Ledelsen behøver kun at vide, om det er godt eller skidt

Efter en sikkerhedstest vil en travl ledelse gerne have det korte svar: står det godt eller skidt til? Ønsket er rimeligt. Ledere skal tage stilling til andre emner end sikkerheden, og de har ikke tid til at læse en teknisk rapport. Men et svar i ét ord giver ikke ledelsen noget at beslutte ud fra. Godt i forhold til hvad, og skidt for hvem? Det, ledelsen har brug for, er ikke en dom, men et kort svar på de spørgsmål, der fører til en beslutning. Det kan godt være kort. Det kan bare ikke være binært.

Hvorfor det korte svar er fristende

Der er en god grund til ønsket. Ledelsen er vant til at få nøgletal og konklusioner fra andre fagområder, og et klart svar gør det lettere at gå videre til næste punkt. Hertil kommer, at sikkerhed kan virke uoverskuelig, og at et samlet svar lover at gøre den håndterlig.

Den, der fremlægger, kan også have en interesse i at forenkle. Det kan være mere behageligt at sige, at det overordnet ser fornuftigt ud, end at gå i detaljer, ledelsen måske ikke forstår. Begge sider kan derfor ende i et ja eller nej, der føles effektivt, men som skjuler det, der betyder noget. Ingen af dem har gjort noget forkert. De har bare valgt den form, der er lettest at håndtere i et mødelokale med en lang dagsorden.

Hvad et ja eller nej skjuler

Et samlet svar slår meget forskellige forhold sammen. Det kan skjule mindst fire ting, som ledelsen har brug for at vide:

Hvad der blev testet · et godt resultat på et lille område siger ikke noget om resten.
Hvad det betyder for forretningen · et teknisk alvorligt fund kan have lille betydning, og omvendt.
Hvad der skal besluttes · nogle fund kan rettes af IT, andre kræver penge eller ændringer, som ledelsen skal godkende.
Hvad der er usikkert · testen har grænser, og de forsvinder i et samlet svar.

Den organisation, der står bag det fælles system til at vurdere sårbarheders alvor, FIRST, beskriver selv, at systemets point viser alvoren af en sårbarhed i forhold til andre. Forhold som påvirkning af kunder, økonomiske tab og omdømme ligger uden for det, pointene dækker. Hvis selv et etableret system til at vurdere alvor ikke kan stå alene, kan et ja eller nej det heller ikke. → Fra fund til forretningsrisiko

Hvad ledelsen bør bede om i stedet

Ledelsen kan få et kort svar, der er brugbart, hvis den beder om de rigtige ting. Et godt resumé til ledelsen kan besvare fem spørgsmål på en side:

Hvad var formålet, og hvad blev testet? · så ledelsen ved, hvad svaret gælder for.
Hvad er det vigtigste, testen viste? · de få fund, der betyder mest for forretningen, i almindeligt sprog.
Hvad kan ske, hvis de ikke bliver rettet? · konsekvensen for drift, kunder eller data.
Hvad skal ledelsen beslutte? · penge, prioritering eller accept af en risiko.
Hvad ved vi ikke? · det, der lå uden for testen.

Det er stadig kort, og det kan læses på få minutter før et møde. Men det giver ledelsen noget at handle på, og det gør det muligt at se, om svaret har ændret sig fra den forrige test. Hvad ledelsen kan kræve af resuméet, før testen bestilles, er beskrevet for sig. → Ledelsesresuméet: krav før bestillingen

Når farverne tager over

Et beslægtet problem er rapporter, hvor alt bliver til farver. Rød, gul og grøn virker som et mellemtrin mellem ja og nej, men de har samme svaghed: de fortæller, at noget er alvorligt, men ikke hvorfor, eller hvad der skal ske. En grøn tavle kan dække over et område, der aldrig er testet. Og to røde felter kan dække over helt forskellige situationer: det ene kan rettes af IT i næste uge, det andet kræver en investering, som ledelsen skal godkende. Farven alene fortæller ikke, hvilket der er hvilket. Ledelsen kan bruge farverne som indgang, men bør altid spørge, hvad der ligger bag. → Rød, gul og grøn

Sådan bliver samtalen bedre

Det korte svar handler ikke kun om rapporten. Det handler også om, hvordan ledelsen spørger. Ledelsen kan gøre det lettere for den, der fremlægger:

Spørg til beslutningen · hvad skal vi tage stilling til i dag?
Spørg til konsekvensen · hvad er det værste, der realistisk kan ske?
Spørg til tiden · hvor hurtigt skal det rettes, og hvad koster det at vente?
Spørg til tvivlen · hvad er I ikke sikre på?

Spørgsmålene kan stilles på få minutter, og de flytter samtalen fra en dom til en plan. Den, der fremlægger, får samtidig et signal om, at ledelsen hellere vil have det ærlige billede end det pæne. → Præsentation for direktionen

Et tænkt eksempel

Direktionen i en virksomhed, der drifter parkeringsanlæg med betaling via app, får efter en test at vide, at resultatet overordnet er tilfredsstillende. En direktør spørger, hvad der skal besluttes. Svaret er, at der ikke er noget.

Ved et opfølgende spørgsmål kommer det frem, at et fund i betalingsløsningen kræver en ændring hos leverandøren, som vil koste ekstra og forsinke en planlagt opdatering. Fundet blev ikke nævnt, fordi resten af testen så godt ud. Direktionen beder fremover om et resumé med de fem spørgsmål og beslutter at tage sagen med leverandøren op straks. Det overordnede svar var ikke forkert, men det havde skjult den eneste beslutning, der skulle træffes.

Det skal I lade være med

At bede om et ja eller nej · bed om det, der skal besluttes.
At nøjes med farver · spørg til, hvad der ligger bag.
At lade et godt samlet billede skjule enkelte alvorlige fund · de få vigtige skal frem.
At glemme det, der ikke blev testet · et godt resultat gælder kun det afprøvede.
At straffe den, der kommer med dårlige nyheder · så får I kun gode.

Hvad kan og ikke kan konkluderes

Et kort svar kan være godt, hvis det besvarer de spørgsmål, ledelsen skal handle på. Et svar i ét ord kan ikke bære en beslutning, fordi det skjuler, hvad der blev testet, hvad det betyder, og hvad der skal ske. Et godt resumé erstatter ikke rapporten, men gør det muligt for ledelsen at tage stilling uden at læse den. → Et dårligt resultat til bestyrelsen

Tjekliste til næste fremlæggelse

☐ Fremgår det, hvad der blev testet, og hvad der ikke gjorde?
☐ Er de vigtigste fund beskrevet i almindeligt sprog?
☐ Er konsekvensen for forretningen beskrevet?
☐ Er det klart, hvad ledelsen skal beslutte?
☐ Er usikkerheden nævnt?

Kilder

FIRST, CVSS v4.0 Specification Document: at pointene angiver en sårbarheds alvor i forhold til andre; at forhold som påvirkning af kunder, økonomiske tab og omdømme ligger uden for CVSS.

Senest gennemgået: oktober 2026.