Når noget går galt, kommer spørgsmålet let: vidste ledelsen, hvordan det stod til, og gjorde den noget ved det? Svaret afhænger mindre af, om virksomheden blev ramt, og mere af, om der findes et spor af beslutninger. En sikkerhedstest kan være et vigtigt led i det spor, fordi den viser, at ledelsen har søgt viden fra en uafhængig kilde. Men testen dokumenterer kun noget, hvis det, der skete bagefter, også kan ses. En rapport alene beviser blot, at nogen engang så på sikkerheden.
Teksten er ikke juridisk rådgivning, og den lover ikke, at dokumentation fritager for ansvar.
Hvem spørger, og hvornår
Spørgsmålet om, hvad ledelsen har gjort, kan komme fra flere sider. En kunde, der har mistet data, vil vide, om virksomheden tog sikkerheden alvorligt. Forsikringen kan spørge, hvad der var gjort før skaden. En myndighed kan bede om at se, hvordan virksomheden har vurderet sine risici. Og bestyrelsen eller ejerkredsen kan selv spørge direktionen, hvordan det kunne ske.
Fælles for dem er, at de ser bagud. De spørger ikke, om virksomheden var sikker, for det kan ingen garantere. De spørger, om ledelsen handlede fornuftigt med den viden, den havde eller burde have haft. Det er det spørgsmål, dokumentationen skal kunne svare på. Svaret skal kunne gives af andre end dem, der var med, for direktøren eller bestyrelsesformanden kan være skiftet, når spørgsmålet kommer. Derfor skal sporet kunne læses uden forklaring fra dem, der skrev det, og det skal ligge et sted, hvor ledelsen kan finde det igen.
Hvad testen kan dokumentere
En sikkerhedstest, der er bestilt og fulgt op på en ordentlig måde, kan vise flere ting om ledelsens handlinger.
- At ledelsen søgte viden · en uafhængig part blev bedt om at afprøve forsvaret, og ledelsen kendte resultatet.
- Hvad ledelsen vidste · rapporten viser, hvilke svagheder der var kendt på et bestemt tidspunkt.
- Hvad ledelsen besluttede · referatet viser, hvilke forhold der skulle rettes, og hvilke der blev accepteret.
- At der blev fulgt op · status på rettelserne og eventuelt en ny test viser, om beslutningerne blev ført ud i livet.
Det amerikanske NIST beskriver i sin vejledning om sikkerhedstest, at resultaterne af en penetrationstest skal tages alvorligt, at fundne svagheder bør afhjælpes, og at resultaterne bør præsenteres for organisationens ledere. Det er netop de tre led, der gør en test til dokumentation for ledelsen. → Status på rettelserne
Hvad testen ikke dokumenterer
Testen viser ikke, at virksomheden var sikker. Den afprøvede et afgrænset område på et bestemt tidspunkt, og den kan have overset forhold, som en anden tilgang ville have fundet. Den viser heller ikke, at ledelsen har gjort nok på de områder, testen ikke omfattede, som beredskab, uddannelse eller styring af leverandører.
En test kan endda dokumentere det modsatte af det, ledelsen håber. Hvis rapporten viste et alvorligt forhold, og intet skete bagefter, viser dokumentationen, at ledelsen vidste besked og lod være med at handle. Det er en af grundene til, at nogle ledere bekymrer sig for at teste. Svaret er ikke at lade være, men at sikre, at der handles på resultatet. → Kan testresultatet bruges imod os?
Sporet af beslutninger
Dokumentationen består ikke af testrapporten, men af kæden omkring den. Ledelsen kan tænke på den som fem led, der hver efterlader et skriftligt spor.
- Beslutningen om at teste · hvorfor, hvad skulle belyses, og hvem besluttede det.
- Resultatet · et resumé, som ledelsen har modtaget og drøftet.
- Beslutningerne om fund · hvad rettes, hvornår, af hvem, og hvad accepteres med hvilken begrundelse.
- Opfølgningen · status på rettelserne, givet til ledelsen på aftalte tidspunkter.
- Den næste vurdering · hvornår ledelsen igen tager stilling til, om sikkerheden svarer til risikoen.
Mangler et led, bliver sporet svagere. En rapport uden referat viser ikke, at ledelsen kendte resultatet. Et referat uden opfølgning viser ikke, at beslutningerne blev gennemført. → Referatet og sikkerhedstesten
Et tænkt eksempel
En regnskabs- og lønvirksomhed bliver ramt af et angreb, hvor en kundes oplysninger bliver set af uvedkommende. Kunden spørger, hvad virksomheden havde gjort for at beskytte dem.
Direktøren kan fremlægge bestyrelsens beslutning om at bestille en test året før, et resumé af resultatet, referatet med de beslutninger, der blev truffet, og to statusopgørelser, der viser, at de alvorligste forhold blev rettet inden for den aftalte tid. Ét forhold var accepteret med en skriftlig begrundelse. Angrebet skete ad en vej, testen ikke omfattede. Dokumentationen kan ikke ændre, at kunden er ramt, men den viser, at ledelsen handlede på den viden, den havde.
Hvem der skal holde styr på sporet
Det er ikke testerens opgave at dokumentere ledelsens handlinger. Testeren leverer rapporten. Resten ligger i virksomheden. Det fungerer bedst, når én person i ledelsen ejer sporet og sørger for, at beslutninger skrives ned, og at opfølgningen kommer på dagsordenen.
Den britiske kodeks for ledelse af cyberrisici lægger op til, at ledelsen regelmæssigt får vurderet sine risici, og at vurderingen tager højde for ændringer i virksomheden, teknologien, reglerne og truslerne. En test, der gentages og sammenholdes med tidligere beslutninger, passer ind i den tanke. Sporet bør også indgå i virksomhedens samlede oversigt over risici, så sikkerheden ikke står for sig selv. → Sikkerhedsrisiko i virksomhedens risikoregister
Det skal I lade være med
- At lægge rapporten i en mappe · uden referat og opfølgning dokumenterer den mest, at I vidste besked.
- At vente med at skrive beslutninger ned · det, der ikke står nogen steder, er svært at genskabe bagefter.
- At tro, at en test fritager for ansvar · den er et bidrag til grundlaget, ikke en friholdelse.
- At lade fund ligge uden beslutning · hvert vigtigt fund skal enten rettes eller accepteres af en med mandat.
- At lade testen stå alene · beredskab, uddannelse og leverandørstyring er også en del af det, ledelsen kan blive spurgt om.
Hvad kan og ikke kan konkluderes
En test med et klart spor af beslutninger og opfølgning kan dokumentere, at ledelsen søgte viden, kendte resultatet og handlede på det. Den kan ikke dokumentere, at virksomheden var sikker, at ledelsen har gjort tilstrækkeligt i en konkret sag, eller at ansvar er udelukket. Hvordan dokumentationen vurderes, afhænger af situationen og af den, der vurderer.
Tjekliste: kan vi vise, hvad vi har gjort?
- ☐ Står beslutningen om at teste i et referat med formål?
- ☐ Har ledelsen modtaget og drøftet et resumé af resultatet?
- ☐ Har hvert vigtigt fund en beslutning, en ejer og en dato?
- ☐ Får ledelsen status på rettelserne på faste tidspunkter?
- ☐ Er det aftalt, hvornår sikkerheden vurderes igen? → Bliver fundene rettet?
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment: at resultater af penetrationstest bør tages alvorligt, at fundne svagheder bør afhjælpes, og at resultaterne bør præsenteres for organisationens ledere.
- NCSC og UK Government, Cyber Governance Code of Practice: A5 om regelmæssige risikovurderinger, der afspejler ændringer i organisation, teknologi, regler og trusler.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Kan testresultatet bruges imod os? · Ledelsens ansvar for IT-sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
