Når ledelsen først har bestilt en sikkerhedstest, melder det næste spørgsmål sig: skal den have en fast plads i budgettet, eller skal den besluttes hver gang, der opstår et behov? Begge dele kan forsvares. Valget hviler på, hvor meget virksomhedens systemer ændrer sig, hvor tit kunder og samarbejdspartnere spørger, og hvor let det er at få penge bevilget midt i året. En mellemvej kan være det mest holdbare: en fast ramme til det planlagte og en mulighed for at bevilge ekstra, når noget særligt sker.
To måder at tænke på
En fast budgetpost betyder, at der hvert år er afsat et beløb til sikkerhedstest, ligesom der er afsat penge til revision, forsikring eller vedligeholdelse af bygninger. Testen bliver en del af driften. En enkeltstående udgift betyder, at testen behandles som et projekt, der skal begrundes og godkendes, hver gang den er aktuel.
Ingen af de to er rigtig i sig selv. Spørgsmålet er, hvilken af dem der passer til virksomhedens måde at styre på, og hvilken der giver den bedste sikkerhed for, at testen faktisk bliver til noget. → Sådan budgetterer ledelsen med sikkerhedstest
En fast post: for og imod
- Kontinuitet · testen bliver ikke glemt, når andre emner fylder i ledelsen.
- Planlægning · IT og leverandører kan lægge testen ind i årets plan og forberede sig.
- Sammenligning · faste test over tid gør det lettere at følge udviklingen. → Værdi over flere år
- Mindre forhandling · IT skal ikke kæmpe for pengene hver gang.
- Signal · en fast post viser organisationen, at ledelsen tager emnet alvorligt.
NCSC i Storbritannien gør opmærksom på, at der ofte kan gå et år eller mere mellem to penetrationstest, og at svagheder i den periode kan eksistere uden at blive opdaget. En fast post løser ikke det problem alene, men den gør det mindre sandsynligt, at mellemrummet bliver endnu længere, fordi ingen fik testen med i budgettet.
Bagsiden er, at en fast post kan blive en vane. Hvis beløbet bare overføres fra år til år, og testen hvert år dækker det samme, mister den sin skarphed. Den kan også blive brugt, fordi den er der, ikke fordi den er relevant. Og en fast post kan give en falsk tryghed: ledelsen ved, at der testes, men spørger ikke længere, hvad der testes, og om det stadig er det vigtigste. → Har vi testet én gang, er vi dækket
Fordele og ulemper ved enkeltstående udgifter
Når testen besluttes fra gang til gang, skal behovet begrundes. Det tvinger ledelsen til at tage stilling til, hvad testen skal svare på, og det gør det let at tilpasse den til en ny situation: et nyt system, et krav fra en kunde, et opkøb af en ny afdeling eller en flytning af driften til en anden leverandør.
Ulempen er, at testen nemt bliver udskudt. Der er altid noget andet, der haster, og en udgift, der ikke står i budgettet, skal tages fra en anden post. Testen kan derfor ende med at ske, når der er et ydre pres, og ikke når der er tid til at rette fundene bagefter. Det kan også gøre det sværere for IT at planlægge, fordi ingen ved, om testen bliver til noget i år.
Mellemvejen
De to kan med fordel kombineres. Det kan se sådan ud:
- En fast ramme · til de planlagte test, som følger en plan over flere år. → Flerårig testplan
- Et tema hvert år · rammen bruges på det område, der er vigtigst lige nu, ikke på det samme hver gang.
- En aftalt adgang til ekstra midler · hvis der sker store ændringer, som ikke var kendt, da budgettet blev lagt.
- En årlig vurdering · ledelsen spørger, om rammen stadig passer til virksomhedens risici.
Den britiske kodeks for bestyrelsers styring af cyberrisici lægger op til, at risikovurderinger sker regelmæssigt og afspejler ændringer i forretning, teknologi og trusler. Den årlige vurdering af rammen er en praktisk måde at gøre netop det for testens vedkommende. Hvem der beslutter rytmen, er et særskilt spørgsmål. → Hvem bestemmer, hvor ofte vi tester?
Et tænkt eksempel
En kæde af fitnesscentre har to år i træk bestilt en test, efter at en større samarbejdspartner har spurgt til sikkerheden. Begge gange er testen bestilt med kort varsel, og rettelserne er gledet, fordi der ikke var budget til dem.
Ved budgetlægningen foreslår økonomichefen en fast ramme, der dækker en planlagt test og en reserve til rettelser. Direktionen accepterer, men med en betingelse: hvert efterår skal IT fremlægge, hvad rammen skal bruges på næste år, og hvorfor. Året efter bruges rammen på bookingsystemet, som er nyt. En opkøbt klubkæde kommer til midt i året, og her bevilges et ekstra beløb til at teste dens systemer, før de kobles sammen med resten. → Fra engangstest til fast praksis
Hvad bestemmer beløbet?
Uanset om testen er en fast post eller en enkeltudgift, afhænger beløbet af opgavens omfang: antallet af systemer, hvor komplekse de er, og hvilke betingelser testen skal foregå under. En fast ramme kan derfor ikke fastsættes én gang for alle. Den bør justeres, når systemerne ændrer sig. Det gælder især, når virksomheden vokser eller overtager andre forretninger, for så kan en ramme, der dækkede det vigtigste for to år siden, nu kun dække en del af det. Bed derfor om et nyt skøn, når systemlandskabet har ændret sig mærkbart. Hvordan opgaver vurderes, står under pris og tilbud.
Det skal I lade være med
- At overføre beløbet automatisk · tag stilling til indholdet hvert år.
- At teste det samme hver gang · brug rammen, hvor risikoen er størst nu.
- At lade enkeltudgifter afhænge af ydre pres · så kan testen komme på det forkerte tidspunkt.
- At glemme rettelserne · både den faste post og enkeltudgiften skal have en reserve.
- At se en fast post som en garanti · den sikrer, at der testes, ikke at det er det rigtige.
Hvad kan og ikke kan konkluderes
Valget mellem fast post og enkeltudgift handler om styring, ikke om sikkerhed i sig selv. En fast post gør det mere sandsynligt, at der bliver testet. Den siger intet om, hvorvidt testen rammer det vigtigste. Enkeltudgifter giver fleksibilitet, men kræver en ledelse, der selv tager initiativet. Hvilket valg der passer, afhænger af virksomhedens størrelse, forandringstempo og budgetkultur.
Tjekliste til valget
- ☐ Ændrer vores systemer sig så ofte, at en fast rytme giver mening?
- ☐ Har vi tidligere udskudt test, fordi pengene manglede?
- ☐ Hvis vi vælger en fast post, hvem tager så stilling til indholdet hvert år?
- ☐ Er der en vej til ekstra midler, hvis noget uventet sker?
- ☐ Er rettelser og kontrol med i beløbet?
Kilder
- NCSC, Penetration testing: at der ofte kan gå et år eller mere mellem to test, og at svagheder kan eksistere længe uden at blive opdaget.
- NCSC og UK Government, Cyber Governance Code of Practice: A5 om regelmæssige risikovurderinger, der afspejler nylige ændringer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Sådan budgetterer ledelsen med sikkerhedstest · Hvem bestemmer, hvor ofte vi tester?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
