Én stor test eller flere mindre?

Når budgettet til sikkerhedstest er lagt, skal ledelsen beslutte, hvordan det bruges. Det kan gå til én bred test, der dækker flere systemer på én gang, eller til flere mindre test, der fordeles over året eller over flere år. Ingen af dem er bedst i alle situationer. Valget hviler på to ting: hvor meget virksomheden kan nå at rette efter en test, og hvor tæt systemerne hænger sammen. Kan I rette meget på én gang, og hænger systemerne tæt sammen, taler det for den store test. Er kapaciteten begrænset, og ændrer systemerne sig løbende, taler det for flere mindre.

Hvad den store test giver

En bred test giver et samlet billede. Den kan vise, hvordan en svaghed ét sted kan føre videre til noget vigtigere et andet sted, fordi testeren ser flere systemer i sammenhæng. Det kan være netop de sammenhænge, der gør en svaghed alvorlig for forretningen. En mindre fejl i et system, der ikke i sig selv rummer noget vigtigt, kan få en anden betydning, hvis den giver adgang videre til økonomien eller kundedata. Den slags kan være svær at få øje på, når hvert system ses for sig.

Ét samlet billede · nemmere at præsentere for bestyrelsen og bruge i risikovurderingen.
Sammenhænge · svagheder, der kun er alvorlige i kombination, kan blive synlige.
Én forberedelse · afgrænsning, adgange og orientering sker én gang.
Ét tidspunkt at forholde sig til · for kunder og samarbejdspartnere, der spørger. → Én test, flere modtagere

Bagsiden af den store test

Den store test kan også give en lang række fund på én gang. Hvis IT og leverandører ikke har kapacitet til at håndtere dem, kan resultatet blive en lang liste, der kun langsomt bliver kortere. I mellemtiden ændrer systemerne sig, og billedet bliver gammelt. → IT har ikke kapacitet til at rette

NCSC i Storbritannien gør opmærksom på, at der ofte kan gå et år eller mere mellem to test, og at svagheder i den periode kan eksistere uden at blive opdaget. En stor test, der kun gennemføres en gang imellem, efterlader lange perioder, hvor ændringer ikke bliver afprøvet. Den kræver også meget af organisationen på én gang, og det kan være svært at finde et tidspunkt, hvor det passer.

Hvad flere mindre test giver

Flere mindre test kan følge forretningens ændringer. Når et nyt system tages i brug, eller en leverandør skiftes, kan det testes, mens det er aktuelt. Fundene kommer i mindre portioner, som er lettere at håndtere. For ledelsen betyder det også, at sikkerhed bliver et emne, der dukker op flere gange om året, i stedet for én gang. Det kan gøre det lettere at holde opmærksomheden, men det kræver, at nogen samler trådene, så de mindre resultater ikke bare bliver enkeltstående rapporter.

Passer til kapaciteten · IT kan rette, før næste test kommer.
Følger ændringerne · nye systemer testes, mens de er nye.
Mere fleksibelt · prioriteringen kan justeres undervejs. → Hvad skal testes først?
Jævnere udgift · budgettet fordeles over året.

Bagsiden af de mindre test

Mindre test kan miste sammenhængen. Hvis hvert område testes for sig, er der en risiko for, at ingen ser, hvordan de hænger sammen. Hver test har også sin egen forberedelse, sine egne møder og sin egen rapport, så den samlede indsats internt kan blive større. Og der er en risiko for, at de mindre test altid falder på de områder, der er lettest at afgrænse, mens de sværere udskydes.

Ledelsen bør derfor holde øje med, at summen af de mindre test faktisk dækker det vigtigste over tid. Det kan ske ved at bede IT om en enkel oversigt, der viser, hvilke områder der er testet hvornår, og hvilke der endnu ikke er kommet med. Oversigten gør det også lettere at forklare bestyrelsen, hvordan indsatsen er fordelt. → Kronjuvelerne

Hvad ledelsen bør vægte

Valget kan tages ud fra fem spørgsmål.

Kapacitet · kan vi rette mange fund på én gang, eller går det bedre i mindre portioner?
Sammenhæng · hænger de vigtigste systemer tæt sammen, så en samlet test giver mere?
Forandringstempo · ændrer systemerne sig ofte, så et samlet billede hurtigt bliver forældet?
Ydre krav · ønsker kunder eller samarbejdspartnere et samlet billede på et bestemt tidspunkt?
Budgetrytme · passer en stor udgift eller flere mindre bedst til den måde, virksomheden budgetterer på? → Fast budgetpost eller enkeltstående udgift?

En mulig mellemvej er en kombination: en bredere test med jævne mellemrum, der giver det samlede billede, og mindre test imellem, når noget nyt kommer til. Det kræver en plan, så de to typer supplerer hinanden og ikke dækker det samme to gange. → Flerårig testplan

Et tænkt eksempel

En kæde af optikerbutikker med fælles bookingsystem, webshop og kontornet har budget til sikkerhedstest i år. IT foreslår én stor test af det hele i foråret. Økonomidirektøren spørger, om IT kan nå at rette alt det, en så bred test kan finde, når der samtidig skal åbnes nye butikker.

Direktionen beslutter at dele indsatsen. I foråret testes bookingsystemet og webshoppen samlet, fordi de deler kundedata og hænger tæt sammen. Kontornettet testes i efteråret, når de nye butikker er åbnet. Året efter planlægges en bredere test, der ser på alle dele i sammenhæng. Direktionen noterer, hvorfor indsatsen blev delt, så valget kan tages op igen. Testeren af kontornettet får adgang til forårets resultat, så sammenhængen mellem de to dele ikke går tabt.

Det skal I lade være med

At vælge den store test uden kapacitet til at rette · så bliver listen gammel.
At dele alt op i små bidder · så forsvinder sammenhængen.
At lade de mindre test falde på det letteste · tjek, at det vigtigste kommer med.
At glemme den samlede indsats internt · hver test kræver forberedelse.
At beslutte uden en plan · kombinationen virker kun, når den er tænkt igennem.

Hvad kan og ikke kan konkluderes

Der er ikke én rigtig måde at fordele testen på. En stor test giver sammenhæng og et samlet billede, men kræver kapacitet. Flere mindre test følger ændringerne og passer til en begrænset kapacitet, men kan miste helheden. Valget afhænger af virksomhedens systemer, organisation og budget, og det bør tages op igen, når de ændrer sig. Hvad der påvirker omfanget af den enkelte opgave, står under pris og tilbud.