Fra teknisk fund til forretningsrisiko: den oversættelse ledelsen har brug for

En rapport fra en sikkerhedstest beskriver fund i et teknisk sprog og med en teknisk alvorlighed. Ledelsen skal træffe beslutninger i et andet sprog: hvad betyder det for driften, for kunderne, for data og for virksomhedens forpligtelser? Oversættelsen mellem de to sprog er afgørende. Et fund, der er markeret som kritisk, kan have begrænset betydning for jeres forretning, mens et fund med middel alvorlighed kan ramme det system, I ikke kan undvære en dag. Svaret på, hvad et fund betyder, hviler derfor på to ting: testerens tekniske vurdering og ledelsens viden om, hvad der står på spil.

Teknisk alvorlighed er ikke forretningsrisiko

Testere kan bruge en fælles skala til at vurdere, hvor alvorlig en svaghed er. En af dem er CVSS, som vedligeholdes af organisationen FIRST. Standardens egen beskrivelse er, at grundscoren afspejler en svagheds alvorlighed ud fra dens iboende egenskaber, og at den, der bruger scoren, bør supplere den med oplysninger om trusler og om sit eget miljø for at få et mere fuldstændigt grundlag for en risikovurdering i egen organisation.

For ledelsen betyder det, at scoren i rapporten kun er halvdelen af svaret. Den anden halvdel er jeres egen viden om, hvad systemet bruges til, hvem der er afhængige af det, og hvad det koster, hvis det svigter. Den viden har testeren ikke nødvendigvis fuldt ud. Det har ledelsen. Det er derfor ikke en kritik af testeren, når ledelsen vurderer et fund anderledes, så længe begrundelsen er skrevet ned. → Sikkerhedssprog for ledere

Fire spørgsmål, der oversætter et fund

Ledelsen kan oversætte et fund ved at stille fire enkle spørgsmål til IT eller testeren. Ingen af dem kræver teknisk viden.

Hvad rammes? · hvilket system, hvilke data og hvilken del af forretningen?
Hvad kan der ske? · kan data blive set, ændret eller slettet, eller kan noget gå i stå?
Hvem mærker det? · kunder, medarbejdere, samarbejdspartnere, myndigheder?
Hvad gør det ved os? · tabt omsætning, brudte aftaler, pligt til at underrette, skade på tilliden?

Svarene gør det muligt at sammenligne fund på tværs af systemer. To fund med samme score kan have meget forskellige svar på spørgsmål tre og fire, og det er dem, ledelsen skal prioritere efter. Svarene behøver ikke være præcise. Et groft skøn, som IT og ledelsen er enige om, er bedre end en præcis teknisk score, ingen i ledelsen kan forholde sig til.

Kronjuvelerne som målestok

Oversættelsen bliver meget lettere, hvis ledelsen på forhånd har gjort sig klart, hvilke systemer og data virksomheden ikke kan undvære. Den britiske kodeks for ledelse af cyberrisici lægger op til, at ledelsen sikrer sig, at de teknologier, oplysninger og tjenester, der er kritiske for virksomhedens mål, er identificeret, prioriteret og aftalt.

Når den liste findes, kan hvert fund holdes op imod den. Rammer fundet en af kronjuvelerne, eller åbner det en vej dertil? Så vejer det tungere, uanset den tekniske score. Listen bør ikke være lang. Hvis alt er en kronjuvel, er intet det, og så hjælper listen ikke med at prioritere. Rammer det et system, der kan undværes i en periode uden større skade, kan det måske vente. → Kronjuvelerne

Et tænkt eksempel

En virksomhed, der leverer måltider til plejehjem og institutioner, får en test med to fund, der bliver fremhævet. Det første er markeret som kritisk og vedrører en intern server, som bruges til arkiv og sjældent tilgås. Det andet er markeret som middel og vedrører systemet, hvor bestillinger fra kunderne kommer ind.

Ved første øjekast ser det kritiske fund vigtigst ud. Men når ledelsen stiller de fire spørgsmål, viser det sig, at fejl i bestillingssystemet kan betyde, at institutioner ikke får leveret mad. Det er en konsekvens, der rammer kunder direkte og kan bringe vigtige aftaler i fare. Ledelsen beslutter at håndtere bestillingssystemet først og at lade arkivserveren følge kort efter. Testerens vurdering er ikke forkert, men ledelsen har tilføjet den viden, kun ledelsen har. → Hvad står stille, hvis systemerne er nede?

Hvem gør hvad i oversættelsen

Oversættelsen er et samarbejde. Testeren beskriver fundet og vurderer den tekniske alvorlighed. IT forklarer, hvordan systemet bruges, og hvad en rettelse kræver. Ledelsen tilføjer forretningens perspektiv og træffer beslutningen.

Hvis en af parterne mangler, bliver oversættelsen skæv. Uden testeren mangler den faglige vurdering. Uden IT mangler kendskabet til systemerne. Uden ledelsen bliver prioriteringen teknisk, og det, der betyder mest for forretningen, kan ende nederst på listen. Et kort møde, hvor de tre parter gennemgår de vigtigste fund sammen, kan være nok til at få oversættelsen på plads. Resten kan IT og testeren klare uden ledelsen. → Hvad IT bør rapportere til ledelsen

Sådan ser det ud i ledelsens materiale

Når fundene er oversat, bør de fremgå af ledelsens materiale i forretningstermer. I stedet for en tabel med tekniske betegnelser kan det være en kort liste: hvilket forhold, hvilken konsekvens for forretningen, hvad ledelsen foreslår, og hvem der ejer det. Den tekniske betegnelse kan stå i en parentes til dem, der skal finde fundet i rapporten. Det samme materiale kan genbruges, når der rapporteres status, så ledelsen kan følge de samme forhold fra møde til møde.

Det gør det muligt for ledelsen og bestyrelsen at drøfte fundene som andre forretningsrisici og at holde dem op imod den risiko, virksomheden er villig til at leve med. → Risikovillighed

Det skal I lade være med

At prioritere efter den tekniske score alene · den siger ikke, hvad systemet betyder for jer.
At lade testeren afgøre forretningsrisikoen · testeren kender ikke jeres afhængigheder fuldt ud.
At oversætte uden IT · kendskabet til systemerne er nødvendigt for at vurdere konsekvensen.
At fjerne de tekniske betegnelser helt · de skal kunne genfindes, når der skal rettes.
At oversætte uden en liste over kronjuvelerne · så mangler målestokken.

Hvad kan og ikke kan konkluderes

Oversættelsen gør det muligt for ledelsen at prioritere fund efter deres betydning for forretningen. Den gør ikke risikoen mindre, og den kan ikke forudsige, om et fund bliver udnyttet. Vurderingen af konsekvenser bygger på ledelsens kendskab til virksomheden i dag, og den skal opdateres, når forretningen ændrer sig. Et fund, der i dag vurderes som mindre vigtigt, kan få større betydning, hvis systemet bliver taget i brug til noget nyt.

Tjekliste til oversættelsen

☐ Har vi en liste over de systemer og data, vi ikke kan undvære?
☐ Er hvert vigtigt fund holdt op imod listen?
☐ Har vi svar på de fire spørgsmål for de vigtigste fund?
☐ Har testeren, IT og ledelsen bidraget til vurderingen?
☐ Står fundene i ledelsens materiale som forretningsrisici med en ejer?

Kilder

FIRST, CVSS v4.0 Specification Document: at grundscoren afspejler en svagheds alvorlighed ud fra dens iboende egenskaber, og at brugerne bør supplere med oplysninger om trusler og eget miljø som grundlag for en risikovurdering.
NCSC og UK Government, Cyber Governance Code of Practice: A1 om at kritiske teknologier, oplysninger og tjenester er identificeret, prioriteret og aftalt.

Senest gennemgået: oktober 2026.