Direktøren er også IT‑ansvarlig: hvem kontrollerer så?

I nogle mindre virksomheder er det direktøren, der vælger IT-leverandør, godkender adgange og svarer på kundernes spørgsmål om sikkerhed. Det fungerer i hverdagen, men det betyder, at den samme person træffer beslutningerne og vurderer, om de var gode. Svaret er ikke at ansætte en sikkerhedschef, men at skille opgaverne ad, så der er mindst ét led, der kontrollerer udefra. En sikkerhedstest bestilt og modtaget af en anden end den, der driver IT, er en af de enkleste måder at få det led på.

Når beslutning og kontrol ligger hos samme person

Funktionsadskillelse er en kendt tanke fra økonomien: den, der godkender en betaling, skal ikke også bogføre den. Tanken gælder også for IT-sikkerhed. Når direktøren både vælger løsningerne, aftaler driften med leverandøren og rapporterer til bestyrelsen om, at alt er i orden, er der ingen, der har set det hele med friske øjne.

Det er ikke et spørgsmål om tillid til direktøren. Selv en omhyggelig leder ser sine egne valg i det bedste lys, og ingen kan vurdere sig selv uafhængigt. Problemet bliver større, jo mere direktøren har på bordet i forvejen. Sikkerhed konkurrerer med salg, personale og økonomi om opmærksomheden, og det, der ikke bliver spurgt til, risikerer ikke at blive prioriteret. → Et uafhængigt blik

Hvad der går tabt uden et kontrolled

Blinde vinkler · forhold, som direktøren aldrig har tænkt over, bliver heller ikke undersøgt.
Leverandørens egen vurdering · driftsleverandøren bliver i praksis den eneste, der vurderer sin egen indsats.
Bestyrelsens grundlag · bestyrelsen hører kun den version, som den ansvarlige selv fortæller.
Svar til kunder · når en kunde spørger, kan direktøren kun henvise til egen opfattelse.

Den britiske kodeks for bestyrelsers styring af cyberrisici, udgivet af den britiske regering og NCSC, peger på, at roller og ejerskab for cybersikkerhed bør være defineret både hos de daglige ledere og hos bestyrelsesmedlemmer uden daglige ledelsesopgaver. Kodeksen er skrevet til mellemstore og store organisationer, men den opfordrer mindre organisationer til at bruge principperne. Tanken passer også i den lille virksomhed: ansvaret for sikkerheden bør ikke kun ligge ét sted.

Tre roller, selv i en lille virksomhed

Større organisationer taler om flere forsvarslinjer. I en mindre virksomhed er det nok at holde styr på tre roller og sikre, at de ikke alle ligger hos direktøren. → Tre forsvarslinjer

Den, der driver · fx IT-leverandøren eller en intern medarbejder, der holder systemerne kørende.
Den, der beslutter · direktøren, der godkender løsninger, adgange og budget.
Den, der kontrollerer · bestyrelsen, ejerkredsen eller en ekstern part, der får et billede, som ikke er filtreret af de to første.

Den tredje rolle kan let mangle. Den kræver ikke teknisk viden, men den kræver, at nogen har ret til at spørge og til at få svar direkte.

Sikkerhedstesten som det eksterne led

En ekstern sikkerhedstest kan udfylde en del af kontrolrollen, hvis den er sat rigtigt op. NCSC i Storbritannien sammenligner en penetrationstest med en revision af regnskabet: den er et eksternt tjek af, om de interne processer virker. Det svarer til den rolle, der mangler, når direktøren selv står for IT.

For at testen skal fungere som kontrol, skal tre forhold være på plads.

Bestillingen · bestyrelsesformanden eller en anden fra ejerkredsen er med til at godkende, hvad testen skal svare på.
Modtagelsen · resultatet går direkte til både direktøren og bestyrelsen, ikke via leverandøren.
Uafhængigheden · testeren har ingen interesse i at sælge løsninger eller drift bagefter. → Uvildighed

Hvis direktøren alene bestiller testen, afgrænser den og fremlægger resultatet, er det stadig nyttigt, men det er ikke en kontrol af direktørens beslutninger.

Andre greb end testen

Testen er ikke det eneste kontrolled. Bestyrelsen kan bede om en fast, kort orientering om sikkerheden, hvor de samme spørgsmål stilles hver gang. Direktøren kan bede IT-leverandøren om at beskrive, hvad den selv gør for at kontrollere sin drift. Og ejerkredsen kan beslutte, at større ændringer i adgange eller leverandører skal godkendes af to personer. → Spørgsmål til IT-leverandøren

Ingen af disse greb kræver nye stillinger. De kræver, at ledelsen skriver ned, hvem der gør hvad, og holder fast i det, også når der er travlt.

Et enkelt greb er at lade en anden end direktøren gennemgå listen over personer med adgang til de vigtigste systemer en gang imellem. Det kan være bogholderen, ejeren eller et bestyrelsesmedlem. Personen behøver ikke forstå systemerne, kun kende medarbejderne og spørge, hvorfor en adgang findes. Spørgsmålet alene kan få ryddet op i gamle konti, som ingen længere bruger. → Hvem har adgang til hvad?

Hvordan ejerledede virksomheder i det hele taget kan gribe en test an, er beskrevet på penetrationtest.dk.

Et tænkt eksempel

En familieejet grossist har en direktør, der også er IT-ansvarlig, og en lokal leverandør, der står for drift og backup. Bestyrelsen består af ejeren, en revisor og en tidligere branchekollega. Ved et møde spørger branchekollegaen, hvem der egentlig har tjekket, at leverandøren gør det, den skal.

Direktøren foreslår selv en ekstern test af netværket og de vigtigste systemer. Bestyrelsesformanden er med til at godkende, hvad testen skal svare på, og får rapporten samtidig med direktøren. Testen viser blandt andet, at en tidligere medarbejder stadig har adgang. Det er ikke en katastrofe, men det er netop den slags forhold, ingen havde opdaget, fordi ingen kiggede udefra. Bagefter aftaler bestyrelsen et kort punkt om sikkerhed på hvert andet møde. → Bestyrelsens tilsyn med opfølgningen

Det skal I lade være med

At se kontrollen som mistillid · den beskytter også direktøren mod at stå alene med ansvaret.
At lade leverandøren vælge og afgrænse testen · så kontrollerer driften sig selv.
At lade resultatet gå gennem én person · bestyrelsen skal have det direkte.
At oprette en ny stilling for formens skyld · adskil rollerne, ikke organisationen.
At nøjes med en test · faste spørgsmål og godkendelser hører også med.

Hvad kan og ikke kan konkluderes

En ekstern test kan give en mindre virksomhed et kontrolled, som den ellers mangler, og den kan vise, om der er forhold, ingen har opdaget. Den kan ikke vurdere, om direktørens samlede prioriteringer er rigtige, og den dækker kun de systemer, der er med. Funktionsadskillelse er et spørgsmål om ledelse og ansvar, og det er ledelsen og ejerne, der må beslutte, hvordan rollerne fordeles.

Tjekliste: hvem kontrollerer direktøren?

☐ Har vi skrevet ned, hvem der driver, beslutter og kontrollerer IT?
☐ Er der mindst én person ud over direktøren, der får sikkerhedsresultater direkte?
☐ Er bestyrelsen eller ejerkredsen med til at bestille den eksterne test?
☐ Er testeren uafhængig af driftsleverandøren?
☐ Har vi faste spørgsmål om sikkerhed på bestyrelsens dagsorden?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: E1 om en ledelsesstruktur med ejerskab af cybersikkerhed hos både daglige ledere og bestyrelsesmedlemmer uden daglige ledelsesopgaver; kodeksen er rettet mod mellemstore og store organisationer, og mindre organisationer opfordres til at bruge principperne.
NCSC, Penetration testing: penetrationstest sammenlignet med en revision af regnskabet, som et eksternt tjek af de interne processer.

Senest gennemgået: oktober 2026.