Kan sikkerhed måles? Det, ledelsen kan følge efter en test

En direktion, der styrer efter tal, vil gerne have et tal for sikkerheden, og det findes ikke. Det, der kan måles, er noget mere afgrænset: om de beslutninger, ledelsen har truffet efter en test, bliver ført ud i livet til tiden. Svaret hviler på en skelnen, som er værd at have med i bestyrelseslokalet, nemlig forskellen mellem en måling og en vurdering. Med den skelnen på plads kan ledelsen vælge få målepunkter, som siger noget om styringen, og lade være med at forvente, at de siger noget om, hvor sikre systemerne er.

Måling og vurdering er to forskellige ting

Det amerikanske standardiseringsinstitut skelner i sin vejledning om måling af informationssikkerhed, NIST SP 800-55, mellem kvantitative målinger og kvalitative vurderinger. En måling giver en værdi, der betyder det samme uden for den sammenhæng, den er lavet i. En vurdering som høj, middel og lav, eller en farveskala, er en skønsmæssig kategori. Vejledningen regner ikke den slags vurderinger for målinger.

For ledelsen er pointen enkel. Når en rapport siger, at risikoen er gul, er det en vurdering, som afhænger af den, der har lavet den. Når IT siger, at et alvorligt fund har været åbent i længere tid end den frist, ledelsen har sat, er det en måling. Begge dele kan være nyttige, men de skal læses forskelligt. → Rød, gul og grøn i ledelsesrapporter

Hvad en test gør målbart

Selve testen giver ikke et sikkerhedstal. Men den giver noget, der kan følges: en liste over konkrete fund, en vurdering af deres alvor og en plan for, hvad der skal ske. Fra det øjeblik er der en række forhold, som kan tælles og dateres.

Tid til beslutning · hvor lang tid går der fra rapporten foreligger, til ledelsen har godkendt planen?
Alder på åbne fund · hvor længe har de alvorlige fund stået åbne i forhold til ledelsens egen frist?
Efterprøvede rettelser · er rettelserne kontrolleret, eller er de kun meldt udført?
Beslutninger om accept · har hvert fund, der ikke rettes, en begrundelse og en ansvarlig?
Planlagte test · blev de test, ledelsen besluttede, faktisk gennemført?

Ingen af målepunkterne kræver teknisk forståelse. De handler om, hvorvidt organisationen gør det, ledelsen har besluttet. Et sæt pejlemærker til den løbende opfølgning er beskrevet i → Måler testen vores sikkerhedsniveau?

Et målepunkt kræver et mål

Et tal uden et mål er en oplysning, ikke et styringsredskab. Vejledningen fra NIST beskriver målepunkter som noget, der skal vise fremskridt i forhold til et fastsat mål, og anbefaler, at en rapportering sætter tallet i sammenhæng: hvilken risiko det peger på, om det ligger inden for ledelsens risikovillighed, og hvilken beslutning der eventuelt skal træffes.

Det betyder, at ledelsen selv skal fastsætte rammerne, før målepunkterne giver mening. Hvor længe må et alvorligt fund være åbent? Hvem må beslutte at acceptere en risiko? Hvor ofte skal de vigtigste systemer testes? Uden de svar kan IT kun rapportere tal, som ingen ved, om de er gode eller dårlige. → Risikovillighed

Målepunkter, der kan give bagslag

Det britiske NCSC advarer i sit værktøj til bestyrelser mod at bruge risikotal isoleret og mod at gøre et fald i risikoniveauet til selve målet for succes. Tallene kan let misforstås, hvis ingen har aftalt, hvad de betyder. NCSC peger også på, at målepunkter udtrykker, hvad organisationen værdsætter. Belønner ledelsen fravær af problemer, risikerer den, at problemerne ikke bliver meldt.

Det giver et par konkrete faldgruber for en ledelse, der følger op på en test.

Færre fund som mål · det kan få nogen til at ønske en smallere test næste gang.
Lukkede sager som mål · det kan føre til, at fund meldes rettet uden at være kontrolleret.
Grønne felter som mål · det kan presse den, der rapporterer, til at vælge den venligste farve.

Vælg i stedet målepunkter, hvor det er en fordel at være ærlig. Det er bedre at belønne, at problemer bliver meldt i tide, end at skemaet er tomt. → Ingen syndebukke

Hvem leverer tallene?

Et målepunkt er ikke bedre end den kilde, det bygger på. Når den, der skal rette fundene, også er den eneste, der melder, om de er rettet, har ledelsen kun en egenerklæring. Det er ikke udtryk for mistillid at bede om noget mere, men et spørgsmål om, hvad tallet kan bære.

Aftal derfor, hvor hvert tal kommer fra. Nogle forhold kan IT selv dokumentere, for eksempel datoer for beslutninger og rettelser. Andre forhold kræver et blik udefra, fx en efterprøvning af de alvorlige rettelser eller en ny test af de samme systemer. Den uafhængige kontrol behøver ikke ske hver gang, men ledelsen bør vide, hvilke tal der er kontrolleret, og hvilke der ikke er. → Hvordan ved ledelsen, at fundene faktisk bliver rettet?

Et tænkt eksempel

Et laboratorium, der analyserer prøver for fødevarevirksomheder, har fået testet sit system til prøvesvar. Direktionen beder IT om en kvartalsvis oversigt med fire punkter: åbne alvorlige fund og deres alder, rettelser der er efterprøvet, risici der er accepteret og af hvem, samt status på næste planlagte test.

Efter to kvartaler viser oversigten, at ét alvorligt fund har stået åbent langt over den frist, direktionen satte. Det er ikke et tegn på, at sikkerheden er blevet dårligere, men på at rettelsen afhænger af en leverandør, der ikke har leveret. Målepunktet gjorde ikke systemet sikrere, men det fik problemet op på det rette bord. → Status på rettelserne

Det skal I lade være med

At bede om ét samlet sikkerhedstal · det findes ikke, og et konstrueret tal kan vildlede.
At følge tal uden et mål · fastsæt først, hvad der er acceptabelt.
At blande vurderinger og målinger · en farve er et skøn, en dato er en kendsgerning.
At belønne fravær af fund · det kan få problemer til at forsvinde fra rapporten, ikke fra systemerne.
At skifte målepunkter hver gang · brug de samme, så udviklingen kan ses.

Hvad kan og ikke kan konkluderes

Målepunkter efter en test kan vise, om ledelsens beslutninger bliver fulgt, og om opfølgningen går hurtigere eller langsommere over tid. De kan ikke vise, hvor sikker virksomheden er, og et godt tal på styringen betyder ikke, at der ikke findes svagheder, som ingen har testet. Målepunkterne erstatter heller ikke en ny test, når systemerne eller truslerne har ændret sig.

Tjekliste til ledelsens målepunkter

☐ Har ledelsen fastsat frister og rammer, som tallene kan holdes op mod?
☐ Er det klart, hvilke punkter der er målinger, og hvilke der er vurderinger?
☐ Har hvert målepunkt en ejer og en kilde?
☐ Er der målepunkter, der kan friste til at skjule problemer?
☐ Bruges de samme målepunkter fra gang til gang?

Kilder

Measurement Guide for Information Security, SP 800-55 Vol. 1 (2024): afsnit 1.4 og 2.2 (måling, målepunkter mod et fastsat mål, kvalitative vurderinger regnes ikke som målinger) og 3.1.2 (rapportering med risiko, risikovillighed og beslutning).
NCSC, Cyber Security Toolkit for Boards: Use risk metrics with caution, og spørgsmålet om målepunkter, der fokuserer på succes frem for fejl.

Senest gennemgået: oktober 2026.