Sådan budgetterer ledelsen med sikkerhedstest

Et budget til en sikkerhedstest kan blive lavet som ét beløb til en ekstern leverandør, og resten opdages undervejs. Det giver overraskelser, når fundene skal rettes, når IT skal bruge tid, og når nogen spørger, om rettelserne virker. Et brugbart budget hviler på tre ting: at ledelsen ved, hvad testen skal svare på, at alle poster omkring testen er med, og at én person i ledelsen ejer beløbet. Svaret på, hvordan ledelsen budgetterer, er derfor mere en proces end et tal.

Start med spørgsmålet, ikke med beløbet

Den mest almindelige fejl er at starte med et beløb og derefter finde ud af, hvad der kan nås for det. Ledelsen bør vende rækkefølgen om. Hvad skal testen kunne fortælle os? Er det, om kundeportalen kan misbruges, om en angriber kan komme fra kontornettet til økonomisystemet, eller om leverandørens opsætning holder? Når spørgsmålet er klart, kan der indhentes et tilbud, der passer til det. → Ledelsens spørgsmål, før testen bestilles

Den britiske kodeks for bestyrelsers styring af cyberrisici, udgivet af den britiske regering og NCSC, lægger op til, at ledelsen sikrer sig, at ressourcer fordeles effektivt til de cyberrisici, der er taget stilling til. Det er en god rettesnor for budgettet: pengene følger de risici, ledelsen har prioriteret, ikke en fast skabelon.

Posterne, der hører med

Et budget, der kun rummer testerens tilbud, er ufuldstændigt. Ledelsen bør som minimum overveje disse poster.

Selve testen · det eksterne arbejde ud fra en klar opgavebeskrivelse.
Egen tid · IT, systemejere og eventuelt driftsleverandøren skal forberede, være til rådighed og svare på spørgsmål. → Hvad testen kræver af jeres egne folk
Leverandørernes tid · driftsleverandøren kan tage betaling for at medvirke, hvis kontrakten ikke dækker det.
Rettelser · fund skal rettes, og det koster tid og nogle gange penge til konsulenter eller nye licenser.
Kontrol af rettelser · en efterfølgende kontrol af, at de vigtigste fund er lukket.
Ledelsens egen tid · møder om resultatet, beslutninger og opfølgning i bestyrelsen.

Ikke alle poster er lige store, og nogle er kun skøn. Egen tid og ledelsens tid kommer ikke altid med i et budget som kroner, men de bør nævnes, så ingen bliver overrasket over, at medarbejdere er optaget i en periode, eller at andre opgaver må vente. Pointen er, at de står på listen, så ingen af dem bliver betalt ved at skære i en anden.

Hvem afsætter pengene?

Budgettet bør have en ejer i ledelsen, ikke kun i IT. Det kan være økonomidirektøren eller den administrerende direktør, der godkender, mens IT-chefen udarbejder oplægget. Det vigtige er, at den, der ejer budgettet, også har mandat til at prioritere rettelserne bagefter. Hvis pengene til testen ligger hos IT, mens pengene til rettelser skal søges et andet sted, kan resultatet ende i en skuffe. → Økonomidirektøren og sikkerhedstesten

I større organisationer kan testen delvis betales af de projekter eller afdelinger, der ejer systemerne. Det kan være rimeligt, men så skal én person stadig have overblikket over helheden.

Bestyrelsen godkender ikke nødvendigvis en enkelt test, men den godkender det samlede budget. Det er derfor en god idé, at budgetoplægget viser, hvilke risici pengene til sikkerhedstest skal dække, og hvad der bevidst er valgt fra. Så kan bestyrelsen tage stilling til prioriteringen og ikke kun til beløbet. Et fravalg, der står på skrift, er lettere at tage op igen næste år end et, ingen husker at have truffet.

Timing i budgetåret

Testen bør ligge, så resultatet når frem, før næste budget lægges. Ellers kan rettelser, der kræver penge, først finansieres et år senere. Det taler for at placere testen i første halvdel af budgetåret, eller for at afsætte en reserve til rettelser i samme år som testen. Der findes ingen fast regel, men ledelsen bør tænke rækkefølgen igennem, inden datoen aftales. → Afsæt penge til rettelserne

Hvis virksomheden har en plan over flere år, kan budgettet også spredes, så der testes forskellige områder i forskellige år. → Flerårig testplan

Hvad bestemmer størrelsen?

Ledelsen kan ikke finde et rigtigt beløb på en hjemmeside, fordi prisen afhænger af opgaven. Omfanget påvirkes blandt andet af, hvor mange systemer der skal med, hvor komplekse de er, om testen skal ske uden for arbejdstid, og hvilken dokumentation der skal leveres. Nogle af disse forhold er ledelsens valg. Hvordan opgaverne prissættes hos Nielco IT, står under pris og tilbud. Hvordan prisen generelt hænger sammen med omfanget, forklarer penetrationtest.dk. → Ledelsens valg og omfanget

Et tænkt eksempel

En rådgivende ingeniørvirksomhed vil teste sit projektdatasystem, som kunderne har adgang til. IT-chefen henter et tilbud og lægger det ind i budgettet. Økonomidirektøren spørger, hvad der sker, når testen er færdig.

Det viser sig, at ingen har regnet med leverandørens tid til at rette opsætningen, og at en efterfølgende kontrol ikke er med. Budgettet laves om med tre linjer: testen, en reserve til rettelser og en kontrol et par måneder senere. Økonomidirektøren bliver ejer af alle tre. Da resultatet kommer, kan de vigtigste rettelser sættes i gang med det samme, fordi pengene allerede er afsat.

Et enkelt fund kræver mere, end reserven kan bære: en ældre del af systemet skal udskiftes. Det bliver ikke løst i testens budget, men det bliver løftet til ledelsen som en særskilt beslutning med en midlertidig foranstaltning, indtil udskiftningen er besluttet. Reserven var ikke stor nok til alt, men den gjorde det muligt at skelne mellem det, der kunne rettes nu, og det, der krævede et nyt valg.

Det skal I lade være med

At starte med et beløb · start med det spørgsmål, testen skal besvare.
At budgettere testen uden rettelserne · så har resultatet ingen vej videre.
At glemme egen tid · intern tid er også en omkostning.
At dele ejerskabet op · én person bør have overblikket.
At lægge testen sent i budgetåret · så må rettelser vente et helt år.

Hvad kan og ikke kan konkluderes

Et gennemarbejdet budget gør det mere sandsynligt, at testen fører til rettelser og ikke kun til en rapport. Det kan ikke garantere, at de afsatte midler rækker, fordi ingen kender fundene på forhånd. Reserven til rettelser er et skøn, som ledelsen må justere, når resultatet foreligger. Og budgettet siger ikke noget om, hvorvidt testen er rettet mod det rigtige. Det afgøres af det spørgsmål, ledelsen stillede i begyndelsen.

Tjekliste til budgettet

☐ Har vi formuleret, hvad testen skal svare på?
☐ Er egen tid og leverandørernes tid med?
☐ Er der en reserve til rettelser og en efterfølgende kontrol?
☐ Har én person i ledelsen ansvaret for hele budgettet?
☐ Kommer resultatet, før næste budget lægges?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: B3 om at ledelsen sikrer, at ressourcer fordeles effektivt til at håndtere de aftalte cyberrisici.

Senest gennemgået: oktober 2026.