IT beder om penge til en test: sådan vurderer ledelsen ønsket

Når IT beder om penge til en sikkerhedstest, står ledelsen med et forslag, den ikke selv kan vurdere teknisk. Det behøver den heller ikke. En god indstilling kan vurderes ud fra fire forhold, som ikke kræver teknisk viden: hvad testen skal svare på, hvad den dækker, hvem der udfører den, og hvad der sker bagefter. Er de fire på plads, har ledelsen et solidt grundlag for at sige ja. Mangler de, er det dem, der skal afklares, før pengene bevilges.

Vurderingen handler ikke om at mistro IT. Den handler om at sikre, at pengene giver ledelsen et svar, den kan bruge, og at testen ikke bliver en isoleret IT-opgave.

Hvad en god indstilling indeholder

En indstilling om en sikkerhedstest kan være kort. Den bør dog kunne svare på nogle grundlæggende spørgsmål uden at gå i teknik.

Formålet · hvilket spørgsmål skal testen besvare, og hvorfor nu?
Omfanget · hvilke dele af virksomheden er med, og hvilke er bevidst udeladt?
Udføreren · hvem tester, og er testeren uafhængig af dem, der driver systemerne?
Leverancen · hvad får virksomheden ud af det, og hvem skal kunne læse resultatet?
Opfølgningen · er der afsat tid og penge til at rette, og hvem har ansvaret?
Konsekvensen af et nej · hvad sker der, hvis testen ikke bliver gennemført?

Mangler et af punkterne, er det ikke nødvendigvis et tegn på en dårlig indstilling. Det er et tegn på, hvor ledelsen skal spørge ind. → Spørgsmål, direktionen bør stille IT-chefen

Formålet skal kunne siges i én sætning

Det første spørgsmål er det vigtigste. Hvis IT ikke kan forklare med én sætning, hvad testen skal vise, risikerer den at blive bred og uskarp. “Vi vil vide, om kundeportalen kan misbruges af en kunde til at se andre kunders oplysninger” er et formål. “Vi bør teste vores sikkerhed” er det ikke.

Et klart formål gør det også lettere for ledelsen at vurdere, om beløbet står mål med spørgsmålet. Et vigtigt spørgsmål om virksomhedens mest kritiske system kan retfærdiggøre en større udgift end en rutinekontrol. → Hvad vil vi vide?

Omfang, uafhængighed og opfølgning

Spørg, hvordan omfanget er valgt. Er det valgt ud fra, hvad der betyder mest for forretningen, eller ud fra, hvad der er lettest at teste? Er der dele, ledelsen ville forvente var med, som ikke er det?

Ledelsen kan bidrage med noget, IT ikke altid har: viden om, hvad der er vigtigst for kunderne og for driften. Hvis omfanget ikke dækker det, ledelsen anser for virksomhedens vigtigste, er det værd at spørge hvorfor, før indstillingen godkendes. → Hvad skal testes først?

Ud over omfanget er to forhold særlig vigtige for ledelsen, fordi de afgør, om resultatet kan bruges.

Det ene er uafhængighed. Hvis den, der foreslår testeren, også er den, der driver systemerne, eller hvis testeren er knyttet til en leverandør, der sælger løsninger, kan resultatet blive farvet. Det er ikke et udtryk for mistillid at spørge, hvordan testeren er valgt. → Uvildighed

Det andet er opfølgningen. En test uden penge og tid til rettelser giver ledelsen viden om problemer, den ikke kan gøre noget ved. Spørg, om indstillingen også rummer rettelserne, eller om de kommer som en ny ansøgning bagefter. Det sidste er ikke forkert, men ledelsen bør vide det på forhånd. Ellers kan den samlede udgift blive større, end den troede at have godkendt, og rettelserne kan komme til at konkurrere med andre ønsker i næste budgetrunde. Bed hellere om et skøn over rettelserne nu, selv om det er usikkert, end om et nyt overraskende beløb senere.

Tegn på, at indstillingen trænger til mere arbejde

Nogle træk kan få ledelsen til at bede om en revideret indstilling.

Formålet er en gentagelse af sidste års formulering, selv om virksomheden har ændret sig.
Omfanget er meget bredt, uden at det er forklaret, hvorfor alt skal med.
Der er kun ét tilbud, og ingen kan forklare, hvorfor netop det er valgt.
Der står intet om, hvem der skal læse resultatet, eller hvad det skal bruges til.
Rettelserne er ikke nævnt.

Ingen af disse betyder, at testen er unødvendig. De betyder, at ledelsen ikke har nok at beslutte på endnu. → Tilbuddet forklaret for ledere

Når ledelsen siger ja, nej eller vent

Et ja bør gives med betingelser, der gør det klart, hvad ledelsen forventer: et resumé til ledelsen, en plan for rettelser og en tilbagemelding, når fundene er lukket. Det gør det også klart for IT, at testen er en ledelsessag og ikke kun en IT-opgave.

Et nej eller et “vent” bør begrundes, så IT ved, hvad der skal til. Måske skal formålet skærpes, måske skal budgettet til rettelser med, eller måske skal en omlægning være færdig først. Det er en dårlig oplevelse for en IT-chef at få et nej uden forklaring, og det gør det sværere at tage sikkerheden op næste gang. → Når ledelsen siger nej til en test

Et tænkt eksempel

IT-chefen i en kæde af optikerforretninger beder om penge til en test af “hele IT-miljøet”. Direktøren spørger, hvad testen skal vise. IT-chefen svarer, at kæden aldrig er testet, og at det er på tide.

Direktøren beder om en ny indstilling. Den kommer en uge senere med et skarpere formål: at undersøge, om bookingsystemet og journalerne med kundernes synsoplysninger kan nås af uvedkommende. Indstillingen nævner nu også tid til rettelser, og hvem der skal have resultatet. Direktøren godkender den med en betingelse om et kort resumé til ledelsen, når testen er færdig.

Det skal I lade være med

At godkende uden at kende formålet · så ved ingen, om testen svarede på noget.
At afvise, fordi indstillingen er teknisk · bed om en version, ledelsen kan forstå.
At overse rettelserne · en test uden opfølgning er halvdelen af en beslutning.
At lade uafhængigheden være uafklaret · spørg, hvordan testeren er valgt.
At sige nej uden begrundelse · det gør næste indstilling sværere.

Hvad kan og ikke kan konkluderes

En grundig vurdering af IT’s indstilling øger sandsynligheden for, at testen får et formål, et fornuftigt omfang og en opfølgning. Den kan ikke garantere, at testen finder det vigtigste, og den erstatter ikke ledelsens løbende interesse for resultatet. Vurderingen er første skridt, ikke hele ansvaret.