Ledelsen ved måske godt, hvilke oplysninger virksomheden ikke må miste, men ikke altid, hvem der i praksis kan nå dem. Svaret på titlens spørgsmål hviler på, hvordan testen afgrænses: en sikkerhedstest kan vise, om kundedata, tilbudsgrundlag, opskrifter eller tegninger kan nås af nogen, der ikke burde have adgang, men kun hvis ledelsen har sagt, hvad der skal beskyttes. Uden den udpegning tester man systemer, ikke værdier.
En test viser ikke, hvad oplysningerne er værd. Det er ledelsens egen vurdering. Testen viser, hvor tæt en angriber kan komme på dem, og hvad der står i vejen.
To slags værdier med hver sin konsekvens
Kundedata og forretningshemmeligheder er begge noget, virksomheden skal passe på, men konsekvensen ved at miste dem er forskellig.
- Kundedata · oplysninger om kunder, deres ordrer, kontrakter og eventuelt personoplysninger. Et tab rammer tilliden og kan udløse pligter over for kunder og myndigheder.
- Forretningshemmeligheder · priser, kalkulationer, tilbud, produktionsmetoder, kildekode og planer. Et tab rammer konkurrenceevnen, måske uden at nogen udenfor opdager det.
Den første slags opdages og omtales. Den anden kan forsvinde i stilhed. En konkurrent, der pludselig rammer jeres tilbudspriser præcist, eller en tidligere medarbejder, der tager kundelisten med til et nyt job, efterlader ikke nødvendigvis spor, som nogen ser med det samme. Det gør det svært at vide, om noget allerede er gået tabt, og det er en grund til at se på, hvem der kan nå oplysningerne, før skaden sker. Begge bør stå på ledelsens liste, når testen planlægges. → Kronjuvelerne
Loven forudsætter, at I selv passer på
Lov om forretningshemmeligheder beskytter kun oplysninger, der blandt andet under de givne omstændigheder er blevet underkastet rimelige foranstaltninger til hemmeligholdelse af den, der lovligt kontrollerer dem (§ 2, nr. 1, litra c). Hvad der er rimeligt, afgøres konkret, og en sikkerhedstest er hverken et krav i loven eller en garanti for beskyttelse.
For ledelsen er pointen en anden: hvis virksomheden en dag vil gøre gældende, at en hemmelighed er stjålet, kan det få betydning, hvad virksomheden selv har gjort for at beskytte den. Et dokumenteret arbejde med adgange og kontrol, hvor en test kan indgå, siger noget om omhu. Teksten er ikke juridisk rådgivning.
For personoplysninger nævner databeskyttelsesforordningens artikel 32 blandt andet en procedure for regelmæssig afprøvning, vurdering og evaluering af, om sikkerhedsforanstaltningerne er effektive. Det er en selvstændig sag med sine egne overvejelser. → Persondata og sikkerhedstest
Sådan peger ledelsen testen mod det rigtige
En tester, der ikke får besked, vil undersøge de systemer, der er nævnt i opgaven. Det er ikke det samme som at undersøge, om de vigtigste oplysninger kan nås. Ledelsen kan gøre forskellen ved at oversætte værdierne til spørgsmål, testen kan svare på.
- Udpeg oplysningerne · hvilke få typer oplysninger vil skade virksomheden mest, hvis de kommer ud?
- Find opbevaringen · hvor ligger de: i et fagsystem, på et fællesdrev, i en mailboks, hos en leverandør?
- Formuler spørgsmålet · kan en almindelig medarbejder, en tidligere ansat eller en udefrakommende nå dem?
- Aftal behandlingen · hvordan testeren må håndtere oplysningerne, hvis testeren når frem til dem, og hvad der skrives i rapporten.
Det sidste punkt er vigtigt. Testen skal vise, at oplysningerne kan nås, ikke flytte dem. Aftal på forhånd, at rapporten beskriver adgangen uden at gengive selve indholdet. → Ledelsens prioritering
Når hemmelighederne ligger hos andre
De vigtigste oplysninger kan ligge i systemer, som andre driver: et økonomisystem i skyen, en tegningsdatabase hos en leverandør eller kundekartoteket i et fagsystem. Det ændrer ikke ved, at det er virksomhedens egne værdier.
Her kan testen kun gå så langt, som aftalerne med leverandøren tillader. Ledelsen kan dog spørge, hvem hos leverandøren der har adgang, hvordan det kontrolleres, og om leverandøren selv har fået systemet testet. Svarene bør komme skriftligt. → Leverandørrisiko
Et tænkt eksempel
En rådgivende ingeniørvirksomhed beslutter at få testet sine systemer, fordi en større kunde spørger til sikkerheden. Direktionen lægger to ting på bordet: kundernes tegninger og virksomhedens egne kalkulationer bag tilbuddene.
Testen viser, at tegningerne er godt adskilt, men at kalkulationerne ligger på et fællesdrev, som alle medarbejdere og to eksterne konsulenter kan læse. Ingen havde tænkt over det, fordi drevet blev oprettet for mange år siden. Ledelsen beslutter, hvem der fremover skal have adgang, og hvem der godkender nye adgange. Fundet var ikke teknisk alvorligt, men for forretningen var det det vigtigste i rapporten. → Hvem har adgang til hvad?
Hvad ledelsen gør med svaret
Resultatet bliver først nyttigt, når ledelsen tager stilling til det. Et fund om, at for mange kan læse kalkulationerne, er ikke et IT-problem, der løses med en indstilling. Det rejser spørgsmål om, hvem der har brug for oplysningerne i det daglige, hvem der godkender adgang, og hvem der kontrollerer, at adgangen fjernes, når en medarbejder eller konsulent stopper.
Ledelsen bør derfor bede om tre ting efter testen: en kort beskrivelse af, hvilke af de udpegede oplysninger der kunne nås og af hvem, et forslag til, hvem der fremover ejer adgangen til hver type oplysninger, og en dato for, hvornår ændringerne er gennemført. Det giver også et bedre svar til kunder, der spørger, hvordan deres oplysninger er beskyttet.
Gentag øvelsen, når virksomheden ændrer sig. Nye forretningsområder, nye samarbejdspartnere og nye systemer kan flytte de vigtigste oplysninger til steder, ingen har tænkt over.
Det skal I lade være med
- At lade testen afgrænse sig selv · uden ledelsens udpegning får de vigtigste oplysninger ikke nødvendigvis opmærksomhed.
- At glemme forretningshemmelighederne · kundedata kan få al opmærksomheden, mens kalkulationer og tegninger overses.
- At lade rapporten gengive indholdet · den skal vise adgangen, ikke hemmeligheden.
- At antage, at oplysninger hos en leverandør er leverandørens problem · værdien er stadig jeres.
- At bruge testen som bevis for, at alt er beskyttet · den dækker kun det afprøvede.
Hvad kan og ikke kan konkluderes
En test kan vise, om bestemte oplysninger kan nås af nogen, der ikke burde have adgang, inden for testens rammer og i testperioden. Den kan ikke vise, om oplysningerne allerede er kopieret, om en medarbejder med lovlig adgang misbruger dem, eller om virksomhedens beskyttelse vil blive anset for tilstrækkelig i en konkret sag. → Fra teknisk fund til forretningsrisiko
Tjekliste før testen bestilles
- ☐ Har ledelsen udpeget de oplysninger, virksomheden ikke må miste?
- ☐ Ved I, hvor de ligger, også hos leverandører?
- ☐ Er det formuleret, hvem der ikke må kunne nå dem?
- ☐ Er det aftalt, hvordan testeren håndterer oplysningerne og beskriver dem i rapporten?
- ☐ Er der en person i ledelsen, der beslutter, hvem der skal have adgang fremover?
Kilder
- Lov om forretningshemmeligheder: § 2, nr. 1, litra c om rimelige foranstaltninger til hemmeligholdelse som betingelse for, at oplysninger er en forretningshemmelighed.
- Databeskyttelsesforordningen (EU) 2016/679: artikel 32, stk. 1, litra d om regelmæssig afprøvning, vurdering og evaluering af sikkerhedsforanstaltningernes effektivitet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Hvem har adgang til hvad? · Leverandørrisiko
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
