Hvad en sikkerhedstest ikke erstatter

En sikkerhedstest kan give ledelsen en følelse af, at sikkerheden nu er klaret for i år. Det er en misforståelse, og den kan blive dyr. Svaret på, hvad testen ikke erstatter, hviler på en enkel sondring: testen er en kontrol af forsvaret, ikke selve forsvaret. Den viser, om det, virksomheden har bygget op, holder over for en bestemt afprøvning. Den bygger ikke noget op selv.

Det britiske NCSC skriver i sin vejledning om penetrationstest, at testen skal give sikkerhed for, at virksomhedens egne processer for at finde og håndtere sårbarheder virker, og at den ikke bør være den primære måde at finde sårbarheder på. Med andre ord forudsætter testen, at der er et løbende arbejde at kontrollere.

Testen er en stikprøve

En test kan sammenlignes med en revisors stikprøve. Den undersøger et udvalg inden for en afgrænset periode og siger noget om det udvalg. Mellem testene ændrer virksomheden sig: nye medarbejdere, nye systemer, nye leverandører, nye opdateringer. Hvis ingen holder øje i den periode, er rapportens billede hurtigt forældet.

Derfor kan testen ikke stå alene. Den kræver, at nogen hver uge sørger for, at systemerne holdes opdaterede, at adgange fjernes, når folk stopper, og at advarsler bliver set. → Fra engangstest til fast praksis

Fem ting, testen ikke kan overtage

Ledelsen kan bruge listen her til at spørge, om de øvrige byggesten er på plads, før eller samtidig med at testen bestilles.

Den daglige drift · opdateringer, styring af adgange og kontrol af sikkerhedskopier. Testen kan afsløre huller i driften, men den lukker dem ikke.
Politik og ansvarsfordeling · hvem der beslutter hvad, og hvilke regler der gælder. Testen kan vise, at en regel ikke følges, men den kan ikke skrive reglen. → Sikkerhedspolitik og test
Beredskab · en plan for, hvad virksomheden gør under en alvorlig hændelse, og øvelser i at bruge den. → Beredskab og sikkerhedstest
Uddannelse og kultur · medarbejdere, der ved, hvad de skal være opmærksomme på, og som tør sige til.
Overvågning · nogen, der ser efter tegn på angreb hele året, ikke kun i testperioden.

NCSC’s kodeks for ledelse af cyberrisici, som er britisk og frivilligt, behandler netop kultur, uddannelse og planer for hændelser som selvstændige ledelsesopgaver ved siden af tilsyn og kontrol. Det understreger, at testen er én del af et større billede.

Når testen bruges som erstatning

Fejlen sker ikke nødvendigvis bevidst. Den kan opstå, fordi testen er synlig, har en dato og giver en rapport, mens det løbende arbejde er usynligt og svært at måle. Det er fristende at lade det synlige stå for det hele.

Et tænkt eksempel: En vognmandsforretning får hvert forår en ekstern test, fordi en stor kunde kræver det. Rapporten viser hvert år nogenlunde de samme fund. Ledelsen godkender rapporten og sender den videre til kunden. Ingen har fået til opgave at rette fundene, og der findes ingen plan for, hvad virksomheden gør, hvis systemet til ruteplanlægning bliver låst. Testen er gennemført år efter år, men sikkerheden er ikke blevet bedre.

Problemet er ikke testen. Problemet er, at den er blevet det eneste, ledelsen ser på.

Testen og investeringer i løsninger

En anden variant af samme misforståelse er at tro, at testen kan erstatte investeringer i sikkerhedsløsninger, eller omvendt, at løsningerne gør testen overflødig. Begge dele er forkerte. Løsninger beskytter. Testen viser, om de beskytter som forventet, og om de er sat rigtigt op. → Gør sikkerhedsprodukter testen overflødig?

Det samme gælder certificeringer. Et certifikat viser, at et ledelsessystem er på plads, ikke at systemerne er svære at bryde ind i. En test kan ikke erstatte certificeringen, og certificeringen kan ikke erstatte testen. → Et certifikat er ikke det samme som sikkerhed

Hvad ledelsen kan spørge om

Ledelsen behøver ikke kende detaljerne i det løbende arbejde. Den kan dog stille nogle spørgsmål, der viser, om testen står alene.

Hvem sørger for, at fundene fra sidste test er rettet?
Hvordan holdes systemerne opdaterede mellem testene, og hvem følger op?
Findes der en plan for alvorlige hændelser, og hvornår blev den sidst øvet?
Hvordan lærer nye medarbejdere de vigtigste regler?
Hvem opdager det, hvis nogen forsøger at komme ind en weekend?

Hvis svarene er vage, er det ikke nødvendigvis et argument mod testen. Det er et argument for at bruge testen sammen med en plan for det øvrige arbejde. → Sikkerhed er ikke kun IT

Hvem holder sammen på helheden?

Når testen er én del af flere, skal nogen i ledelsen have overblikket. Ellers bliver hver del passet af hver sin person, og ingen ser, om der mangler noget imellem. I en mindre virksomhed kan det være direktøren selv. I en større kan det være en direktør med ansvar for drift eller økonomi, der får en samlet status fra IT med faste mellemrum.

Statussen behøver ikke være lang. Den kan vise, hvad testen sidst fandt, og hvor langt rettelserne er, om beredskabsplanen er øvet, om uddannelsen af nye medarbejdere er sket, og om der har været hændelser. Når de forhold står side om side, bliver det tydeligt, om testen bærer for meget af ansvaret, og hvor næste krone gør mest gavn.

Bestyrelsen kan bede om den samme oversigt. Så ser den hele arbejdet og ikke kun den enkelte rapport.

Det skal I lade være med

At afkrydse sikkerheden, når testen er gennemført · den er en kontrol, ikke en løsning.
At bruge budgettet på test og intet på rettelser · så bliver resultatet det samme næste gang.
At lade testen erstatte beredskabet · en test viser ikke, hvad I gør under et angreb.
At glemme driften mellem testene · ændringer i hverdagen kan åbne nye huller.
At tro, at et certifikat eller et produkt gør testen overflødig · de svarer på andre spørgsmål.

Hvad kan og ikke kan konkluderes

En test kan vise, om forsvaret holdt over for en bestemt afprøvning i en bestemt periode, og den kan afsløre svagheder i det løbende arbejde. Den kan ikke vise, at driften, beredskabet, uddannelsen eller overvågningen fungerer, og den kan ikke tage ansvaret for dem. NCSC påpeger, at en test kun kan bekræfte, at systemerne ikke var sårbare over for kendte problemer på testdagen.

Tjekliste: står testen alene?

☐ Er der en ansvarlig for at rette fundene fra den seneste test?
☐ Følger nogen op på opdateringer og adgange mellem testene?
☐ Har virksomheden en plan for alvorlige hændelser, og er den øvet?
☐ Er der aftalt, hvordan nye medarbejdere lærer de vigtigste regler?
☐ Ved ledelsen, hvem der opdager et angreb uden for testperioden?

Kilder

NCSC, Penetration testing: testen som en måde at få sikkerhed for, at egne processer for sårbarhedsstyring virker, ikke som den primære måde at finde sårbarheder på, og at den kun kan bekræfte forholdene over for kendte problemer på testdagen.
NCSC og UK Government, Cyber Governance Code of Practice: princip C (kultur, politikker og uddannelse) og D (planer for hændelser og øvelser) som ledelsesopgaver ved siden af tilsyn og kontrol.

Senest gennemgået: oktober 2026.