanden

Når efterprøvningen viser, at fundet står åbent

Det sker, at en kontrol viser, at en rettelse ikke virker, eller at den kun dækker en del af problemet. Det er ikke et nederlag. Det er netop derfor, efterprøvningen findes, og resultatet er langt mere værd end en falsk tryghed.

Ledelsens opgave er at reagere roligt og konkret. Fundet åbnes igen med en ny frist, og ledelsen spørger, hvorfor den første rettelse ikke holdt. Var opgaven uklar, manglede der tid, eller lå problemet et andet sted end antaget? Svaret siger noget om, hvordan opfølgningen fungerer, og bør med i den næste status. Gentager mønstret sig, er det et emne for ledelsen og ikke kun for IT. → Når de samme problemer vender tilbage

Et tænkt eksempel

En regnskabsvirksomhed har fået testet sin klientportal, hvor kunderne afleverer bilag. Rapporten har to alvorlige fund i portalens adgangsstyring. Portalens leverandør melder efter tre uger, at begge er rettet.

Direktøren beder om en kort redegørelse fra leverandøren og om, at testeren efterprøver de to fund. Redegørelsen viser, at det ene fund er rettet i portalen, mens det andet kun er rettet i leverandørens testmiljø og først kommer i drift ved næste opdatering. Testeren bekræfter, at det første fund ikke længere kan genfindes. Det andet står som åbent med en dato. Direktøren rapporterer til ejerkredsen, at ét alvorligt fund er efterprøvet, og at det andet afventer leverandørens opdatering.

Det skal I lade være med

At tælle meldte rettelser som lukkede · skeln mellem meldt, dokumenteret og efterprøvet.
At lade den udførende kontrollere sig selv · de alvorlige fund efterprøves af en anden.
At beslutte efterprøvningen for sent · den skal med i budgettet og aftalen.
At skjule delvise rettelser · det, der står tilbage, skal fremgå.
At acceptere en efterprøvning i et andet miljø uden forklaring · en rettelse i testmiljøet siger ikke alene noget om driften.

Hvad kan og ikke kan konkluderes

Et efterprøvet fund viser, at det beskrevne problem ikke kunne genfindes på det tidspunkt og under de forhold, kontrollen blev udført. Det viser ikke, at systemet er uden andre svagheder, eller at problemet ikke kan opstå igen ved en senere ændring. Efterprøvningen lukker et fund. Den er ikke en ny test af hele systemet.

Tjekliste til ledelsens kontrol

☐ Viser status, om hvert fund er meldt rettet, dokumenteret eller efterprøvet?
☐ Er det besluttet, hvilke fund der skal efterprøves af en anden end den udførende?
☐ Er efterprøvningen med i budgettet og i aftalen med testeren?
☐ Har leverandørerne pligt til at dokumentere deres rettelser?
☐ Fremgår delvise rettelser og det, der står tilbage?

Kilder

NIST SP 800-115, Technical Guide to Information Security Testing and Assessment: afsnit 8.3 om kontrol af rettelser gennem gennemgang af systemet, ny test og dokumentation, og om risikoen ved ikke at efterprøve ændringer teknisk.

Senest gennemgået: oktober 2026.