Når rapporten viser flere alvorlige fund end ventet, ligger spørgsmålet lige for: hvem har sovet i timen? Svaret hviler på en enkel iagttagelse. Et fund kan som udgangspunkt føres tilbage til prioriteringer, ressourcer og beslutninger, som ledelsen selv har været med til at træffe, og når det er tilfældet, hører ansvaret hjemme i styringen og ikke hos den enkelte medarbejder. En ledelse, der leder efter en skyldig, får færre fund at se næste gang, ikke færre svagheder.
Fund fortæller om systemet, ikke om personen
En sikkerhedstest beskriver tilstanden på et bestemt tidspunkt. Bag hvert fund ligger en kæde af forhold: et system, der aldrig fik en ejer, en opdatering, der blev udskudt for at undgå nedetid, en leverandør, der ikke havde opgaven i sin aftale, eller et budget, der gik til noget andet. Den person, der sidst rørte ved systemet, er ikke nødvendigvis den, der har skabt situationen.
Det betyder ikke, at ingen har ansvar. Det betyder, at ansvaret skal placeres det rigtige sted. Var der afsat tid og penge til vedligehold? Var det klart, hvem der ejede systemet? Fik IT et ja eller et nej, da problemet blev rejst sidst? Spørgsmålene peger tilbage på ledelsen, og det er netop deres styrke. → Fra teknisk fund til forretningsrisiko
Hvad jagten på en skyldig koster
Den første reaktion på et dårligt resultat sætter tonen for alt, hvad der følger. Hvis IT-chefen eller driftsleverandøren oplever, at rapporten bliver brugt som anklageskrift, lærer de én ting: at det er farligt at vise svagheder frem.
Det britiske NCSC beskriver mekanismen i sine principper for sikkerhedskultur. Mennesker skal føle sig trygge mod negative konsekvenser, før de siger noget, og uden den tryghed bliver de skubbet over i selvbeskyttende adfærd, for eksempel at dække over fejl. For ledelsen betyder det konkret:
- Næste test bliver smallere · den, der frygter resultatet, foreslår et omfang, hvor der ikke er noget at finde.
- Problemer meldes for sent · svagheder, IT kender til, kommer først frem, når de ikke kan skjules.
- Viden forsvinder · dygtige medarbejdere går, og leverandøren bliver forsigtig med at sige noget.
Ingen skyld er ikke det samme som intet ansvar
NCSC’s værktøjskasse til bestyrelser formulerer balancen præcist: en kultur uden skyld betyder ikke en kultur uden ansvarlighed. Pointen er at lære af det, der er sket, og forstå årsagen, så det ikke gentager sig.
I praksis kan ledelsen skelne mellem tre situationer. Den første er fund, der skyldes manglende tid, viden eller klare aftaler. De er et styringsspørgsmål, og svaret er ressourcer, prioritering og tydeligt ejerskab. Den anden er fund, som IT har rejst før, uden at det førte til handling. Her ligger ansvaret i høj grad hos dem, der sagde nej eller ikke tog stilling. Den tredje er bevidst omgåelse af aftalte regler. Den er sjælden, men den findes, og den hører til i den almindelige personaleledelse, ikke i behandlingen af testrapporten. → IT siger, at alt er i orden
Sådan reagerer ledelsen på resultatet
De første spørgsmål på mødet, hvor rapporten fremlægges, betyder meget. Spørg til årsager og muligheder i stedet for til personer:
- Hvad gjorde det muligt? · hvilke forhold i organisation, aftaler eller budget ligger bag.
- Hvad har I brug for? · tid, penge, hjælp udefra eller en beslutning fra ledelsen.
- Hvad vidste vi i forvejen? · hvilke fund var kendt, og hvorfor blev de ikke håndteret.
- Hvad tager ledelsen selv på sig? · hvilke af årsagerne ligger i beslutninger, ledelsen har truffet.
Det sidste spørgsmål er det sværeste og det vigtigste. Når ledelsen åbent siger, at et fund hænger sammen med en prioritering, den selv har foretaget, bliver det lettere for alle andre at være ærlige. → Når resultatet er dårligt: til bestyrelsen
Når fundet ligger hos en leverandør
Skyldspørgsmålet bliver særligt fristende, når driften er lagt ud. Det er let at pege på driftsleverandøren og konstatere, at den ikke har levet op til aftalen. Nogle gange er det rigtigt. Men før ledelsen konkluderer det, er det værd at læse aftalen igen. Står opgaven der? Var der aftalt et serviceniveau for opdateringer, eller blev det valgt fra for at holde prisen nede? Har nogen i virksomheden haft til opgave at følge op på leverandøren?
Hvis svaret er, at opgaven aldrig blev aftalt, er fundet et resultat af virksomhedens egen indkøbsbeslutning. Så er løsningen en ændret aftale, ikke en reprimande. Hvis opgaven stod i aftalen og ikke blev løst, er det en sag for den almindelige leverandørstyring, hvor kravet stilles roligt og skriftligt. I begge tilfælde gælder det, at leverandøren skal kunne fortælle om svagheder uden at frygte, at det koster kontrakten. → Leverandører, der peger på hinanden
Et tænkt eksempel
En møbelfabrik får testet sit netværk og sine systemer for første gang. Rapporten viser blandt andet, at et ældre styresystem til produktionen ikke er opdateret, og at flere medarbejdere har langt bredere adgang, end de behøver.
Et bestyrelsesmedlem spørger direkte, om IT-ansvarlig har gjort sit arbejde. Direktøren svarer, at styresystemet blev holdt uændret efter en beslutning i direktionen om ikke at stoppe produktionen, og at adgangene er vokset med virksomheden, uden at nogen fik til opgave at rydde op. Direktionen beslutter at give en navngiven person ansvaret for adgange og at lægge en plan for styresystemet med produktionschefen. IT-ansvarlig præsenterer selv planen på næste møde. Bestyrelsen får dermed både et forklaret resultat og en plan, og IT-ansvarlig foreslår af egen drift, at næste test også skal omfatte produktionsnettet.
Det skal I lade være med
- At starte mødet med spørgsmålet om, hvem der har fejlet · start med årsagerne.
- At bruge antallet af fund som karakter til IT · antallet afhænger af omfang og formål.
- At lade leverandøren eller IT stå alene med forklaringen · ledelsen ejer en del af årsagerne.
- At belønne gode nyheder og straffe dårlige · det lærer organisationen at tie.
- At blande personalesager ind i rapportbehandlingen · de få bevidste brud behandles for sig.
Hvad kan og ikke kan konkluderes
En ledelse, der behandler fund som et styringsspørgsmål, øger chancen for, at svagheder kommer frem i tide, og for at næste test bliver bestilt med et ærligt omfang. Det fjerner ikke behovet for at stille krav. Det flytter kravene derhen, hvor de kan ændre noget: ejerskab, ressourcer og opfølgning. → Hvem i ledelsen følger op på testen?
Tjekliste til mødet om resultatet
- ☐ Er de første spørgsmål rettet mod årsager frem for personer?
- ☐ Har ledelsen vurderet, hvilke fund der hænger sammen med egne beslutninger?
- ☐ Er det afklaret, hvilke fund IT har rejst tidligere?
- ☐ Har hvert fund fået en ejer og de nødvendige ressourcer?
- ☐ Er det sagt tydeligt, at åbenhed om svagheder er ønsket?
Kilder
- NCSC, Cyber security culture principles, Principle 2: at mennesker skal føle sig trygge mod negative konsekvenser for at sige noget, og at manglende tryghed fører til selvbeskyttende adfærd som at dække over fejl.
- NCSC, Board Toolkit: Developing a positive cyber security culture: at en kultur uden skyld ikke betyder fravær af ansvarlighed, og at læring fra hændelser handler om at forstå årsagen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Når rettelserne går i stå · Lærte vi noget? Ledelsens evaluering
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
