Første gang en virksomhed får testet sine systemer, kan rapporten komme som et chok. Fundlisten er længere end ventet, flere forhold er markeret som alvorlige, og ordvalget lyder dramatisk. Det er normalt, og det siger mere om, at ingen har kigget efter før, end om at virksomheden er særlig dårligt stillet. Ledelsens opgave er at læse resultatet som et udgangspunkt for en plan, ikke som en karakter for det arbejde, der er gjort indtil nu.
Valget af, hvad der skal testes første gang, er beskrevet på penetrationtest.dk. Her handler det om, hvad der sker i ledelsen, når svaret kommer.
Hvorfor den første rapport kan være lang
Svagheder hober sig op over tid. Systemer bliver sat op under tidspres, midlertidige løsninger bliver permanente, og opdateringer bliver udskudt, fordi noget andet hastede. Ingen af delene er usædvanlige, og ingen af dem bliver synlige, før nogen ser efter.
En første test kan derfor samle flere års ophobning i én rapport. Den næste test kan handle mere om det, der er sket siden, og om de rettelser, der blev gennemført. Det er grunden til, at den første rapport ikke kan bruges som målestok for, hvordan sikkerheden vil se ud fremover.
Rapporten kan også virke voldsom, fordi den er skrevet til teknikere. Ord som kritisk og høj risiko beskriver den tekniske alvorlighed, ikke nødvendigvis betydningen for netop jeres forretning. Det er en oversættelse, ledelsen skal have hjælp til. → Fra teknisk fund til forretningsrisiko
Den første reaktion
Den første reaktion i en ledelse kan være en af tre: at søge en skyldig, at bagatellisere eller at ville have alt rettet med det samme. Alle tre er forståelige, og alle tre fører et forkert sted hen.
- At søge en skyldig · får IT og leverandører til at forsvare sig i stedet for at hjælpe med at løse problemerne. → Undgå jagten på syndebukke
- At bagatellisere · sender et signal om, at testen ikke var alvorligt ment, og at fundene kan vente.
- At kræve alt rettet nu · overbelaster IT, giver hastige løsninger og skubber det vigtigste ned blandt det mindre vigtige.
En bedre første reaktion er at stille tre spørgsmål: hvilke fund er de vigtigste for forretningen, hvad kræver de, og hvem ejer hvert af dem?
Det skal ledelsen se efter i resuméet
Ledelsen behøver ikke læse hele rapporten. Men den bør få svar på nogle få ting, før den tager stilling.
- De vigtigste fund · hvilke forhold har størst betydning, og hvilke systemer eller data rammer de?
- Akutte forhold · er der noget, der skal håndteres med det samme, og er det allerede i gang?
- Mønstre · peger flere fund på den samme årsag, fx manglende vedligeholdelse eller for mange brede rettigheder?
- Det positive · hvad virkede efter hensigten, og hvad kan der bygges videre på?
- Det, der ikke var med · hvilke systemer og spørgsmål lå uden for testen?
Mønstrene kan være det mest værdifulde for en ledelse. Ti fund med den samme årsag er et ledelsesspørgsmål om prioritering og arbejdsgange. Ti uafhængige fund er en opgaveliste til IT.
Et tænkt forløb
En virksomhed med en håndfuld kontorer får sin første test af kontornettet. Rapporten indeholder mange fund, heraf flere alvorlige. Direktøren bliver urolig og overvejer at skifte IT-leverandør.
På gennemgangen med testeren kan det vise sig, at de alvorlige fund skyldes to forhold: at gamle konti ikke er blevet lukket, og at for mange medarbejdere har brede rettigheder. Begge dele kan rettes inden for den eksisterende aftale, hvis ledelsen beslutter, hvem der godkender adgange fremover. Direktøren dropper leverandørskiftet og beder i stedet om en plan med frister. Det er en mindre dramatisk beslutning, men den løser problemet. → Hvornår er rettelserne gennemført?
Ansvaret for beslutningerne ligger hos jer
Den britiske myndighed NCSC skriver i sin vejledning om penetrationstest, at vurderingen af risikoen og beslutningen om, hvilke rettelser der gennemføres, er virksomhedens eget ansvar. Testeren foreslår, men beslutter ikke. Det gælder særligt første gang, hvis der er mange forslag, og hvor ikke alle kan gennemføres på én gang.
Ledelsen bør derfor forvente at skulle prioritere og at skulle acceptere, at nogle forhold venter. Det er ikke en svaghed i planen. Det er en del af den. Det vigtige er, at valget er synligt, og at det er truffet af nogen med mandat. → Afsæt penge til rettelserne
Hvad ledelsen siger til organisationen
Et første resultat bliver hurtigt kendt i IT-afdelingen og hos leverandøren, og måske også i resten af huset. Den måde, ledelsen omtaler det på, sætter tonen for opfølgningen. Hvis ledelsen taler om fiasko, vil folk holde fund for sig selv næste gang. Hvis ledelsen taler om et udgangspunkt, bliver det lettere at få ærlige svar om status.
Et kort budskab fra direktøren kan gøre en forskel: at testen blev bestilt for at finde det, der skulle findes, at resultatet viser, hvor indsatsen skal sættes ind, og at ledelsen har afsat tid og penge til opfølgningen. Det behøver ikke indeholde detaljer om fundene. Det skal vise, at ledelsen tager resultatet alvorligt uden at lede efter syndere.
Overvej også, hvem der skal kende detaljerne. Fundlisten kan beskrive svagheder, som ikke bør cirkulere bredt, før de er rettet. → Hvem i virksomheden skal kende resultatet?
Det skal I lade være med
- At læse antallet af fund som en karakter · den første rapport samler år af ophobning.
- At gøre resultatet til et personsag · det får folk til at forsvare sig i stedet for at rette.
- At kræve alt løst på én gang · prioritér efter betydning for forretningen.
- At sammenligne med næste års rapport uden forbehold · omfang og udgangspunkt kan være forskellige.
- At skjule resultatet for bestyrelsen · en første test med mange fund er en oplysning, ikke en skandale. → Testen skal bestås: en misforståelse
Hvad kan og ikke kan konkluderes
Et første resultat med mange fund viser, at der er arbejde at gøre, og giver ledelsen et udgangspunkt. Det viser ikke, at IT har svigtet, og det kan ikke bruges til at sammenligne med andre virksomheder. Et første resultat med få fund er heller ikke et frikendende svar. Det skal læses sammen med omfanget og de begrænsninger, rapporten beskriver.
Tjekliste til den første gennemgang i ledelsen
- ☐ Har vi fået et resumé, der er skrevet til ledelsen?
- ☐ Er de akutte forhold håndteret eller i gang?
- ☐ Har vi spurgt til mønstre og fælles årsager?
- ☐ Har hvert vigtigt fund en ejer og en frist?
- ☐ Har vi besluttet, hvad der kan vente, og skrevet det ned?
- ☐ Ved bestyrelsen, hvad testen viste, og hvad planen er?
Kilder
- NCSC, Penetration testing: at risikovurderingen og beslutningen om rettelser er virksomhedens eget ansvar, og at testerens forslag ikke er de eneste mulige løsninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Når resultatet er dårligt · Undgå jagten på syndebukke
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
