Hvad ledelsen kan forvente at høre, mens testen står på

Når en sikkerhedstest er sat i gang, kan ledelsen høre ingenting, før rapporten kommer. Det er ikke i sig selv et dårligt tegn. Men der er situationer, hvor ledelsen skal vide besked med det samme, og de bør være aftalt, før testen begynder. Svaret på, hvad ledelsen kan forvente, hviler derfor på en aftale: hvad der udløser en orientering, hvem der giver den, og hvordan den gives. Uden en sådan aftale er det tilfældigt, om ledelsen hører om noget alvorligt i tide.

Hvordan testeren håndterer et kritisk fund i praksis, er beskrevet på penetrationtest.dk. Her handler det om ledelsens side.

Stilhed er det normale

Det meste af en test foregår uden, at ledelsen mærker noget. Testeren arbejder, IT svarer på praktiske spørgsmål, og fundene samles til rapporten. Ledelsen behøver ikke daglige meldinger, og det er ikke nødvendigvis en god idé at bede om dem. Små, uafklarede observationer kan let blive misforstået, når de løftes ud af sammenhængen. En tidlig bemærkning om, at “noget ser mærkeligt ud”, kan føre til bekymring eller forhastede beslutninger, selv om det viser sig at være ingenting, når testeren har set nærmere på det.

Det kan dog være nyttigt med en kort besked, når testen begynder, og når den er afsluttet. Så ved ledelsen, i hvilket tidsrum der kan opstå uventede hændelser i systemerne, og hvornår rapporten kan forventes. → Forstyrrer testen forretningen?

Tre situationer, der kræver en melding

Det amerikanske NIST beskriver i sin vejledning om sikkerhedstest, at relevante personer bør informeres om kritiske sårbarheder, så snart de opdages, og at den øverste ledelse bør informeres, hvis der opstår en hændelse. Vejledningen anbefaler også, at testen standses, indtil hændelsen er håndteret, og der er givet lov til at fortsætte.

For en dansk ledelse kan det oversættes til tre situationer:

Tegn på et reelt indbrud · testeren finder spor efter, at nogen allerede har været inde.
Et alvorligt fund · en svaghed, der er så alvorlig, at den ikke bør vente på rapporten.
En påvirkning af driften · testen forstyrrer et system, som forretningen er afhængig af.

I alle tre tilfælde skal der træffes beslutninger, som rækker ud over IT. Skal noget lukkes ned? Skal kunder eller samarbejdspartnere vide det? Skal der hentes hjælp udefra? Det er ledelsesbeslutninger. Testeren kan rådgive, og IT kan vurdere de tekniske muligheder, men det er ledelsen, der skal veje hensynet til driften, kunderne og omdømmet mod hinanden. → Tegn på indbrud

Hvem orienterer, og hvem orienteres?

Aftalen bør være præcis. Testeren kan melde til en fast kontaktperson hos virksomheden, fx IT-chefen. Den kontaktperson vurderer, om ledelsen skal orienteres, og gør det. Men aftalen bør også sige, hvad der sker, hvis kontaktpersonen ikke kan træffes.

Fast kontaktperson · den, testeren altid ringer til først.
Stedfortræder · den, testeren ringer til, hvis kontaktpersonen ikke svarer.
Ledelsens kontakt · den i ledelsen, der skal orienteres, og som kan træffe beslutninger.
Grænsen · hvilke situationer der altid går direkte til ledelsen.

Det bør også være klart, hvem i ledelsen der har mandat til at standse testen. Det er ikke altid nødvendigt, men når det er, haster det. Aftal også, hvordan testeren får besked, når testen må fortsætte, så den ikke står stille længere end nødvendigt. → Ledelsens godkendelse af testen

Hvordan orienteringen sker

En melding om et alvorligt fund eller tegn på indbrud er i sig selv fortrolig. Den bør ikke sendes i en almindelig mail til en bred kreds, og slet ikke ad kanaler, som en angriber, der allerede er inde, måske kan følge med i. Et telefonopkald kan være det enkleste. Hvis der er mistanke om, at nogen allerede har adgang til virksomhedens systemer, kan det være klogt at undgå virksomhedens egne kanaler helt, indtil situationen er afklaret.

Aftal også, hvad meldingen skal indeholde. Ledelsen har ikke brug for tekniske detaljer, men for svar på tre spørgsmål: hvad er der fundet, hvad kan det betyde for forretningen, og hvad foreslår testeren og IT, at der gøres nu? Med de tre svar kan ledelsen beslutte. → Fra fund til forretningsrisiko

Når ledelsen skal beslutte hurtigt

Hvis testeren finder tegn på et reelt indbrud, ændrer situationen karakter. Så er det ikke længere en test, men en mulig hændelse. Virksomhedens beredskabsplan bør tage over, og det er ledelsen, der skal sætte den i gang.

Det er en god idé at have tænkt over, hvem der skal med i den beslutning, før testen begynder. Hvis virksomheden har en beredskabsplan, bør kontaktpersonen og testeren kende den. Hvis den ikke har en, er testen en anledning til at overveje det. Under alle omstændigheder bør det være aftalt, hvem testeren må tale med uden for virksomheden, fx driftsleverandøren, og hvem der må orientere den. → Beredskab og test

Et tænkt eksempel

En producent af emballage får testet sine systemer. Ledelsen har aftalt, at testeren melder til IT-chefen, og at direktøren orienteres ved tegn på indbrud eller påvirkning af produktionen.

Midt i testen opdager testeren, at en konto, som ingen kender, har været brugt om natten. IT-chefen er på ferie, så testeren ringer til stedfortræderen, som straks ringer til direktøren. Testen standses. Direktøren sætter beredskabsplanen i gang og beder driftsleverandøren undersøge kontoen. Det viser sig at være en glemt servicekonto fra en tidligere leverandør, og testen genoptages efter to dage. Kontoen lukkes, og ledelsen beder om en oversigt over andre konti fra tidligere leverandører.

Det skal I lade være med

At bede om daglige meldinger · de skaber støj og risiko for misforståelser.
At undlade at aftale noget · så er det tilfældigt, om ledelsen hører om det alvorlige.
At glemme stedfortræderen · ferie og sygdom følger ikke testens kalender.
At sende følsomme meldinger på mail · ring, eller brug en kanal, I ved er sikker.
At lade testen fortsætte ved tegn på indbrud · stop, og lad beredskabet tage over.

Hvad kan og ikke kan konkluderes

En klar aftale om orientering sikrer, at ledelsen hører om det alvorlige i tide og kan handle. Den sikrer ikke, at alt alvorligt bliver opdaget under testen, og den erstatter ikke rapporten. Stilhed undervejs betyder ikke, at der intet er fundet. Det betyder kun, at intet har krævet en beslutning med det samme.

Tjekliste til aftalen om orientering

☐ Er det aftalt, hvilke situationer der kræver en melding?
☐ Har testeren en fast kontaktperson og en stedfortræder?
☐ Ved testeren, hvem i ledelsen der skal orienteres?
☐ Er det klart, hvem der kan standse testen?
☐ Er det aftalt, hvordan følsomme meldinger gives?
☐ Kender kontaktpersonen beredskabsplanen?

Kilder

SP 800-115: Technical Guide to Information Security Testing and Assessment: afsnit 7.1 om koordinering under testen, herunder at relevante personer informeres om kritiske sårbarheder, så snart de opdages, at den øverste ledelse informeres ved en hændelse, og at testen standses, indtil hændelsen er håndteret.

Senest gennemgået: oktober 2026.