Når IT er imod en ekstern test

Ledelsen har besluttet, at virksomheden skal have en ekstern sikkerhedstest, og IT er imod. Modstanden er ikke nødvendigvis et udtryk for, at IT har noget at skjule. Den kan lige så vel handle om tre ting: arbejdsbyrden, frygten for at blive kritiseret og bekymringen for driften. Alle tre er rimelige, og ledelsen kan gøre noget ved dem. Svaret er derfor ikke at trække beslutningen tilbage og heller ikke at presse den igennem. Det er at lytte til bekymringen, tage højde for det, der kan tages højde for, og så fastholde, at beslutningen om at få et uafhængigt blik ligger hos ledelsen.

En test, som IT modarbejder, giver et dårligere resultat end en test, IT støtter. Det er grunden til, at det er værd at bruge tid på samtalen.

Lyt efter, hvad modstanden handler om

Det første skridt er at finde ud af, hvad IT egentlig er imod. Spørg åbent og lad svaret stå, før ledelsen argumenterer.

Tiden · IT har allerede for meget at lave, og en test kræver forberedelse og opfølgning.
Kritikken · en rapport med fund kan blive læst som en karakter for IT’s arbejde.
Driften · en test kan forstyrre systemer, som forretningen er afhængig af.
Pengene · IT ville hellere bruge budgettet på noget, der forbedrer sikkerheden direkte.
Tvivlen om udbyttet · IT mener at kende svaghederne og ser ikke, hvad en test tilføjer.

Hvert svar peger på sin egen løsning. Det er derfor, ledelsen bør vide, hvilket det er, før den svarer. Der kan være flere grunde på én gang, og den, der bliver sagt først, er ikke altid den vigtigste. Det kan være klogt at tage samtalen under fire øjne frem for på et ledelsesmøde, hvor IT-chefen kan føle sig presset til at forsvare sig.

Når det handler om tid

Hvis IT ikke har tid, er det et ledelsesproblem, ikke et IT-problem. En test kræver, at nogen forbereder adgange, er til rådighed undervejs og følger op bagefter. Hvis tiden ikke findes, skal ledelsen enten fjerne noget andet fra IT’s liste eller skaffe hjælp.

Det er også en mulighed at vælge tidspunktet med IT. En test, der ligger i en rolig periode, er lettere at tage imod end en, der falder midt i en omlægning. → Hvad testen kræver af jeres egne folk

Når det handler om kritik

Frygten for at blive dømt kan være den egentlige grund, også når den ikke bliver sagt højt. Her kan ledelsen gøre mest, fordi det er ledelsen, der bestemmer, hvordan resultatet bliver brugt.

Det britiske NCSC skriver i sin vejledning til bestyrelser om sikkerhedskultur, at medarbejdere skal kunne tale åbent om problemer uden frygt for repressalier, og at en ledelse, der kun belønner fraværet af problemer, får folk til at tie. NCSC tilføjer, at et nej til syndebukke ikke betyder et nej til ansvar. Det er en god formulering at tage med ind i samtalen med IT.

Sig det direkte: fund i testen er virksomhedens fund. De bliver brugt til at prioritere og rette, ikke til at finde en skyldig. Lov også, at IT får lejlighed til at forklare fundene, før de går videre til bestyrelsen. → Hvem har skylden for fundene?

Når det handler om driften

Bekymringen for driften er saglig og bør tages alvorligt. En test kan afgrænses, så de mest følsomme systemer testes forsigtigt eller på bestemte tidspunkter. IT kan få en direkte linje til testeren og ret til at stoppe testen, hvis noget går galt.

Lad IT være med til at sætte de rammer. Det gør testen sikrere, og det giver IT medejerskab. Spørg også, hvad IT ville kræve for at føle sig tryg, og skriv svaret ind i aftalen med testeren. → Forstyrrer testen forretningen?

Når det handler om penge eller udbytte

Hvis IT hellere vil bruge pengene på løsninger, er det et argument, der fortjener en ordentlig behandling. Måske har IT ret i, at en kendt svaghed bør lukkes først. Men ledelsen bør også spørge, hvordan IT ved, at det er den vigtigste svaghed. En ekstern test kan bekræfte IT’s prioritering, og det styrker IT’s sag næste gang, der skal bevilges penge.

Argumentet om, at IT allerede kender svaghederne, svarer ledelsen på samme måde. Det er netop det, testen kan bekræfte eller udfordre. Den, der har bygget systemerne, kan ikke se dem med fremmede øjne. → Et uafhængigt blik

Fasthold beslutningen

Når bekymringerne er hørt og så vidt muligt imødekommet, skal ledelsen være klar til at fastholde beslutningen, også hvis IT stadig er skeptisk. Begrundelsen er enkel: ledelsen skal kunne stå inde for sikkerheden over for bestyrelse, kunder og samarbejdspartnere, og det kræver et grundlag, der ikke kommer fra den, der driver systemerne.

Det kan siges uden at så tvivl om IT’s arbejde. Det er den samme logik, der gør, at regnskabet revideres udefra, selv om økonomifunktionen er dygtig. Hvis IT-chefen stadig er uenig, kan uenigheden skrives ned, så den er synlig, og testen kan gennemføres med IT som partner. → IT siger, at alt er i orden

Et tænkt eksempel

Direktionen i en virksomhed, der importerer og sælger reservedele, beslutter at få testet webshoppen og forbindelsen til lagersystemet. IT-chefen er imod og siger, at det tager tid fra en vigtig opgradering, og at en ekstern part ikke kender systemerne godt nok.

Direktøren spørger, hvad der bekymrer mest. Efter lidt tid kommer det frem, at IT-chefen er nervøs for, at bestyrelsen vil se fundene som et bevis på dårligt arbejde. Direktøren lover, at IT-chefen selv præsenterer resultatet sammen med en plan, og at testen først gennemføres efter opgraderingen. IT-chefen får også lov at være med til at afgrænse testen. Testen bliver gennemført to måneder senere, og IT-chefen bruger resultatet til at få budget til to forbedringer, der længe har været skubbet.

Det skal I lade være med

At opgive testen ved første modstand · beslutningen er ledelsens.
At presse testen igennem uden at lytte · så får I en test, IT ikke bakker op om.
At bruge resultatet til at udpege skyldige · det bekræfter den frygt, der skabte modstanden.
At overse tidsproblemet · en test uden tid til opfølgning er spild.
At tolke modstand som et tegn på skjulte problemer · det er ikke nødvendigvis sådan.

Hvad kan og ikke kan konkluderes

IT’s modstand siger noget om, hvordan testen opleves i organisationen, ikke om, hvorvidt den er nødvendig. Ledelsen kan fjerne de praktiske hindringer og meget af frygten. Den kan ikke garantere, at alle bliver overbevist, og det er heller ikke nødvendigt. Det vigtige er, at IT er med i gennemførelsen og opfølgningen.

Kilder

NCSC (UK): Cyber Security Toolkit for Boards, Developing a positive cyber security culture: åbenhed om problemer uden frygt for repressalier; at belønne fravær af problemer får folk til at tie; nej til syndebukke er ikke nej til ansvar.

Senest gennemgået: oktober 2026.