Fra engangstest til fast praksis

Den første sikkerhedstest kan være bestilt af en helt bestemt grund: en kunde spurgte, bestyrelsen var urolig, eller et nyt system skulle i drift. Når den grund er væk, er der intet, der sørger for, at den næste test bliver til noget. Svaret på, hvordan test bliver en fast praksis, hviler på en ledelsesbeslutning med fire dele: en fast ejer, besluttede anledninger til at teste, en plads i budgettet og en vane med at bruge resultatet i næste beslutning. Hvor ofte der testes, er en del af det, men ikke det vigtigste.

Hvorfor én test ikke er nok

En sikkerhedstest viser, hvordan det så ud, da den blev udført. Bagefter ændrer systemerne sig, nye leverandører kommer til, medarbejdere skifter, og de trusler, virksomheden står over for, udvikler sig. Det britiske National Cyber Security Centre (NCSC) skriver i sit materiale til bestyrelser, at angribere tilpasser sig og udvikler sig, og at sikkerheden derfor skal gøre det samme. Derfor er det vigtigt at teste, om sikringerne virker, og at gennemgå dem regelmæssigt.

For ledelsen betyder det, at en enkelt test besvarer et spørgsmål på et bestemt tidspunkt. Den siger ikke noget om, hvordan det står til et år senere. Det er ikke en svaghed ved testen, men en del af, hvad en test er. → Måler testen sikkerhedsniveauet?

Hvad der kendetegner en fast praksis

Forskellen mellem en række enkeltstående test og en praksis er ikke antallet af test. Det er, om der er en sammenhæng. I en praksis ved ledelsen, hvorfor den næste test skal ske, hvad den skal svare på, og hvordan resultatet bliver brugt. En lille virksomhed med én test om året kan have en praksis, mens en større virksomhed med mange test kan mangle den, hvis hver bestilling sker for sig uden en fælles plan og uden en fælles ejer.

Fire kendetegn er værd at se efter:

En fast ejer · en person i ledelsen, der har ansvaret for testene som helhed og ikke kun for den enkelte bestilling.
Besluttede anledninger · det er aftalt på forhånd, hvilke begivenheder der udløser en test.
En plads i budgettet · testene og rettelserne bagefter er planlagt og ikke noget, der skal kæmpes for hver gang.
Læring fra gang til gang · resultatet af én test påvirker indholdet af den næste.

Beslut anledningerne

En fast rytme er let at planlægge, men den fanger ikke alt. Nogle af de vigtigste grunde til at teste er begivenheder: et nyt system, en ny leverandør, en større ændring i netværket, en fusion af afdelinger eller en sikkerhedshændelse. Når anledningerne er besluttet på forhånd, skal ingen argumentere for en test, når de opstår.

Ledelsen kan formulere anledningerne som en kort liste og lade den indgå i virksomhedens principper for sikkerhed. Hvor ofte der bør testes i en fast rytme, og hvad der påvirker det, er beskrevet på penetrationtest.dk. Selve beslutningen om rytmen hører til ledelsen. → Hvem bestemmer, hvor ofte der testes? · → Hvad bør sikkerhedspolitikken sige om test?

Fra enkeltbudget til fast post

Når hver test skal finansieres for sig, bliver den let udskudt, når året er presset. En fast post i budgettet, eller en flerårig plan med de test, der forventes, gør det lettere at holde fast. Planen kan ændres, når virksomheden ændrer sig, men den giver et udgangspunkt. Den gør det også lettere for IT at forberede sig, fordi testene ikke kommer som en overraskelse midt i et travlt kvartal, og den giver bestyrelsen noget at følge op på.

Husk, at posten skal dække mere end selve testen. Rettelser, efterprøvning og den tid, egne folk bruger, hører med. Omfanget af den enkelte test afhænger blandt andet af, hvor mange systemer der indgår, og hvor dybt de skal undersøges. Det kan ledelsen få belyst, før posten fastlægges, se pris og tilbud. → Sikkerhedstest som fast budgetpost · → En flerårig testplan

Gør læringen til en vane

En test, der ikke ændrer noget, er spildt. I en fast praksis bliver resultatet brugt tre steder: i risikovurderingen, i bestillingen af næste test og i de beslutninger, ledelsen træffer om systemer og leverandører. Det sker ikke af sig selv. Det kræver et fast punkt, hvor ledelsen ser tilbage på testen og beslutter, hvad der skal ændres.

Et sådant punkt kan ligge i forbindelse med den årlige gennemgang af risici eller i bestyrelsens årshjul. Spørgsmålene kan være enkle: Svarede testen på det, vi ville vide? Blev de alvorlige fund rettet og efterprøvet? Hvad skal den næste test undersøge, som denne ikke gjorde? Det vigtige er, at det ligger fast, og at det fører til konkrete ændringer. → Lærte vi noget?

Et tænkt eksempel

En virksomhed, der udlejer entreprenørmaskiner, fik sin første test, fordi en stor kunde krævede det. Resultatet blev brugt, fundene blev rettet, og kunden fik sin dokumentation. Året efter var der ingen, der tænkte på at teste igen.

Den nye økonomidirektør spørger på et direktionsmøde, hvem der har ansvaret for sikkerhedstest. Direktionen beslutter, at økonomidirektøren bliver ejer, og at testene skal have en fast post i budgettet. Der aftales tre anledninger: en ny kundeportal, et skifte af IT-leverandør og en årlig test af det, der vender ud mod internettet. Efter hver test skal direktionen på sit næste møde tage stilling til, hvad der ændres i den næste bestilling. Bestyrelsen godkender principperne og får dem med i sit årshjul.

Det skal I lade være med

At lade kunden bestemme rytmen · kundens krav er et minimum, ikke en plan.
At gentage samme test hvert år uden at spørge · indholdet skal følge det, der har ændret sig.
At budgettere testen og glemme rettelserne · begge dele hører til posten.
At lade praksis afhænge af én person · ejerskabet skal være en rolle.
At undlade at se tilbage · uden læring bliver praksis til rutine.

Hvad kan og ikke kan konkluderes

En fast praksis gør det mere sandsynligt, at svagheder bliver fundet og håndteret, før de bliver brugt. Den gør ikke virksomheden sikker. Testene ser kun det, de bliver bedt om at se, og de skal stadig følges op. Men den gør det muligt for ledelsen at vise, at sikkerheden bliver kontrolleret løbende og ikke kun, når nogen spørger.