IT siger, at alt er i orden: hvornår skal ledelsen bede om dokumentation?

Et mundtligt “det har vi styr på” fra IT-chefen eller driftsleverandøren er en vurdering, ikke en dokumentation. Hvornår ledelsen skal bede om mere, afhænger af, hvem der skal bruge svaret: hvis det kun er ledelsen selv, kan tillid være nok i en periode; hvis svaret skal stå over for en kunde, en bank, en forsikring eller bestyrelsen, skal ledelsen kunne vise, hvad det bygger på.

Det er vigtigt at holde fast i, at spørgsmålet ikke handler om mistillid. En IT-chef kan have fuldstændig ret i, at tingene er i orden. Men den, der har bygget og driver løsningen, er ikke den bedste til at bekræfte, at den holder, på samme måde som en bogholder ikke reviderer sit eget regnskab. Det er en indretning, ikke en anklage.

Hvorfor et mundtligt svar ikke er nok

Når ledelsen spørger, om sikkerheden er i orden, kan den få et svar, der afspejler, hvad IT har gjort: opdateringer kører, der er backup, medarbejderne har fået tofaktor. Det er nyttige oplysninger. De fortæller bare ikke, om tiltagene virker, som de skal, eller om der er huller, ingen har tænkt på.

Svaret bliver også formet af den, der giver det. IT har ikke nødvendigvis interesse i at fremstille sin egen indsats som utilstrækkelig, og de svagheder, IT ikke kender, kan IT ikke fortælle om. Begge dele er menneskeligt, og ingen af dem gør svaret forkert. Det gør det bare ufuldstændigt som grundlag for en ledelsesbeslutning.

Tag et tænkt eksempel. En direktør spørger på et ledelsesmøde, om virksomheden kan modstå et angreb af den slags, der har været omtalt i pressen. IT-chefen svarer ja og nævner backup, opdateringer og en ny firewall. Svaret er ærligt ment. Men ingen har prøvet, om backuppen kan genskabes, om en angriber med en enkelt medarbejders adgangskode kan nå længere, end nogen regner med, eller om leverandørens fjernadgang er lukket ned efter sidste projekt. Svaret beskriver indsatsen, ikke resultatet.

Hvornår det er tid til at bede om dokumentation

Der er situationer, hvor ledelsen ikke kan nøjes med en forsikring, uanset hvor meget den stoler på IT.

Svaret skal bruges udadtil · en kunde, en bank eller en forsikring vil vide, hvordan sikkerheden er undersøgt.
Bestyrelsen spørger · bestyrelsen fører tilsyn med direktionen og skal kunne se grundlaget.
Der er sket store ændringer · nye systemer, ny leverandør eller ny måde at arbejde på.
Svaret har været det samme længe · “alt er i orden” i flere år uden nyt grundlag.
Ansvaret er delt · IT, leverandører og cloudtjenester peger på hinanden, når der spørges.

I alle disse tilfælde handler det om, at ledelsen skal kunne stå inde for et svar, den ikke selv har undersøgt. → Spørgsmål, direktionen bør stille IT-chefen

Hvad dokumentation kan være

Dokumentation behøver ikke at være en penetrationstest. Det kan være en opgørelse over systemer og adgange, en rapport fra driftsleverandøren, en gennemgang fra revisor eller resultatet af en tidligere test. Det afgørende er, at det er skrevet ned, at det er dateret, og at det fremgår, hvem der har undersøgt hvad.

Den britiske myndighed NCSC anbefaler i sin vejledning om ledelse af cyberrisici, at bestyrelsen sikrer sig, at sikkerheden er en del af de eksisterende ordninger for intern og ekstern kontrol, og at der er en løbende dialog mellem ledelsen og den, der har ansvaret for sikkerheden. Det er en britisk vejledning uden retsvirkning i Danmark, men tanken er brugbar: sikkerheden skal kontrolleres på samme måde som andre væsentlige områder, ikke kun rapporteres. → Intern kontrol

Hvornår en uafhængig test giver mening

En sikkerhedstest udført af nogen uden for den daglige drift giver noget, ingen intern rapport kan: et blik fra en, der ikke har bygget løsningen og ikke har interesse i resultatet. Den viser, hvordan det faktisk står til, og ikke hvordan det var tænkt.

Testen er særlig relevant, når de systemer, der betyder mest for forretningen, aldrig er undersøgt udefra, eller når den seneste undersøgelse er fra før store ændringer. Den kan også bruges til at bekræfte, at IT har ret. Det er et resultat, der styrker IT-funktionen, ikke det modsatte. → Et uafhængigt blik

Sådan spørger ledelsen uden at skabe mistillid

Måden, ledelsen beder om dokumentation på, betyder meget for, hvordan det bliver modtaget. Et krav, der kommer ud af det blå, kan let opfattes som kritik. Et krav, der er en del af en fast praksis, er bare sådan, virksomheden arbejder.

Gør det til en fast ordning · dokumentation af sikkerheden hører med på samme måde som regnskab og budget.
Forklar formålet · ledelsen skal kunne svare udadtil og føre tilsyn, ikke kontrollere den enkelte.
Involver IT i at vælge, hvad der skal undersøges · IT kan vide bedst, hvor tvivlen er størst.
Gør det klart, at fund ikke er nederlag · en test, der finder noget, har gjort sit arbejde.

Hvis IT alligevel er imod, er det værd at forstå hvorfor. Bekymringen kan handle om tid, om forstyrrelser eller om, hvordan resultatet vil blive brugt, og den slags kan ledelsen tage højde for. → IT er imod en test

Det skal I lade være med

At tage et mundtligt svar som dokumentation over for andre · kunder og bestyrelse skal kunne se grundlaget.
At lade den, der driver løsningen, være den eneste, der vurderer den · det er en uheldig indretning, ikke et spørgsmål om tillid.
At bede om dokumentation, først når noget er gået galt · så ligner det en anklage.
At bruge en test til at finde syndebukke · det lukker munden på dem, der kender svaghederne bedst.
At afvise IT’s svar uden at spørge ind til det · grundlaget kan godt være der, det er bare ikke skrevet ned.

Hvad kan og ikke kan konkluderes

Et mundtligt svar fra IT fortæller, hvad IT mener og har gjort. Det kan være rigtigt, men det kan ikke stå alene, når ledelsen skal stå inde for sikkerheden over for andre. Dokumentation og en uafhængig test giver et bedre grundlag, men heller ikke de kan vise, at alt er i orden. De viser, hvad der er undersøgt, hvornår og med hvilket resultat, og det er netop det, ledelsen har brug for at kunne sige. → Er svarene gode nok?

Tjekliste til næste møde med IT

☐ Hvad bygger vurderingen af sikkerheden på, og er det skrevet ned?
☐ Hvornår er sikkerheden sidst undersøgt af nogen uden for driften?
☐ Hvilke systemer er aldrig undersøgt udefra?
☐ Hvad er ændret siden sidste undersøgelse?
☐ Kan vi vise grundlaget til en kunde eller bestyrelsen?
☐ Er det aftalt, hvordan dokumentationen bliver en fast del af styringen?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: princip E om tilsyn, løbende dialog med den sikkerhedsansvarlige og sikkerhed som del af intern og ekstern kontrol.

Senest gennemgået: oktober 2026.