Lærte vi noget? Ledelsens evaluering efter testen

Når de alvorlige fund er rettet, og status er taget af dagsordenen, er det fristende at betragte sikkerhedstesten som overstået. Men ingen har spurgt, om testen var det rigtige at gøre, og om den gav ledelsen det, den havde brug for. Svaret hviler på en kort evaluering, som ledelsen selv gennemfører: tre spørgsmål om formålet, brugen af resultatet og forløbet, og en beslutning om, hvad der ændres næste gang. Evalueringen handler ikke om, hvem der gjorde hvad forkert, men om, hvad virksomheden kan gøre bedre.

Hvorfor evalueringen er ledelsens opgave

Testeren kan sige noget om sin egen leverance, og IT kan sige noget om rettelserne. Men kun ledelsen kan vurdere, om testen hjalp med de beslutninger, den skulle understøtte. Det var ledelsen, der bestilte, betalte og stod inde for resultatet. Det er også ledelsen, der skal beslutte, om den næste test skal være anderledes.

Evalueringen er heller ikke det samme som afslutningsmødet med testeren. Det møde ligger, mens rapporten er ny, og handler om at forstå fundene. Evalueringen ligger senere, når rettelserne er gennemført, og det er muligt at se, hvad testen faktisk førte til. Først da kan ledelsen vurdere hele forløbet fra bestilling til afslutning.

Det amerikanske standardiseringsinstitut NIST beskriver i sit rammeværk for styring af cybersikkerhed, Cybersecurity Framework 2.0, at forbedringer af virksomhedens risikostyring bør identificeres ud fra evalueringer og ud fra sikkerhedstest og øvelser. Rammeværket er frivilligt og amerikansk, men tanken er enkel og passer til enhver virksomhed: en test er også en kilde til læring om den måde, virksomheden styrer sin sikkerhed på. → Udbyttet for ledelsen

Spørgsmål 1: var spørgsmålet rigtigt?

En test bliver bestilt for at svare på noget. Det kan være, om kundeportalen kan modstå et angreb udefra, om en ny leverandør har sat systemerne sikkert op, eller om en kunde kan få den dokumentation, den beder om. Evalueringen begynder med at finde det oprindelige spørgsmål frem og spørge, om det stadig var det rigtige, da resultatet kom.

Det kan vise sig, at testen svarede præcist på det, den blev bedt om, men at ledelsen bagefter opdagede, at den egentlig ville vide noget andet. Eller at testen var afgrænset så snævert, at det vigtigste system ikke var med. Begge dele er værdifuld viden til næste bestilling. Spørg også, om verden har ændret sig siden bestillingen. En ny kunde, et nyt system eller en hændelse hos en samarbejdspartner kan have gjort et andet spørgsmål vigtigere, og det skal med i den næste plan. → Hvad kan testen svare på?

Spørgsmål 2: blev resultatet brugt?

En test har kun værdi, hvis resultatet fører til noget. Evalueringen bør derfor se på, hvad der faktisk skete bagefter:

Rettelser · blev de alvorlige fund rettet og efterprøvet, og hvor lang tid tog det?
Beslutninger · ændrede resultatet prioriteringen, budgettet eller valget af leverandører?
Risikovurdering · blev resultatet ført ind i virksomhedens oversigt over risici?
Kommunikation · fik bestyrelse, kunder eller andre modtagere det, de havde brug for?

Hvis resultatet ikke blev brugt, er det vigtigere at forstå hvorfor end at bestille en ny test. Var rapporten svær at bruge, manglede der tid til rettelser, eller var der ingen, der havde ansvaret? Svaret afgør, om løsningen er en anden rapport, et andet budget eller en tydeligere fordeling af opgaverne. En ny test uden en af de tre ændringer vil sandsynligvis ende samme sted som den forrige. → Testresultatet i risikovurderingen året efter

Spørgsmål 3: hvordan gik forløbet?

Det tredje spørgsmål handler om selve forløbet set fra ledelsen. Kom testen på et tidspunkt, hvor organisationen kunne tage imod resultatet? Brugte egne folk mere tid end forventet? Var der forstyrrelser i driften, og var de forudset? Var kommunikationen med testeren klar, også når der dukkede noget alvorligt op undervejs?

Svarene siger noget om, hvordan næste test skal planlægges, og om aftalerne med testeren og leverandørerne skal ændres. De siger også noget om, om testen var pengene værd set i forhold til det, ledelsen fik ud af den. → Er testen pengene værd?

Fra evaluering til beslutning

Evalueringen skal ende med beslutninger, ellers er den kun en samtale. Skriv ned, hvad der ændres næste gang: formålet, omfanget, tidspunktet, budgettet til rettelser, fordelingen af ansvar eller kravene til rapporten. Beslutningerne bør ligge sammen med rapporten, så de er fremme, når den næste test skal bestilles. → Næste bestilling

Hold evalueringen kort. Et punkt på et direktionsmøde med de tre spørgsmål og et kort notat bagefter kan være nok. I en større virksomhed kan evalueringen forberedes af ejeren af testen og fremlægges for direktionen. Bestyrelsen kan få en kort orientering om konklusionerne, så den kan se, at erfaringerne bliver ført videre.

Et tænkt eksempel

En kæde af fitnesscentre har fået testet sit medlemssystem og sin app til booking af hold. Fundene er rettet, og direktionen sætter en evaluering på dagsordenen.

Under det første spørgsmål viser det sig, at testen blev bestilt for at kontrollere medlemsdata, men at betalingsløsningen, som håndteres af en ekstern leverandør, ikke var med. Under det andet viser det sig, at to alvorlige fund blev rettet hurtigt, mens et tredje ventede længe, fordi ingen havde afsat midler til leverandørens arbejde. Under det tredje fremgår det, at testen lå midt i en kampagne, hvor IT havde travlt. Direktionen beslutter, at næste test skal omfatte leverandørens del af betalingsløsningen, at der afsættes en reserve til rettelser, og at testen lægges uden for kampagneperioderne.

Det skal I lade være med

At springe evalueringen over, fordi fundene er rettet · læringen ligger også i formålet og forløbet.
At gøre evalueringen til en jagt på syndebukke · den handler om systemet, ikke personer. → Hvem har skylden for fundene?
At lade testeren evaluere sig selv alene · ledelsen skal vurdere, om testen hjalp den.
At ende uden beslutninger · skriv ned, hvad der ændres.
At gemme notatet et andet sted end rapporten · det skal findes, når næste test bestilles.

Hvad kan og ikke kan konkluderes

En evaluering kan vise, om testen svarede på det rigtige spørgsmål, om resultatet blev brugt, og hvad der skal ændres. Den kan ikke vise, om virksomheden er blevet mere sikker i almindelighed. Den viser kun, om denne test gjorde den forskel, ledelsen forventede.

Tjekliste til ledelsens evaluering

☐ Er det oprindelige formål med testen fundet frem?
☐ Er det vurderet, om resultatet førte til rettelser og beslutninger?
☐ Er forløbet vurderet set fra ledelsen og organisationen?
☐ Er beslutningerne om næste test skrevet ned?
☐ Ligger notatet sammen med rapporten?

Kilder

Cybersecurity Framework 2.0 (CSWP 29): kategorien Improvement (ID.IM), herunder ID.IM-01 om forbedringer ud fra evalueringer og ID.IM-02 om forbedringer ud fra sikkerhedstest og øvelser.

Senest gennemgået: oktober 2026.