Flerårig testplan: sådan fordeler ledelsen indsatsen

Uden en plan bliver hver sikkerhedstest en ny beslutning fra bunden, og de områder, ingen taler om, bliver måske aldrig valgt. En flerårig testplan løser det ved at fordele virksomhedens vigtigste områder over en periode og knytte hver test til en forretningsmæssig begrundelse. Planen hviler ikke på et fast interval, men på to forhold: hvad virksomheden ikke kan undvære, og hvilke ændringer der er på vej.

For ledelsen er planen et styringsredskab. Den viser på én side, hvad der er undersøgt, hvad der står for tur, og hvad der bevidst er lagt til side. Den gør det også lettere at budgettere, fordi udgifterne kan ses flere år frem i stedet for at dukke op som en overraskelse.

En plan er mere end en vane

Nogle virksomheder har en vane i stedet for en plan. Hvert år testes det samme, fordi det blev testet sidste år. Vanen har den fordel, at testen ikke bliver glemt. Ulempen er, at ingen spørger, om noget har ændret sig, eller om andre områder burde have været med.

Den britiske myndighed NCSC skriver i sin vejledning om penetrationstest, at en test kun kan vise forholdene på selve testdagen, og at det ikke er usædvanligt, at der går et år eller mere mellem to test. En plan ændrer ikke ved det første. Den kan til gengæld sikre, at perioden mellem to test bruges bevidst, og at de vigtigste områder ikke venter længere, end ledelsen har valgt. → Hvem bestemmer, hvor ofte vi tester?

Hvad planen bør indeholde

Planen behøver ikke være lang. Den skal kunne læses af et bestyrelsesmedlem uden teknisk baggrund.

Områderne · de dele af forretningen, der skal undersøges, beskrevet med forretningens ord: webshoppen, ordresystemet, kontornettet, partnernes adgang.
Begrundelsen · hvorfor hvert område er med, fx fordi det rummer kundedata, fordi driften står stille uden det, eller fordi en kunde har krav til det.
Tidspunktet · hvilket år eller halvår området står for tur, og hvad der kan flytte det.
Udløsende begivenheder · de ændringer, der giver en ekstra test uden for planen, fx et nyt forretningssystem eller et skifte af driftsleverandør.
Fravalg · de områder, der ikke testes i perioden, og hvem der har besluttet det.
Ejeren · den person i ledelsen, der holder planen ved lige og svarer for den.

Fravalgene vejer lige så tungt som valgene. En plan, der kun viser det, der testes, giver let det indtryk, at alt er dækket. → Kronjuvelerne

Sådan fordeles områderne over årene

Begynd med det, virksomheden ikke kan undvære, og det, der er mest synligt for omverdenen. De områder bør ligge tidligt og vende tilbage med kortere mellemrum end resten. Områder med mindre betydning kan spredes over de følgende år.

Læg derefter de kendte ændringer ind. Skal ordresystemet udskiftes inden for planens periode, giver det ikke nødvendigvis mening at teste det gamle grundigt kort forinden, medmindre datoen er usikker. Er en ny kundeportal undervejs, hører testen hjemme før lanceringen og ikke i det år, hvor den passer bedst i budgettet. → Teste nu eller vente til efter omlægningen?

Se til sidst på belastningen af organisationen. To store test tæt på hinanden kan kræve mere af IT og leverandørerne, end de kan levere, og rettelserne fra den første risikerer at blive skubbet af den næste. Spred dem, så der er tid til opfølgning imellem. Om indsatsen skal samles i én test eller deles i flere mindre, er en beslutning for sig. → Én stor test eller flere mindre?

Planen skal kunne ændres

En plan, der ligger fast i flere år, bliver hurtigt forældet. Strategier justeres, leverandører skiftes, og nye kunder kommer med nye krav. Gennemgå derfor planen på et fast tidspunkt, som ledelsen selv vælger, fx når næste års budget lægges.

Skriv hver ændring ned med en begrundelse. Flyttes et område et år, skal det fremgå hvorfor, og hvem der traf beslutningen. Så kan bestyrelsen se, om planen tilpasses af gode grunde, eller om den langsomt udhules, fordi testen hvert år må vige for noget andet. → Sikkerhedstest som en del af strategien

Planen og budgettet

En flerårig plan gør udgifterne forudsigelige. Ledelsen kan se, hvilke år der er tunge, og hvilke der er lette, og den kan udjævne, hvis det er nødvendigt. Den kan også se, at rettelserne skal have plads i året efter en stor test, og ikke kun selve testen.

Udgiften det enkelte år afhænger af, hvor mange områder der er med, hvor grundigt de skal undersøges, og hvilken dokumentation der skal bruges bagefter. Når planen kendes på forhånd, kan de poster forhandles og godkendes samlet i stedet for én ad gangen. → Sådan budgetterer ledelsen med sikkerhedstest

Et tænkt eksempel

En regional kæde af byggemarkeder har en webshop, et fælles lager og et nyt kassesystem på vej. Ledelsen lægger en plan for tre år. Det første år undersøges webshoppen og betalingen, fordi de er mest udsatte. Det andet år er det kassesystemet, når det er indført i alle butikker. Det tredje år står kontornettet og leverandørernes adgang til lageret for tur. En ny portal for erhvervskunder skrives ind som en begivenhed, der udløser en ekstra test.

Halvvejs gennem det første år bliver kassesystemet forsinket. Testen af det flyttes, ændringen noteres med begrundelse, og bestyrelsen kan i referatet se, hvorfor rækkefølgen er ændret. Planen holder, fordi den var bygget til at blive justeret.

Det skal I lade være med

At lade planen være en liste over systemer · uden begrundelser kan ingen vurdere, om rækkefølgen er rigtig.
At låse planen fast · den skal følge forretningens ændringer, ikke kalenderen.
At glemme fravalgene · det, der ikke testes, skal også kunne ses.
At lægge store test oven i hinanden · rettelserne fra den ene bliver skubbet af den næste.
At lade IT eje planen alene · prioriteringen mellem forretningens områder hører til ledelsen.

Hvad kan og ikke kan konkluderes

En flerårig plan viser, at ledelsen har taget stilling til, hvad der undersøges hvornår, og hvad der er valgt fra. Den kan ikke forhindre, at der opstår svagheder i områder, der venter på deres tur, og den siger intet om resultatet af de test, den rummer. Planen er et udtryk for prioritering, ikke et bevis på sikkerhed.

Tjekliste til testplanen

☐ Er de vigtigste områder beskrevet med forretningens ord?
☐ Har hvert område en begrundelse og et tidspunkt?
☐ Står det i planen, hvilke begivenheder der giver en test uden for rækkefølgen?
☐ Står fravalgene i planen, og ved bestyrelsen, hvem der har truffet dem?
☐ Er der luft til rettelser mellem de store test?
☐ Har planen en ejer og et fast tidspunkt for gennemgang?

Kilder

NCSC, Penetration testing: at en test kun kan vise forholdene på testdagen, og at det ikke er usædvanligt, at der går et år eller mere mellem to test.

Senest gennemgået: oktober 2026.