IT-chefen har foreslået en ekstern sikkerhedstest, og ledelsen kan ikke helt beslutte sig. Tøven er ikke i sig selv forkert. En ledelse skal vurdere forslag, før den bruger penge. Men tøven bør bygge på grunde, ledelsen kan forklare, og ikke på en uro, ingen har sat ord på. De mest almindelige forbehold handler om pris, om tvivl på behovet, om frygt for resultatet og om manglende plads til at følge op. Nogle af dem holder, andre gør ikke, når de bliver set efter. Det bedste, ledelsen kan gøre, er at skrive sine forbehold ned og vurdere dem lige så nøgternt, som den vurderer IT-chefens forslag.
Hvordan ledelsen vurderer selve indstillingen, er et spørgsmål for sig. Her handler det om ledelsens egne grunde til at holde igen. → IT beder om penge til en test
Hvorfor det er værd at se på tøven
En ledelse, der tøver uden at sige hvorfor, sender et signal til IT-chefen: sikkerheden er ikke vigtig nok til at tage stilling til. Det kan få IT-chefen til at holde op med at foreslå ting, også de vigtige. Et klart ja, et klart nej eller et begrundet “ikke endnu” er alle bedre end at lade forslaget ligge.
Truslen er heller ikke abstrakt. Styrelsen for Samfundssikkerhed skriver i vurderingen Cybertruslen mod Danmark fra november 2025, at danske myndigheder, virksomheder og borgere dagligt udsættes for cyberangreb, og vurderer, at det er meget sandsynligt, at danske organisationer vil blive udsat for forsøg på ransomwareangreb. Det betyder ikke, at netop jeres virksomhed bliver ramt, men det gør det svært at afvise spørgsmålet som teoretisk.
Forbehold: det er for dyrt
Prisen er et legitimt forbehold. Spørgsmålet er bare, hvad den sammenlignes med. Ledelsen kan spørge, hvad det koster virksomheden, hvis de vigtigste systemer står stille i en uge, eller hvis kundedata kommer i forkerte hænder. Svaret behøver ikke være et præcist tal. Det er nok at se, om udgiften til testen står i rimeligt forhold til det, der er på spil. Hvad der påvirker omfanget af en opgave, og dermed udgiften, kan ledelsen læse om under pris og tilbud. Bed IT-chefen om at forklare, hvilke valg i forslaget der gør det dyrere, så ledelsen kan se, hvor der kan skæres uden at miste det vigtigste.
Det kan også være, at forslaget er for stort. Så er svaret ikke et nej, men en skarpere afgrænsning, hvor de vigtigste systemer kommer først.
Forbehold: vi har aldrig haft problemer
Det er et udbredt argument, men det bygger på det, virksomheden har opdaget. Et angreb bliver ikke nødvendigvis opdaget, når det sker, og det kan gå ubemærket hen, hvis ingen leder efter det. At der ikke har været synlige problemer, siger derfor mere om, hvad virksomheden har set, end om, hvad der er sket. → Vi har aldrig haft et sikkerhedsproblem
Forbehold: hvad nu hvis det er slemt?
Nogle ledelser tøver, fordi de frygter resultatet. Hvis testen viser alvorlige svagheder, skal der handles, og det kan koste. Det er en forståelig reaktion, men den er svær at forsvare, hvis en hændelse senere viser, at svaghederne var der hele tiden.
En ledelse, der har fået en test og handlet på den, står stærkere end en ledelse, der valgte ikke at vide det. Det gælder over for bestyrelsen, over for kunderne og over for den ledelse selv, der skal leve med beslutningen. → Det er tryggere ikke at vide det
Forbehold: vi har ikke råd til at rette
Dette forbehold er mere solidt end de andre. En test, der finder problemer, som ingen har tid eller penge til at løse, giver viden uden handling. Svaret er dog ikke at lade være med at teste, men at planlægge rettelserne samtidig. Bed IT-chefen om et skøn over, hvad opfølgningen vil kræve, og afsæt plads til det, før testen bestilles. Hvis pladsen ikke findes i år, kan testen udskydes til en periode, hvor den gør. → Afsæt penge til rettelserne
Forbehold: IT vil bare have mere
Hvis ledelsen mistænker, at testen skal bruges til at retfærdiggøre et større budget eller flere folk, er det værd at sige det højt. Måske har ledelsen ret. Men en uafhængig test er et dårligt redskab til at skabe et kunstigt behov, fordi resultatet kommer fra en, der ikke har interesse i IT’s budget. Hvis testen viser, at IT har brug for flere ressourcer, er det en oplysning, ledelsen bør have. Hvis den viser, at tingene er i orden, er det også nyttigt at vide.
Et forbehold, der handler om tillid til IT-chefen, bør tages op som det, det er, og ikke skjules bag et nej til testen. Det er en anden samtale, og den bliver ikke lettere af at blive udskudt.
Et tænkt eksempel
IT-chefen i en kæde af fitnesscentre har to gange foreslået en test af medlemssystemet og betalingsløsningen. Begge gange er forslaget blevet udsat uden en klar begrundelse. Ved tredje forsøg beder bestyrelsesformanden direktøren om at sætte ord på, hvorfor det trækker ud.
Direktøren skriver forbeholdene ned: prisen, frygten for at skulle bruge mange penge på rettelser, og en fornemmelse af, at alt er i orden, fordi der aldrig har været klager. Gennemgået ét for ét viser det sig, at prisen er overkommelig, hvis testen begrænses til medlemssystemet, at rettelserne kan planlægges ind i næste års budget, og at fornemmelsen ikke bygger på andet end fraværet af klager. Testen bliver godkendt med en betingelse om et kort resumé til bestyrelsen. Direktøren fortæller samtidig IT-chefen, hvorfor de første forslag blev udsat, så det næste forslag kan tage højde for det.
Det skal I lade være med
- At lade forslaget ligge uden svar · det er værre end et nej.
- At skjule et tillidsproblem bag et nej til testen · tag det op direkte.
- At bruge fraværet af hændelser som bevis · det viser kun, hvad I har set.
- At afvise testen, fordi rettelserne er dyre · planlæg dem i stedet.
- At sige ja uden at have afklaret forbeholdene · så kommer de igen, når resultatet foreligger.
Hvad kan og ikke kan konkluderes
En ærlig gennemgang af ledelsens forbehold kan vise, hvilke der holder, og hvilke der bygger på uro eller vane. Den kan ikke afgøre, om testen er det rigtige for virksomheden lige nu. Nogle gange er svaret at vente eller at teste mindre, og det er en fuldt forsvarlig beslutning, når den er begrundet. → Når ledelsen siger nej
Kilder
- Styrelsen for Samfundssikkerhed: Cybertruslen mod Danmark (november 2025): danske myndigheder, virksomheder og borgere udsættes dagligt for cyberangreb; vurderingen af, at det er meget sandsynligt, at danske organisationer vil blive udsat for forsøg på ransomwareangreb.
Senest gennemgået: oktober 2026.
Næste skridt
- Hvornår kan ledelsen sige nej til en test?
- Det første testresultat: hvad ledelsen skal være forberedt på
Del af: Artikler til ledelsen
Læs også: Når IT er imod en ekstern test · Er testen pengene værd?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
