Rapporten er gennemgået, fundene er forstået, og IT-chefen siger det, som ledelsen ikke har lyst til at høre: der er ikke folk nok til at rette det hele. Det er en ærlig melding, og den skal behandles som et ledelsesspørgsmål. Svaret hviler på, at ledelsen har tre muligheder, som kan kombineres: at flytte kapacitet fra andre opgaver, at købe hjælp udefra og at acceptere bevidst, at nogle fund står åbne i en periode. Det, ledelsen ikke kan, er at lade valget træffe sig selv.
Tag meldingen alvorligt
En IT-afdeling, der siger, at den ikke kan nå det, gør ledelsen en tjeneste. Alternativet er en afdeling, der siger ja til det hele og lader rettelserne glide stille. Spørg derfor ikke først, hvorfor det ikke kan lade sig gøre. Spørg, hvad der skal til.
Bed IT-chefen om et kort overblik: hvilke fund kan rettes med de nuværende folk og inden for hvilken tid, hvilke kræver særlig viden, og hvilke opgaver skal vente, hvis rettelserne kommer først. Det overblik er grundlaget for ledelsens valg. Uden det bliver diskussionen et spørgsmål om tillid i stedet for et spørgsmål om ressourcer.
Overblikket bør også sige noget om rækkefølgen. Nogle rettelser hænger sammen, så den ene skal være på plads, før den næste giver mening. Andre kan klares hurtigt og fjerne en stor del af risikoen. Når ledelsen kender rækkefølgen, kan den se, hvor lidt ekstra kapacitet der måske skal til for at nå de vigtigste fund. → Interne ressourcer
Mulighed 1: flyt kapacitet
Den kapacitet, der kan sættes hurtigst i gang, kan være den, der allerede er i huset. Men nogen skal beslutte, hvad der skal vente. Det kan være et udviklingsprojekt, en opgradering, der ikke haster, eller en intern serviceopgave. Den beslutning kan IT-chefen ikke træffe alene, fordi den berører andre afdelinger og deres planer.
Når ledelsen flytter kapacitet, skal den også sige det til dem, der mister den. Ellers får IT-chefen to sæt forventninger, der ikke kan opfyldes samtidig, og så er man tilbage ved udgangspunktet. → Ledelsens prioritering
Mulighed 2: køb hjælp udefra
Nogle rettelser kræver viden, som IT-afdelingen ikke har, eller timer, den ikke kan finde. Her kan ekstern hjælp være den rigtige løsning. Det britiske National Cyber Security Centre (NCSC) skriver i sit materiale til bestyrelser, at det kan være en hurtig løsning at købe ekspertise, hvor der mangler specialiseret viden, og at nogle sikkerhedsopgaver kan løses af en tredjepart.
Det kan være den eksisterende IT-leverandør, en softwareleverandør eller en anden specialist. Tre spørgsmål er værd at stille, før ledelsen bestiller: Hvem har allerede pligt til at rette efter de nuværende aftaler? Hvem kender systemerne godt nok til at rette uden at skabe nye problemer? Og hvordan sikres det, at viden fra arbejdet bliver i virksomheden bagefter? → Tilbud på rettelser
Ekstern hjælp fjerner ikke ansvaret, og den kræver også tid fra egne folk til introduktion, adgang og godkendelse af ændringer. Nogen i virksomheden skal stadig følge op, godkende og sørge for, at rettelserne efterprøves. → Bliver fundene rettet?
Mulighed 3: accepter bevidst
Nogle fund kan vente. Det kan være forsvarligt at lade mindre fund stå åbne, mens de alvorlige rettes, eller at udskyde en rettelse til en planlagt opgradering. NCSC skriver i sin vejledning om håndtering af sårbarheder, at der kan være legitime grunde til ikke at opdatere, og at beslutningen om ikke at gøre det er en risikobeslutning på ledelsesniveau.
En bevidst accept har fire kendetegn: den gælder bestemte fund, den har en begrundelse, den er truffet af en person med mandat til det, og den har en dato, hvor den vurderes igen. Mangler et af dem, er det ikke en accept. Det er en forsinkelse. Skriv accepten ned, så den kan findes igen, når næste test eller en kunde spørger til de åbne fund. Hvor grænsen for ledelsens godkendelse går, følger af den ramme, ledelsen har sat for risikovilje. → Risikovillighed
Når manglen ikke er midlertidig
Hvis IT ikke har kapacitet efter hver test, er problemet ikke testen. Så er der en ubalance mellem de opgaver, IT har fået, og de folk, der skal løse dem. Det kan også være et tegn på, at viden er samlet hos for få personer. NCSC anbefaler, at bestyrelsen har indsigt i, hvordan organisationen vurderer sit behov for sikkerhedskompetencer, og at manglerne har en plan.
For ledelsen betyder det, at kapaciteten til rettelser hører med i budgettet og i planlægningen af næste test. En test, der bestilles uden plads til at rette bagefter, giver en rapport, men ikke en bedre sikkerhed. → Budget til rettelser
Et tænkt eksempel
En boligorganisation har fået testet sin beboerportal og sit interne netværk. IT består af to medarbejdere, og IT-chefen melder, at de kan rette de mindre fund, men ikke de to alvorlige i portalen inden for den frist, direktionen har ønsket.
Direktøren beder om et overblik. Det viser, at det ene alvorlige fund kræver viden om portalens opsætning, som kun leverandøren har, mens det andet kan rettes internt, hvis en planlagt opgradering af kontorsystemerne udskydes en måned. Direktionen beslutter at udskyde opgraderingen og bestille leverandøren til det andet fund. De mindre fund accepteres åbne i tre måneder med en ny vurdering på direktionsmødet derefter. Bestyrelsen får besked om valget og begrundelsen.
Det skal I lade være med
- At afvise meldingen · en ærlig besked om manglende kapacitet er bedre end tavs forsinkelse.
- At lade IT prioritere mod andre afdelinger alene · det er ledelsens valg.
- At købe hjælp uden at afklare eksisterende aftaler · måske har en leverandør allerede pligten.
- At kalde en forsinkelse for en accept · accept kræver begrundelse, mandat og en dato.
- At bestille næste test uden plads til rettelser · så gentager problemet sig.
Hvad kan og ikke kan konkluderes
En klar beslutning om kapacitet gør det muligt at få de vigtigste fund rettet i en rimelig rækkefølge. Den gør ikke de åbne fund mindre alvorlige. Risikoen ved det, der venter, består, indtil fundet er rettet og efterprøvet, og den bør stå i ledelsens oversigt over risici så længe.
Tjekliste, når kapaciteten mangler
- ☐ Har IT leveret et overblik over, hvad der kan nås, og hvad der kræver hjælp?
- ☐ Har ledelsen besluttet, hvilke opgaver der skal vente?
- ☐ Er det afklaret, om en leverandør allerede har pligt til at rette?
- ☐ Har hver accept en begrundelse, en beslutningstager og en dato?
- ☐ Er kapaciteten til rettelser med i planen for næste test?
Kilder
- NCSC (UK), Cyber Security Toolkit for Boards: Growing cyber security expertise: at købe ekspertise kan være en hurtig løsning, nogle opgaver kan løses af en tredjepart, og bestyrelsen bør have indsigt i vurderingen af kompetencebehovet.
- NCSC (UK), Vulnerability management guidance: princip 5, beslutningen om ikke at opdatere er en risikobeslutning på ledelsesniveau.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Nøglepersonsrisiko · Status på rettelserne
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
