En ledelse kender måske intern kontrol fra økonomien: to underskrifter på betalinger, afstemninger, adskilte funktioner og revisorens gennemgang. Spørgsmålet her er, hvor en sikkerhedstest passer ind i den tankegang. Svaret er, at testen hører til den del af kontrollen, der tjekker, om de øvrige kontroller virker. Den er ikke selv en kontrol, der forebygger noget, men en måde at få et uafhængigt billede af, om det, der er besluttet om IT-sikkerhed, også holder i praksis.
Kontrol med kontrollerne
I økonomien er det ikke nok at have en regel om to underskrifter. Nogen skal også se efter, om reglen bliver fulgt, og om den faktisk forhindrer fejl. Det samme gælder IT-sikkerhed. En politik om adgangskoder, en regel om, at fratrådte medarbejdere lukkes, eller en aftale om, at leverandøren opdaterer systemerne, er kontroller. Om de virker, er et andet spørgsmål.
Den amerikanske organisation COSO, som står bag en udbredt ramme for intern kontrol, beskriver overvågning af, at kontrollerne fungerer, som en af rammens fem bestanddele. Rammen blev første gang udgivet i 1992 og opdateret i 2013. Den er ikke skrevet til IT-sikkerhed specifikt, men tankegangen passer: kontroller skal ikke bare indføres, de skal også efterprøves.
En sikkerhedstest er en sådan efterprøvning. Den spørger ikke, om der findes en regel, men om en udefrakommende kan komme forbi den.
I en mindre virksomhed lyder intern kontrol måske stort. Det behøver det ikke at være. Det kan være så enkelt som, at direktøren ved, hvilke regler der gælder for IT, hvem der skal sørge for, at de bliver fulgt, og hvordan ledelsen får at vide, om det sker. En test med jævne mellemrum kan være den del, der giver et svar udefra.
Ledelsens ansvar for kontrolmiljøet
Ledelsen har en almindelig pligt til at sørge for en forsvarlig organisation. For kapitalselskaber med en bestyrelse siger selskabsloven blandt andet, at bestyrelsen skal påse, at der er etableret procedurer for risikostyring og interne kontroller. Loven nævner ikke IT-sikkerhed særskilt. Teksten er ikke juridisk rådgivning, og hvordan pligten skal udfyldes, afhænger af virksomheden. → Ledelsens ansvar for IT-sikkerhed
For nogle virksomheder er det dog svært at forestille sig en kontrol med driften, der ikke også omfatter de systemer, driften hviler på. Det gør spørgsmålet om, hvordan ledelsen ved, at IT-kontrollerne virker, til en naturlig del af den interne kontrol.
Design og virkning
Revisorer skelner mellem, om en kontrol er rigtigt udformet, og om den virker i praksis. Den skelnen er nyttig for ledelsen.
- Udformning · findes der en regel eller en arbejdsgang, som i princippet kan forhindre problemet? Det kan IT eller en gennemgang af dokumenter svare på.
- Virkning · bliver reglen fulgt, og forhindrer den faktisk problemet, når nogen forsøger? Det er her, en test bidrager.
En virksomhed kan have en udmærket politik for adgange og samtidig have konti, der aldrig blev lukket. Politikken er rigtigt udformet, men den virker ikke. Testen finder ikke politikken, den finder kontoen. → Hvem har adgang til hvad?
Fra fund til svigtende kontrol
Det mest værdifulde for ledelsen er ikke det enkelte fund, men spørgsmålet om, hvilken kontrol der burde have forhindret det. En manglende sikkerhedsopdatering er et fund. At opdateringer ikke bliver fulgt op, er en svigtende kontrol. Det første rettes én gang. Det andet kommer igen, hvis det ikke rettes.
Ledelsen kan bede om, at fundene efter testen bliver knyttet til de kontroller, der skulle have fanget dem.
- Hvilken kontrol skulle have forhindret det · findes der en regel, en arbejdsgang eller en aftale på området?
- Hvorfor virkede den ikke · manglede den, blev den ikke fulgt, eller var den ikke god nok?
- Hvem ejer kontrollen · er det IT, en leverandør eller en del af forretningen?
- Hvad ændres · så næste test ikke finder det samme?
Svarene hører hjemme i virksomhedens risikoregister og i ledelsens opfølgning. → Sikkerhedsrisiko i risikoregistret
Testen og revisionen
Nogle ledelser antager, at revisor ser på IT-sikkerheden som en del af revisionen. Revisionens formål er dog først og fremmest regnskabet, og den kan berøre IT-kontroller, som har betydning for regnskabet, uden at sige noget om sikkerheden i bred forstand. → Revisor har ikke sagt noget
I virksomheder med et revisionsudvalg kan testen være en del af det materiale, udvalget bruger til at føre tilsyn med kontrolmiljøet. I større organisationer med intern revision er det oplagt at afklare, hvordan testen og revisionens arbejde supplerer hinanden. Revisionen kan for eksempel bruge testens resultat som et af sine grundlag, mens testen kan rettes mod de områder, revisionen har peget på som svage. → Revisionsudvalget og sikkerhedstesten
Et tænkt eksempel
Direktionen i en grossistvirksomhed for el-artikler har en klar regel: medarbejdere, der fratræder, skal have deres adgange lukket samme dag. Reglen står i personalehåndbogen, og HR sender en mail til IT ved hver fratrædelse.
En sikkerhedstest finder flere aktive konti fra medarbejdere, der er stoppet. En af dem har adgang til lønsystemet. Fundet bliver rettet, men direktøren beder om mere: hvorfor virkede reglen ikke? Det viser sig, at mails til IT om fratrædelser lander i en fælles postkasse, som ingen har ansvaret for. Arbejdsgangen ændres, så HR får en bekræftelse fra IT, og HR tjekker med faste mellemrum, at listen over aktive konti passer med listen over ansatte. Kontrollen er nu ikke bare udformet, den bliver også fulgt.
Det skal I lade være med
- At tro, at en politik er en kontrol, der virker · udformning og virkning er to ting.
- At rette fundet og glemme kontrollen · så kommer det samme igen.
- At antage, at revisionen dækker IT-sikkerheden · dens formål er et andet.
- At lade den, der driver systemerne, kontrollere sig selv · det svækker uafhængigheden.
- At gemme testen uden for den øvrige kontrolstyring · resultatet hører hjemme samme sted som andre risici.
Hvad kan og ikke kan konkluderes
En sikkerhedstest kan vise, om udvalgte kontroller virker, når nogen forsøger at komme forbi dem, og den kan pege på kontroller, der mangler eller ikke bliver fulgt. Den kan ikke vurdere virksomhedens samlede kontrolmiljø, og den kan ikke erstatte løbende overvågning, revision eller ledelsens egen opfølgning. Den er én kilde til viden om kontrollerne blandt flere. → Tre forsvarslinjer
Tjekliste: testen i den interne kontrol
- ☐ Ved ledelsen, hvilke kontroller der skal beskytte de vigtigste systemer?
- ☐ Bliver fund knyttet til den kontrol, der burde have forhindret dem?
- ☐ Har hver kontrol en ejer?
- ☐ Indgår testens resultat i risikoregistret og ledelsens opfølgning?
- ☐ Er det afklaret, hvordan testen og revisionens arbejde supplerer hinanden?
Kilder
- COSO, Guidance on Internal Control: Internal Control Integrated Framework, udgivet 1992 og opdateret 2013; overvågning som en af rammens fem bestanddele.
- Selskabsloven, LBK nr. 331 af 28/03/2025: § 115 om bestyrelsens pligt til at sikre en forsvarlig organisation og påse, at der er procedurer for risikostyring og interne kontroller.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Hvem har adgang til hvad? · Sikkerhedsrisiko i virksomhedens risikoregister
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
