Den dyreste test er den bedste

Når ledelsen skal vælge mellem flere tilbud på en sikkerhedstest, kan det højeste tilbud virke som det sikre valg. Det koster mest, så det må være grundigst. Tanken er forståelig, fordi pris og kvalitet hænger sammen i andre køb. Men i en sikkerhedstest afhænger værdien af, om opgaven svarer på det spørgsmål, ledelsen har. En dyr test af det forkerte område giver mindre end en mindre test af det rigtige. Prisen fortæller noget om omfanget og om leverandørens forretning, men ikke om, at testen passer til virksomhedens behov. Det skal ledelsen selv vurdere.

Hvorfor prisen virker som et kvalitetstegn

Der er gode grunde til, at prisen bliver brugt som pejlemærke. Sikkerhedstest er svær at vurdere for den, der ikke arbejder med området, og tilbuddene kan være skrevet i et sprog, ledelsen ikke kender. Når indholdet er svært at sammenligne, bliver prisen det, der er lettest at forholde sig til.

Hertil kommer en naturlig forsigtighed. Ingen ledelse vil beskyldes for at have sparet på sikkerheden, hvis noget går galt. Det dyreste tilbud kan derfor føles som en forsikring mod kritik. Det er en menneskelig reaktion, men den flytter fokus fra, hvad testen skal svare på, til, hvad den koster. → Tilbuddet for ikke-teknikere

Hvad prisen faktisk afspejler

En pris på en sikkerhedstest er bygget af flere forhold, og kun nogle af dem har med kvaliteten at gøre. Ledelsen kan skille dem ad:

Omfanget · hvor mange systemer, hvor mange roller og hvor mange miljøer der er med.
Tiden · hvor meget tid testeren har til at gå i dybden.
Tidspunktet · en test, der skal laves hurtigt eller uden for arbejdstid, kan koste mere.
Leverancen · hvor mange rapporter, møder og opfølgninger der er med.
Leverandørens forhold · organisation, omkostninger og forretningsmodel.

De første fire kan ledelsen sammenligne mellem tilbud, hvis de er beskrevet. Det sidste siger ikke noget om, hvad virksomheden får. To leverandører kan tilbyde det samme omfang og den samme tid til forskellige priser, uden at den ene test bliver bedre end den anden af den grund. Omvendt kan to tilbud med samme pris dække vidt forskellige opgaver. Hvad der påvirker omfanget af en opgave, kan ledelsen læse mere om under pris og tilbud.

Hvor meget er nok?

Spørgsmålet er ikke, hvor meget testen koster, men om den svarer på det, ledelsen vil vide. En god test har et formål, ledelsen kan genkende, et omfang, der dækker det vigtigste, og en leverance, ledelsen kan bruge.

CREST, en nonprofitorganisation registreret i Storbritannien, har vejledninger om, hvordan penetrationstest bør afgrænses, leveres og afsluttes. Pointen for ledelsen er, at afgrænsningen er en del af kvaliteten. En test med et stort omfang, som ikke rammer det, virksomheden er mest afhængig af, er dyr uden at være god. En test med et lille, præcist omfang kan give mere. → Ledelsens valg og omfanget

Spørgsmål, der siger mere end prisen

Når ledelsen sammenligner tilbud, kan den stille spørgsmål, der viser, om opgaven passer. De samme spørgsmål kan stilles til det dyreste og det billigste tilbud:

Hvad skal testen svare på? · har leverandøren forstået formålet, og står det i tilbuddet?
Hvad er med, og hvad er ikke? · dækker omfanget det, ledelsen har udpeget som vigtigst?
Hvor lang tid er afsat? · og hvad sker der, hvis testeren finder noget, der kræver mere tid?
Hvem udfører arbejdet? · og har de erfaring med den type opgave?
Hvad får ledelsen? · et resumé, ledelsen kan handle på, og en rapport, IT kan bruge?

Svarene giver et bedre grundlag for at vælge end prisen. Hvis det dyreste tilbud svarer bedst, er det et godt valg. Hvis ikke, er det bare dyrt. Spørgsmålene til det billigste tilbud, hvor risikoen er den modsatte, er beskrevet for sig. → Det billigste tilbud

Når den dyre test er den rigtige

Der er situationer, hvor en større og dyrere test er den rigtige. Det kan være, når virksomheden har mange systemer, der hænger sammen, når et nyt system skal i drift med kunders data, eller når en tidligere test har vist alvorlige problemer, der kræver dybere undersøgelse. I de tilfælde er prisen et udtryk for et større spørgsmål, ikke for en bedre test.

Det afgørende er, at ledelsen kan forklare, hvorfor omfanget er valgt. Kan den det, er prisen en konsekvens af en beslutning. Kan den ikke, er prisen blevet beslutningen. En enkel prøve er at forklare valget for bestyrelsen uden at nævne beløbet. Hvis forklaringen holder, er valget truffet på det rigtige grundlag. → Er testen pengene værd?

Et tænkt eksempel

En virksomhed, der driver et netværk af ladestandere til elbiler, har fået tre tilbud på en sikkerhedstest. Det dyreste omfatter hele virksomhedens IT, herunder kontorsystemer og hjemmesiden. Det mellemste er afgrænset til betalingssystemet og styringen af standerne. Det billigste omfatter kun hjemmesiden.

Direktøren er først tilbøjelig til at vælge det dyreste. Bestyrelsesformanden spørger, hvad der ville gøre mest skade, hvis det blev misbrugt. Svaret er betalingen og muligheden for at slukke standerne. Det mellemste tilbud dækker netop det, og det giver testeren mere tid på de to områder end det dyreste. Ledelsen vælger det mellemste og planlægger en senere test af kontorsystemerne. Formanden noterer, at valget er begrundet i, hvad virksomheden er mest afhængig af, og at begrundelsen skal stå i beslutningsoplægget.

Det skal I lade være med

At vælge efter prisen alene · hverken den højeste eller den laveste siger, om opgaven passer.
At sammenligne tilbud, der dækker noget forskelligt · få omfanget beskrevet, så de kan sammenlignes.
At betale for omfang, I ikke har brug for · start med det vigtigste.
At bruge prisen som forsikring mod kritik · en begrundet beslutning er et bedre forsvar.
At glemme budgettet til rettelser · en dyr test uden midler til opfølgning giver lidt.

Hvad kan og ikke kan konkluderes

Prisen på en sikkerhedstest afspejler omfang, tid, tidspunkt, leverance og leverandørens forhold. Den kan ikke bruges som mål for, om testen passer til ledelsens spørgsmål. Ledelsen får mest ud af sit budget ved at vælge det tilbud, der bedst svarer på det, den vil vide, uanset om det er det dyreste, det billigste eller et sted imellem. → Budget til rettelser

Tjekliste før valget af tilbud

☐ Er formålet med testen skrevet ned, før tilbuddene sammenlignes?
☐ Dækker hvert tilbud det, ledelsen har udpeget som vigtigst?
☐ Er det beskrevet, hvor lang tid testeren har?
☐ Kan ledelsen forklare, hvorfor det valgte omfang er det rigtige?
☐ Er der afsat budget til at rette det, testen finder?

Kilder

CREST, Implementation, procurement guides and resources: CREST som nonprofitorganisation registreret i Storbritannien; vejledninger om, hvordan penetrationstest bør afgrænses, leveres og afsluttes.

Senest gennemgået: oktober 2026.