Hvordan ved ledelsen, om svarene fra IT er gode nok?

En ledelse uden teknisk baggrund kan ikke efterprøve, om IT har ret. Den kan derimod godt vurdere, hvordan svaret er bygget. Et godt svar er konkret: det nævner, hvad der er undersøgt, hvornår, af hvem, og hvad der mangler. Et svar, der mest skal berolige, er generelt: det fortæller, at tingene er under kontrol, uden at sige, hvordan man ved det. Forskellen kan høres uden at forstå teknikken, og den er det bedste redskab, ledelsen har, når den skal afgøre, om den kan stå inde for det, den får at vide, eller om den skal bede om mere.

Det handler ikke om at fange IT i en fejl. Et beroligende svar kan sagtens være ærligt ment. Det er bare ikke nok at træffe beslutninger på.

Kendetegn ved et konkret svar

Et svar, ledelsen kan bruge, har flere af disse træk:

Det er afgrænset · det siger, hvad svaret gælder, og hvad det ikke gælder.
Det er dateret · det fremgår, hvornår noget sidst er undersøgt.
Det har en kilde · det er klart, hvem der har undersøgt, og om det var IT selv eller en anden.
Det nævner det, der mangler · ingen virksomhed har styr på alt, og et svar uden forbehold er mistænkeligt.
Det kan dokumenteres · hvis ledelsen beder om at se grundlaget, findes det.

Et konkret svar kan godt indeholde dårlige nyheder. Det er tværtimod et godt tegn, når IT selv peger på huller. → Spørgsmål til IT-chefen

Kendetegn ved et beroligende svar

Et svar, der mest skal berolige, har andre træk:

Det er generelt · “vi har styr på det”, “det er standard”, “vi følger best practice”.
Det handler om indsats, ikke resultat · det fortæller, hvad der er købt eller indført, ikke hvad der er afprøvet.
Det er tidløst · det kunne være sagt for tre år siden og vil kunne siges om tre år.
Det skifter emne · et spørgsmål om test bliver besvaret med en beskrivelse af backup.
Det er teknisk tæt · så meget fagsprog, at ledelsen ikke kan stille et opfølgende spørgsmål.

Det sidste træk er værd at hæfte sig ved. Det britiske NCSC skriver i sine spørgsmål til bestyrelser, at det er et godt tegn, når den overordnede tilgang til sikkerheden let kan forklares og forstås af bestyrelsen, selv om der ligger tekniske detaljer bag. Hvis IT ikke kan forklare det enkelt, er det ikke ledelsens viden, der er problemet. → Sikkerhedssprog for ledere

Opfølgende spørgsmål, der skiller de to

Når et svar lyder beroligende, kan ledelsen spørge videre med enkle spørgsmål:

Hvordan ved vi det?
Hvornår har nogen sidst undersøgt det?
Var det os selv eller en anden?
Hvad har vi ikke undersøgt?
Hvad ville vi gøre, hvis det viste sig ikke at holde?

Spørgsmålene virker, fordi de ikke kræver teknisk viden at stille eller at vurdere. Et konkret svar bliver mere konkret af dem. Et beroligende svar bliver tydeligt beroligende. Hvis svaret på det første spørgsmål er “det har vi altid gjort”, ved ledelsen, at der mangler dokumentation. Det er ikke nødvendigt at stille alle fem hver gang. Et eller to kan være nok til at mærke, om der er noget under svaret. Spørgsmålene kan også sendes til IT før mødet, så svaret kan forberedes og ikke skal improviseres foran resten af ledelsen. → IT siger, at alt er i orden

Pas på, hvad ledelsen selv belønner

Svarenes kvalitet afhænger også af ledelsen. NCSC peger i de samme spørgsmål til bestyrelser på, at en organisation, der ser ud til at værdsætte fraværet af rapporterede problemer, giver folk et motiv til at tie om dem. Hvis ledelsen reagerer skarpt på dårlige nyheder, vil den få færre af dem, ikke færre problemer.

Ledelsen kan gøre det lettere at få ærlige svar ved at takke for dem, ved at skille spørgsmålet om, hvad der er galt, fra spørgsmålet om, hvem der har skylden, og ved at vise, at et svar med forbehold fører til hjælp og ikke til kritik. → Hvem har skylden for fundene?

Når farver og tal erstatter svaret

Nogle ledelsesrapporter om sikkerhed bruger farver, scorer eller andre samlede mål. De kan være nyttige som overblik, men de kan også gemme svaret. Grøn betyder noget forskelligt, alt efter hvem der har sat farven, og ud fra hvad. Spørg, hvad der skal til, for at en farve skifter, og hvem der har vurderet det. Et felt, der har været grønt i lang tid, fortjener samme opmærksomhed som et rødt: det kan betyde, at alt er i orden, men det kan også betyde, at ingen har kigget efter for nylig. Bed om at se, hvilke undersøgelser der ligger bag de grønne felter. → Rød, gul og grøn

Et tænkt eksempel

På et bestyrelsesmøde i en familieejet møbelproducent spørger et bestyrelsesmedlem, om fabrikkens styringssystemer er beskyttet. Direktøren giver ordet til IT-chefen, som svarer, at der er firewall, overvågning og en god leverandør.

Bestyrelsesmedlemmet spørger, hvornår det sidst er undersøgt, om nogen udefra har testet det, og hvad der ikke er dækket. IT-chefen svarer ærligt, at styringssystemerne aldrig er testet, og at leverandøren af maskinerne har fjernadgang, som IT ikke selv administrerer. Svaret er ikke beroligende, men det er brugbart, og bestyrelsesmedlemmet takker for det. Bestyrelsen beder direktionen komme med et forslag til, hvordan fjernadgangen og styringssystemerne kan blive undersøgt.

Det skal I lade være med

At tage et teknisk svar som et godt svar · kompliceret er ikke det samme som grundigt.
At straffe et ærligt svar med forbehold · så får I færre af dem.
At nøjes med farver · spørg, hvad de bygger på.
At stille de opfølgende spørgsmål som et forhør · stil dem nysgerrigt.
At glemme at følge op på det, der mangler · ellers var svaret spildt.

Hvad kan og ikke kan konkluderes

Ledelsen kan lære at skelne et konkret svar fra et beroligende, og det er nok til at vide, hvornår den skal bede om mere. Den kan ikke ud fra svaret alene vurdere, om IT’s tekniske vurdering er rigtig. Det kræver en undersøgelse, og når svaret skal bære over for andre, bør den undersøgelse komme fra nogen uden for driften. → Et uafhængigt blik

Tjekliste til næste svar fra IT

☐ Ved vi, hvad svaret gælder, og hvad det ikke gælder?
☐ Ved vi, hvornår det sidst er undersøgt, og af hvem?
☐ Har IT nævnt noget, der mangler?
☐ Kan svaret dokumenteres, hvis vi beder om det?
☐ Har vi reageret på svaret på en måde, der gør det lettere at få det næste?

Kilder

NCSC (UK): Board Toolkit, Questions for the board to ask about cyber security: en overordnet tilgang, der let kan forklares og forstås af bestyrelsen, som godt tegn; at værdsætte fravær af rapporterede problemer giver et motiv til at tie.

Senest gennemgået: oktober 2026.