Hvad risikerer vi ved ikke at teste?

Når ledelsen siger nej til en sikkerhedstest, sparer den penge og tid på kort sigt. Men beslutningen har også en pris, selv om den ikke står på nogen faktura. Prisen består af tre ting: svagheder, ingen kender, beslutninger uden grundlag og svar til omverdenen, som ledelsen ikke kan dokumentere.

Ingen kan sige, om netop jeres virksomhed bliver angrebet, eller hvad det vil koste. Det, man kan sige, er, at en virksomhed uden afprøvning ved mindre om sin egen sårbarhed end en virksomhed med. Det er den forskel, ledelsen vælger, når den siger nej.

At lade være er også et valg

Det er fristende at se en undladt test som en neutral handling, en udgift, der ikke blev afholdt. Men det er en beslutning om at leve med den usikkerhed, der allerede findes. Hvis ledelsen træffer den bevidst og med en begrundelse, kan det være et rimeligt valg. Problemet opstår, når beslutningen aldrig bliver truffet, men bare udskudt fra møde til møde.

Derfor er det første skridt at gøre beslutningen synlig. Skriv ned, at ledelsen har overvejet en test, hvorfor den har valgt at vente, og hvornår spørgsmålet tages op igen. Så kan ledelsen senere forklare sit valg, også hvis noget går galt. En kort notits i referatet fra ledelsesmødet kan være nok. Det vigtige er, at valget er truffet af de rigtige personer, på et kendt grundlag, og at det ikke bliver glemt. → Hvornår kan ledelsen sige nej til en test?

Svagheder, ingen kender

Alle virksomheder har svagheder i deres systemer. Nogle opstår, fordi software har fejl, andre fordi indstillinger er sat forkert, adgange ikke er lukket, eller en leverandør har efterladt en midlertidig løsning. Den daglige drift kan fange nogle af dem, men ikke alle.

En test er en af de få måder at se virksomheden udefra, som en angriber ville. Uden den bygger ledelsens billede af sikkerheden på det, IT og leverandørerne selv har set og fortalt. Det billede kan være korrekt. Men der er ingen uafhængig kontrol af, om det holder.

Det, man ikke kender, kan man heller ikke prioritere. En svaghed i kundeportalen, som kunne have været rettet med en lille indsats, kan stå åben i lang tid, fordi ingen har haft grund til at kigge efter den. → Et uafhængigt blik

Beslutninger uden grundlag

Ledelsen træffer løbende beslutninger, der påvirker sikkerheden: hvilke systemer der skal købes, hvad IT-budgettet skal bruges på, hvilke leverandører der skal have adgang, og hvor hurtigt nye digitale tjenester skal i luften. Uden viden om, hvor de svage punkter er, bliver de beslutninger truffet i blinde.

Det kan føre til, at pengene går til det synlige frem for det vigtige. Et nyt sikkerhedsprodukt kan føles som handling, men hvis den egentlige svaghed ligger i opsætningen af et ældre system, hjælper produktet ikke. En test kan vise, hvor indsatsen gør mest gavn, og om tidligere investeringer har virket. → Virker de sikkerhedsinvesteringer, vi allerede har gjort?

Det gælder også budgettet for IT som helhed. Når IT beder om penge til sikkerhed, har ledelsen svært ved at vurdere ønsket, hvis der ikke findes et uafhængigt billede af behovet. Testen giver et fælles udgangspunkt for den samtale. Uden den bliver drøftelsen let et spørgsmål om tillid til den, der beder om pengene, frem for et spørgsmål om, hvad virksomheden faktisk har brug for. Det er hverken rimeligt over for IT eller over for ledelsen, som skal stå inde for prioriteringen.

Svar, der ikke kan dokumenteres

Kunder, forsikringsselskaber, banker og samarbejdspartnere kan spørge til sikkerheden. Spørgsmålene kan komme i spørgeskemaer, i kontraktforhandlinger og i fornyelsen af forsikringer. Ledelsen skal svare, og nogle gange skal svaret underskrives.

Uden en test kan ledelsen beskrive, hvad virksomheden gør, men ikke vise, hvordan det virker i praksis. Det kan være nok for nogle modtagere, men andre beder specifikt om dokumentation for afprøvning. Og hvis et svar senere viser sig at være for optimistisk, er det ledelsen, der har stået inde for det. → Løfter om sikkerhed til kunderne

Når noget går galt

Hvis virksomheden bliver ramt af et angreb, vil spørgsmålet hurtigt komme: hvad vidste ledelsen, og hvad gjorde den? Det kan komme fra bestyrelsen, ejerne, kunderne eller myndighederne. En virksomhed, der har testet og fulgt op, kan vise, at den har taget sikkerheden alvorligt. En virksomhed, der aldrig har undersøgt sine systemer, har sværere ved at forklare sig.

Det betyder ikke, at en test beskytter mod ansvar eller kritik. Men den giver ledelsen mulighed for at vise, at beslutningerne blev truffet på et oplyst grundlag. Hvordan ansvaret konkret vurderes, afhænger af situationen, og teksten her er ikke juridisk rådgivning. → Har vi gjort, hvad vi kunne?

Der er også en praktisk side. Under en hændelse skal der handles hurtigt. Har virksomheden for nylig fået et uafhængigt billede af sine systemer, ved den, hvor de svage punkter var, og hvad der allerede er rettet. Det kan gøre det lettere for dem, der skal hjælpe, at få overblik. En nylig rapport er dog ikke en beredskabsplan, og den viser ikke, hvordan organisationen reagerer under pres.

Det skal I lade være med

At udskyde uden at beslutte · en test, der aldrig bliver vedtaget eller fravalgt, efterlader ledelsen uden forklaring.
At tro, at ingen nyheder er gode nyheder · fravær af kendte hændelser er ikke dokumentation.
At købe løsninger i stedet for viden · uden et billede af svaghederne kan pengene havne det forkerte sted.
At svare kunderne mere optimistisk end grundlaget tillader · ledelsen står inde for det, der skrives.
At bruge frygt som argument · beslutningen skal bygge på jeres egne risici, ikke på skræmmebilleder.

Hvad kan og ikke kan konkluderes

Det kan konkluderes, at en virksomhed uden afprøvning ved mindre om sine svagheder, har et svagere grundlag for prioritering og har sværere ved at dokumentere sin sikkerhed udadtil. Det er en konsekvens af valget, uanset hvor god den daglige drift er.

Det kan ikke konkluderes, at en virksomhed uden test er usikker, eller at en test ville have forhindret en bestemt hændelse. En test gør ikke virksomheden sikker. Den giver viden, som ledelsen så kan vælge at handle på. → Skal vi have lavet en penetrationstest?