Afsæt penge til rettelserne, før testen bestilles

En sikkerhedstest koster penge, men det er ikke nødvendigvis selve testen, der er den store udgift. Det er det, der kommer bagefter: fund skal rettes, leverandører skal i gang, og nogle gange skal noget udskiftes. Hvis ledelsen først tager stilling til det, når rapporten ligger på bordet, kan rettelserne gå i stå i måneder, mens der søges penge. Svaret er at reservere både budget og tid, før testen bestilles. Det hviler på et skøn, ikke på en beregning, men et skøn er langt bedre end ingenting.

Hvorfor rettelserne bliver glemt

Når en test bestilles, er fokus på at komme i gang. Der skal findes en tester, aftales en dato og godkendes et tilbud. Spørgsmålet om, hvad der skal ske bagefter, føles fjernt, fordi ingen kender fundene endnu. Derfor bliver det udskudt.

Konsekvensen viser sig, når rapporten kommer. IT har allerede planlagt sine næste måneder. Driftsleverandøren skal have en ny aftale. Budgettet er brugt. Fundene ender på en liste, der behandles, når der bliver tid, og det gør der ikke altid. Testen har så dokumenteret problemerne uden at løse dem. → Når rettelserne går i stå

NCSC i Storbritannien understreger, at vurderingen af risikoen og beslutningen om rettelser er virksomhedens eget ansvar. Testeren kan pege på forhold og foreslå løsninger, men det er ledelsen, der beslutter, hvad der gøres. Den beslutning er lettere at træffe, når der allerede er afsat midler til den.

Tre ting at reservere

En reservation før testen omfatter mere end penge.

Budget · et beløb til rettelser, som ikke skal søges særskilt, når rapporten kommer.
Tid hos IT · en periode efter testen, hvor IT har tid til at gå i gang, uden at andre projekter skal vente på et nej.
Adgang til leverandører · en aftale med driftsleverandøren og vigtige systemleverandører om, at de kan bidrage inden for en rimelig tid.

Den sidste kan være den sværeste. Nogle rettelser skal udføres af en leverandør, og hvis kontrakten ikke siger noget om det, kan det tage tid at få en aftale på plads. Ledelsen kan med fordel spørge leverandøren, før testen bestilles, hvordan den håndterer rettelser, og hvad det koster. → Kontrakten med IT-leverandøren

Hvor stor skal reserven være?

Ingen ved på forhånd, hvad testen finder. Ledelsen må derfor skønne. Skønnet kan bygge på nogle enkle spørgsmål.

Er det første test af området? · så er der ingen tidligere erfaring at skønne ud fra, og reserven bør være rummelig. → Det første testresultat
Hvor gamle er systemerne? · ældre systemer kan kræve større ændringer.
Hvad fandt sidste test? · hvis der var mange fund, og ikke alle er rettet, kan det samme ske igen.
Hvem skal rette? · egne folk eller leverandører med timepris.
Hvor vigtigt er området? · på et forretningskritisk system er der mindre plads til at vente.

Skønnet skal ikke være præcist. Det skal være stort nok til, at de vigtigste rettelser kan sættes i gang straks, og ledelsen skal være indstillet på at justere det, når resultatet er kendt.

Når et fund er større end reserven

Det kan ske, at testen peger på et forhold, der kræver mere, end reserven rækker til, fx en udskiftning af et system eller en ændring af hele adgangsstrukturen. Det er ikke et tegn på, at reserven var forkert, men på, at testen fandt noget væsentligt.

Ledelsen bør på forhånd aftale, hvordan sådanne fund håndteres: hvem der vurderer dem, om der skal laves en midlertidig løsning, og hvordan de løftes til en særskilt beslutning. Så bliver de ikke liggende, fordi ingen ved, hvem der skal tage initiativet. En midlertidig løsning kan være at begrænse adgangen til det berørte system eller at holde ekstra øje med det, indtil den egentlige beslutning er truffet. Det er IT, der foreslår den, og ledelsen, der godkender, at risikoen bæres i mellemtiden. Hvordan fund generelt omsættes til budgetposter efter testen, forklarer opslagsværket penetrationtest.dk. → Leverandørens tilbud på rettelser

Hvem råder over reserven?

Reserven skal have en ejer. Det kan være IT-chefen, økonomidirektøren eller den person i ledelsen, der ejer testen. Det vigtige er, at det er klart, hvem der kan godkende udgifter fra reserven uden at gå tilbage til direktionen, og hvornår beslutninger skal løftes. En grænse for, hvad ejeren selv kan godkende, gør det muligt at handle hurtigt på de små fund og bruge ledelsens tid på de store.

Hvis reserven ikke bruges, kan den overføres til næste test eller frigives. Det er bedre end at have manglet den. En ubrugt reserve er også en oplysning: den kan betyde, at området var i god stand, eller at fundene endnu ikke er taget op. Ejeren bør kunne sige, hvilket af de to der er tilfældet, før pengene flyttes.

Et tænkt eksempel

En virksomhed, der driver plejeboliger for en række kommuner, skal teste det system, medarbejderne bruger til at dokumentere beboernes forhold. Før testen bestilles, beder direktøren IT-chefen om et skøn over, hvad rettelser kan kræve.

IT-chefen peger på, at systemet er nyt, men at adgangen til det sker gennem et ældre netværk, som ingen har set på i flere år. Ledelsen afsætter en reserve og aftaler med driftsleverandøren, at den har folk klar i månederne efter testen. Da rapporten kommer, kan de vigtigste forhold rettes med det samme. Ét fund kræver en ændring af netværket, som rækker ud over reserven. Det løftes til bestyrelsen som en særskilt sag med en midlertidig løsning, indtil beslutningen er truffet.

Det skal I lade være med

At bestille testen uden at tænke på bagefter · så kan rettelserne gå i stå.
At afsætte penge, men ikke tid · IT og leverandører skal også have plads.
At vente med at tale med leverandøren · aftalen tager tid at lave.
At lade reserven være uden ejer · nogen skal kunne godkende udgifterne.
At se et stort fund som en fejl i budgettet · det er netop det, testen skal finde.

Hvad kan og ikke kan konkluderes

En reserve til rettelser gør det mere sandsynligt, at testen fører til handling. Den kan ikke sikre, at alle fund bliver rettet, og den kan ikke gøre skønnet præcist. Nogle fund vil kræve beslutninger, der ligger uden for reserven. Men den sikrer, at testen ikke ender som en rapport, ingen har råd til at handle på.