Er testen pengene værd? Sådan vurderer ledelsen det

Ledelser er vant til at spørge, hvad en investering giver igen. For en sikkerhedstest er det svært at svare med et tal, fordi den vigtigste gevinst er noget, der ikke sker: et angreb, der ikke lykkes, eller en skade, der bliver mindre. Det kan ikke måles direkte. Spørgsmålet om værdi skal derfor stilles på en anden måde. En test er pengene værd, når den gør det muligt for ledelsen at træffe beslutninger, den ellers ikke kunne træffe, eller at træffe dem på et bedre grundlag. Det kan vurderes både før og efter testen.

Hvorfor afkastberegningen ikke virker

Det er fristende at regne baglæns: hvis et angreb ville koste så og så meget, og testen mindsker risikoen med en vis andel, så er testen værd så og så meget. Problemet er, at ingen af tallene kan fastsættes med nogen sikkerhed. Sandsynligheden for et angreb er ukendt, skaden afhænger af omstændighederne, og testens effekt afhænger af, hvad der sker bagefter. En beregning med gættede tal giver et svar, der ser præcist ud, men som ikke er det.

Det betyder ikke, at ledelsen skal opgive at vurdere værdien. Den skal blot bruge andre spørgsmål. I stedet for at spørge, hvad testen sparer, kan ledelsen spørge, hvad den ville have gjort uden testen, og om det ville have været et dårligere valg. Det spørgsmål kan besvares, fordi det handler om ledelsens egne beslutninger og ikke om hændelser, der måske aldrig ville være sket. → Kan sikkerhed måles?

Før testen: hvad ville vi gøre anderledes?

Det bedste spørgsmål før testen er enkelt: hvad vil vi gøre anderledes afhængigt af svaret? Hvis svaret er, at intet ændrer sig, uanset hvad testen viser, er det værd at overveje, om testen er den rigtige brug af pengene.

Gode svar kunne være:

Prioritering · vi vil bruge budgettet på det område, testen viser er svagest.
Investering · vi vil beslutte, om en planlagt løsning er nødvendig. → Sikkerhedstest eller nye sikkerhedsløsninger
Dokumentation · vi vil kunne svare kunder, bestyrelse eller forsikring på et bedre grundlag.
Leverandørstyring · vi vil stille krav til driftsleverandøren ud fra et uafhængigt billede.
Lancering · vi vil beslutte, om et nyt system er klar til kunderne.

Når ledelsen kan formulere sådan et svar, har den også et mål at vurdere testen op imod bagefter. Skriv svaret ned i bestillingen eller i referatet fra det møde, hvor testen blev godkendt. Det tager få minutter, og det gør den senere vurdering langt lettere, fordi ingen skal huske, hvad formålet var. → Ledelsens spørgsmål, før testen bestilles

Efter testen: hvad blev muligt?

Når resultatet foreligger, kan ledelsen se tilbage og spørge, hvad testen faktisk gjorde muligt.

Blev der truffet beslutninger? · om rettelser, investeringer, leverandører eller prioriteringer.
Blev de vigtigste fund rettet? · og er det kontrolleret?
Kunne vi svare bedre? · på spørgsmål fra kunder, bestyrelse eller forsikring.
Undgik vi en fejlinvestering? · eller fik vi bekræftet, at en investering var rigtig?
Lærte organisationen noget? · om sine systemer, sine leverandører eller sine egne processer.

NCSC i Storbritannien opfordrer til at bruge rapportens fund til at forbedre virksomhedens egne processer for at vurdere svagheder, ikke kun til at rette de enkelte fund. Det er en vigtig del af værdien, fordi den rækker ud over den konkrete test. → Lærte vi noget?

Tegn på, at testen ikke gav værdi

Det kan også gå den anden vej. Disse tegn viser, at pengene ikke blev udnyttet:

Rapporten blev ikke læst af ledelsen · resultatet nåede ikke dem, der skulle beslutte.
Fundene ligger urørt · der var ingen plan, ingen ejer eller intet budget.
Samme fund kommer igen · den underliggende årsag blev ikke håndteret. → Når de samme problemer vender tilbage
Testen svarede på et andet spørgsmål · end det, ledelsen havde brug for.

Ingen af disse tegn handler om testens kvalitet. De handler om, hvad virksomheden gjorde med den. Værdien skabes i lige så høj grad af ledelsen som af testeren. Hvis ledelsen ser disse tegn, er det derfor ikke testeren, der først skal skiftes ud. Det er arbejdsgangen omkring testen, der skal ændres: hvem modtager resultatet, hvem ejer opfølgningen, og hvem kontrollerer, at den sker.

Værdi over tid

En enkelt test giver et øjebliksbillede. Når den gentages, kan ledelsen se udviklingen: bliver der færre alvorlige fund, rettes de hurtigere, og kommer de samme problemer igen? Den britiske kodeks for bestyrelsers styring af cyberrisici lægger op til, at ledelsen sikrer sig, at strategien for cybersikkerhed bliver gennemført og når de tilsigtede resultater. Gentagne test kan være en del af ledelsens grundlag for at vurdere det. → Værdi over flere år

Et tænkt eksempel

En virksomhed, der leverer kantineordninger til andre virksomheder, får lavet sin første test af det system, kunderne bestiller i. Direktøren beslutter på forhånd, at testen skal bruges til at afgøre, om systemet kan udvides til en ny gruppe kunder.

Testen viser nogle forhold, der skal rettes, før udvidelsen. De rettes, og udvidelsen gennemføres et kvartal senere end planlagt. Direktøren kan ikke regne ud, hvad det sparede. Men ved næste bestyrelsesmøde kan direktionen forklare, hvilken beslutning testen understøttede, hvad der blev rettet, og hvordan det blev kontrolleret. Et bestyrelsesmedlem spørger, om resultatet havde været det samme uden testen. Direktøren svarer ærligt, at udvidelsen så var gennemført til tiden, men med forhold, ingen kendte. Bestyrelsen vurderer, at testen var pengene værd, fordi den gjorde en vigtig forretningsbeslutning mere sikker.

Det skal I lade være med

At regne et afkast ud med gættede tal · det giver falsk præcision.
At bestille en test uden at vide, hvad I vil bruge den til · så er værdien svær at finde.
At vurdere testen på antallet af fund · flere fund er ikke det samme som mere værdi.
At glemme opfølgningen · værdien opstår, når der handles.
At bedømme kun ud fra én test · værdien vokser, når den sættes ind i en plan.

Hvad kan og ikke kan konkluderes

Ledelsen kan vurdere, om testen var pengene værd, ved at se på de beslutninger, den gjorde mulige, og på hvad der skete bagefter. Den kan ikke vise, hvilke angreb der blev undgået, og den kan ikke give et afkast i kroner. Vurderingen er derfor et skøn, men et skøn med et klart grundlag, som kan forklares over for bestyrelsen.

Tjekliste: var testen pengene værd?

☐ Vidste vi før testen, hvad vi ville gøre anderledes afhængigt af svaret?
☐ Har testen ført til konkrete beslutninger?
☐ Er de vigtigste fund rettet og kontrolleret?
☐ Kan vi svare kunder og bestyrelse bedre end før?
☐ Har vi brugt resultatet til at forbedre vores egne processer?

Kilder

NCSC, Penetration testing: at rapportens fund bør bruges til at forbedre virksomhedens egne processer for at vurdere svagheder.
NCSC og UK Government, Cyber Governance Code of Practice: B4 om at sikre, at strategien gennemføres effektivt og når de tilsigtede resultater.

Senest gennemgået: oktober 2026.