Kan testresultatet bruges imod os?

Bekymringen kan dukke op i ledelsen, nogle gange sent i beslutningen: hvis vi får et dokument, der beskriver vores svagheder, kan det så bruges imod os af en kunde, en modpart i en tvist, en myndighed eller en angriber? Svaret er, at rapporten kan komme i spil, men at det ikke nødvendigvis er selve dokumentationen, der er problemet. Det, der står svagt, er en ledelse, der vidste besked og ikke handlede. En ledelse, der lod teste, tog stilling og fulgte op, kan stå bedre end en, der valgte ikke at se efter.

Teksten er ikke juridisk rådgivning. Hvordan en rapport kan indgå i en konkret sag, afhænger af sagen, aftalerne og reglerne på området, og det bør vurderes af virksomhedens egen advokat.

Hvor bekymringen kommer fra

Bekymringen er forståelig. En sikkerhedsrapport er skrevet for at finde fejl, og den gør det i et sprog, der kan lyde alvorligt for en udenforstående. Den bliver liggende i virksomheden, og ingen ved, hvem der læser den om nogle år.

Det er især fire situationer, ledelser kan tænke på:

En tvist med en kunde · efter et sikkerhedsbrud spørger kunden, hvad virksomheden vidste.
Spørgsmål fra en myndighed · for eksempel efter et brud på persondatasikkerheden.
Forsikringen · selskabet spørger, om virksomheden kendte til forholdet, da policen blev tegnet.
Rapporten slipper ud · en angriber eller en konkurrent får fat i den.

I alle fire er det værd at stille spørgsmålet omvendt: hvordan står virksomheden, hvis der ikke er nogen rapport?

Viden uden handling er det svage punkt

Ledelsen har en almindelig pligt til at sørge for en forsvarlig organisation, og dermed også til at have et rimeligt billede af de risici, virksomheden løber. At undgå at se efter fjerner ikke risikoen. Det fjerner kun ledelsens grundlag for at handle på den. → Det er tryggere ikke at vide det

Det, der kan komme til at stå svagt, er en rapport, der blev lagt i en skuffe. Hvis et alvorligt fund er beskrevet, og der ikke er truffet nogen beslutning om det, ser det ud som om, ledelsen kendte risikoen og lod den stå. Det er ikke testen, der er problemet her, men den manglende opfølgning.

Omvendt kan en ledelse, der kan vise, at den lod teste, prioriterede fundene, rettede det alvorligste og bevidst accepterede resten, fremlægge et billede af ansvarlig adfærd. Det fritager ikke for ansvar, men det er et helt andet udgangspunkt. → Har vi gjort, hvad vi kunne?

Tre ting, der gør rapporten til en styrke

Ledelsen kan selv bestemme, om rapporten bliver en belastning eller en dokumentation for gode beslutninger.

Beslut noget om hvert væsentligt fund · rettes det, hvornår, og af hvem? Eller accepteres risikoen, og af hvem?
Skriv beslutningerne ned · i referatet, i en handlingsplan eller i risikoregistret, så de kan findes igen.
Følg op, til sagen er lukket · en plan, der aldrig gennemføres, er ikke bedre end ingen plan. → Bestyrelsens tilsyn med opfølgningen

Det kræver ikke mere arbejde end den opfølgning, der alligevel bør ske. Det kræver blot, at den bliver synlig.

Når nogen spørger

Kunder, forsikring og samarbejdspartnere kan spørge til sikkerheden. Det er fristende at svare, at alt er i orden, men et svar, der ikke holder, er en langt større risiko end en ærlig beskrivelse af status. Hvis virksomheden har testet, kan den svare konkret: vi har fået lavet en test, vi har rettet det alvorlige, og vi arbejder på resten.

Ledelsen skal dog ikke give rapporten fra sig i ren refleks. Hvem der må se hvad, er en beslutning for sig, og det er ikke altid nødvendigt at udlevere hele rapporten for at svare godt. → Hvem står inde for svarene i spørgeskemaet?

Hvis der er en verserende tvist eller et krav, er situationen en anden. Så bør advokaten inddrages, før noget deles eller siges. Det gælder også, hvis der er en hændelse under opsejling, og ledelsen overvejer at bestille en test som led i håndteringen. Rækkefølgen og formålet kan have betydning for, hvordan materialet senere bliver set, og det er bedre at have spurgt for tidligt end for sent.

Den mest konkrete måde, rapporten kan bruges imod virksomheden på, er ikke juridisk, men praktisk. En rapport, der beskriver svagheder i detaljer, er værdifuld for en angriber, så længe svaghederne ikke er rettet. Det taler for at behandle den som et fortroligt dokument med få modtagere, og for at rette de alvorligste forhold hurtigt, så rapporten mister sin værdi for andre. → Hvis testresultatet slipper ud

Et tænkt eksempel

Bestyrelsen i en virksomhed, der leverer lønsystemer til mindre arbejdsgivere, diskuterer en sikkerhedstest. Et bestyrelsesmedlem spørger, om det er klogt at få skrevet ned, hvor systemet er svagt, når kunderne kan finde på at spørge.

Formanden vender spørgsmålet om: hvad siger vi til kunderne, hvis der sker noget, og vi aldrig har set efter? Bestyrelsen beslutter at gennemføre testen og samtidig at fastlægge, hvem der må se rapporten, og hvordan beslutningerne om fundene dokumenteres. Direktionen får til opgave at fremlægge en plan for hvert alvorligt fund inden for et aftalt tidsrum.

Et halvt år senere spørger en større kunde til virksomhedens sikkerhedsarbejde. Direktøren kan svare, at systemet er testet, at de alvorlige forhold er rettet, og at der er en plan for resten. Rapporten forlader aldrig huset.

Det skal I lade være med

At undlade at teste for at undgå dokumentation · det fjerner grundlaget for ledelsens beslutninger, ikke risikoen.
At lægge rapporten i skuffen · viden uden beslutninger er det, der kan stå svagt.
At udlevere hele rapporten for at svare på et spørgsmål · overvej, hvad modtageren reelt har brug for.
At svare, at alt er i orden, når det ikke er · et svar, der ikke holder, er en større risiko.
At håndtere en konkret tvist uden advokat · så er der brug for rådgivning i den konkrete sag.

Hvad kan og ikke kan konkluderes

En sikkerhedsrapport kan komme i spil i en senere sag, og den kan være skadelig, hvis den slipper ud, før svaghederne er rettet. Den kan også dokumentere, at ledelsen tog sit ansvar alvorligt. Hvordan den vil blive vurderet i en konkret sag, kan ikke siges på forhånd og afhænger af flere forhold, herunder hvad ledelsen gjorde med resultatet.