Hvad testen kræver af jeres egne folk

Tilbuddet fra testeren viser, hvad det eksterne arbejde koster. Det viser ikke, hvor meget tid jeres egne medarbejdere skal bruge før, under og efter testen. Den tid er en reel omkostning, også selv om den ikke står på en faktura, og når den ikke er planlagt, bliver den taget fra andre opgaver eller sparet væk, så testen giver mindre, end den kunne. Svaret på, hvad testen kræver internt, hviler på tre faser: forberedelsen, selve testperioden og tiden bagefter. Ledelsens opgave er at gøre plads til alle tre, ikke at kende detaljerne.

Den skjulte del af omkostningen

En sikkerhedstest ser ud som en ydelse, der købes udefra. I praksis er den et samarbejde. Testeren skal have adgange, svar og en person at ringe til. IT skal holde øje med driften. Systemejere skal tage stilling til, hvad der må testes. Og bagefter skal nogen læse resultatet, prioritere og rette.

Når ledelsen kun ser tilbuddet, overser den denne del. Det har to konsekvenser. Testen kan blive forsinket, fordi forberedelsen ikke er på plads. Og den kan blive mindre grundig, fordi testeren venter på svar eller ikke får de adgange, der var aftalt. → Sådan budgetterer ledelsen med sikkerhedstest

Før testen

Forberedelsen er en del, der let undervurderes. Den omfatter blandt andet:

Afgrænsningen · drøftelser med testeren om, hvad der skal med, og hvad der ikke må berøres.
Adgange og konti · oprettelse af de adgange, testeren skal bruge.
Orientering af leverandører · driftsleverandøren og andre, der skal kende til testen.
Intern orientering · de medarbejdere, der kan mærke testen, skal vide, at den kommer.
Godkendelser · den formelle tilladelse til testen.
Praktiske forhold · fx en arbejdsplads, hvis testeren skal være på stedet, og adgang til bygningen.

NCSC i Storbritannien anbefaler, at afgrænsningen sker med deltagelse af risikoejere, teknisk personale og en repræsentant for testholdet. Det betyder i praksis, at både ledelsen eller systemejeren og IT skal sætte tid af til den. NCSC nævner også, at testerens krav, fx testkonti, giver virksomheden mulighed for at forberede sig før testdagen. → Ledelsens godkendelse af testen

Under testen

Mens testen står på, skal der være en kontaktperson, der kan svare på spørgsmål og gribe ind, hvis noget uventet sker. NCSC anbefaler, at en teknisk kontaktperson er tilgængelig hele tiden, så personen kan nås med kort varsel. Det kan være én person eller flere på skift, men det kræver, at de ikke samtidig er bundet af andre opgaver, der ikke kan afbrydes.

Ud over kontaktpersonen skal IT holde øje med, om systemerne opfører sig normalt. Det behøver ikke være meget arbejde, men det skal være planlagt, især hvis testen foregår uden for normal arbejdstid. Medarbejdere, der arbejder om aftenen eller i weekenden for at følge testen, skal have det med i deres planlægning og eventuelt kompenseres efter de aftaler, der gælder i virksomheden. Det er en lille ting, men den bliver let overset, når testen planlægges hen over hovedet på dem. → Forstyrrer testen forretningen?

Efter testen

Den største indsats kan komme efter testen. Rapporten skal læses og forstås. Fundene skal prioriteres. Der skal laves en plan, og rettelserne skal udføres og kontrolleres. Meget af det arbejde lander hos de samme få personer, der også står for den daglige drift.

Hvis ledelsen ikke har planlagt den tid, kommer rettelserne til at konkurrere med alt andet. Så risikerer testen at miste sin værdi i netop den fase, hvor den skulle bære frugt. Ledelsen bør derfor også sætte tid af til sin egen del: et møde, hvor resultatet gennemgås, og hvor der træffes beslutning om de fund, IT ikke selv kan prioritere. Uden den beslutning kan IT komme til at vente på et signal, der aldrig kommer. → IT har ikke kapacitet til at rette

Ledelsens opgave

Ledelsen skal ikke planlægge timerne, men den skal sørge for, at der er plads til dem. Det kan ske på flere måder.

Vælg tidspunktet med omtanke · ikke midt i en travl sæson, en flytning af systemer eller et stort projekt.
Frigør tid · beslut, hvilke opgaver der må vente, mens testen forberedes, gennemføres og følges op.
Udpeg personer · hvem er kontaktperson, hvem har ansvaret for opfølgningen?
Spørg leverandøren · hvad kræver testen af driftsleverandøren, og hvad koster det?
Tjek afhængigheden af enkeltpersoner · hvis kun én person kan svare, er testen sårbar over for sygdom og ferie. → Afhængige af én IT-person

Hvordan de enkelte roller fordeles internt, beskriver opslagsværket penetrationtest.dk. For ledelsen er det vigtigste, at nogen har ansvaret for, at rollerne er besat. Den person bør have mandat til at sige fra, hvis andre opgaver begynder at tage den tid, der var sat af til testen.

Et tænkt eksempel

En vognmandsforretning med eget værksted og et lille IT-team skal have testet sit planlægningssystem. Testen er sat til at ligge i november. Ved et direktionsmøde spørger driftschefen, om det ikke er den periode, hvor IT også skal skifte telefonsystemet.

Det er det. Direktionen flytter testen til januar og beslutter, at IT-teamet ikke tager nye opgaver ind de to uger, testen står på. En medarbejder fra driftsleverandøren aftales som reserve, hvis den interne kontaktperson er syg. Efter testen afsætter direktionen en måned, hvor rettelser går forud for nye ønsker fra afdelingerne. Det koster lidt tålmodighed andre steder, men fundene bliver taget hånd om. Ved næste test bruger direktionen samme fremgangsmåde og spørger allerede ved budgetlægningen, hvilke andre projekter der ligger i samme periode.

Det skal I lade være med

At se tilbuddet som hele omkostningen · intern tid er også en udgift.
At lægge testen oven i et stort projekt · så får ingen af dem den nødvendige opmærksomhed.
At undervurdere forberedelsen · den afgør, hvor meget testen når.
At have kun én kontaktperson · planlæg en reserve.
At glemme tiden efter testen · det er her, værdien skabes.

Hvad kan og ikke kan konkluderes

En god planlægning af den interne tid gør testen mere effektiv og øger chancen for, at fundene bliver rettet. Den kan ikke fjerne behovet for tid, og den kan ikke gøre et overbelastet IT-team større. Hvis der ikke er plads, må ledelsen vælge: udskyde testen, fjerne andre opgaver eller købe ekstra hjælp. Det er en ledelsesbeslutning, ikke en teknisk.

Tjekliste før testen

☐ Har vi skønnet, hvor meget tid testen kræver før, under og efter?
☐ Er tidspunktet valgt, så det ikke falder sammen med andre store opgaver?
☐ Er der en kontaktperson og en reserve?
☐ Ved driftsleverandøren, hvad testen kræver af den?
☐ Er der afsat tid til rettelser bagefter?

Kilder

NCSC, Penetration testing: afgrænsning med risikoejere, teknisk personale og testholdet; en teknisk kontaktperson, der kan nås med kort varsel under testen; forberedelse ud fra testerens krav, fx testkonti.

Senest gennemgået: oktober 2026.