Kronjuvelerne: hvilke systemer og data kan virksomheden ikke undvære?

En sikkerhedstest kan ikke afprøve alt, og en ledelse kan ikke beskytte alt lige godt. Derfor er det første spørgsmål ikke, hvad der skal testes, men hvad virksomheden ikke kan klare sig uden. Svaret hviler på ledelsens kendskab til forretningen, ikke på IT’s oversigt over servere og programmer. De systemer, data og processer, som virksomheden står og falder med, kan kaldes kronjuvelerne. Når ledelsen har udpeget dem, får testen et fokus, og resultatet kan holdes op imod noget, der betyder noget.

Hvorfor det er ledelsens udpegning

IT kender systemerne, men ikke altid deres betydning. Et lille program, som kun bruges af tre personer i økonomiafdelingen, kan være det, der sikrer, at lønnen bliver udbetalt. Et stort system med mange brugere kan være let at undvære i en uge. Det er forretningen, der afgør, hvad der er vigtigt.

I sin kodeks for bestyrelser og direktioner beder den britiske regering sammen med NCSC ledelsen om at kontrollere, at det, der er afgørende for virksomhedens mål, er fundet, sat i rækkefølge og aftalt, hvad enten det er teknologi, oplysninger eller tjenester. Ordet aftalt er vigtigt. Listen skal ikke bare findes hos IT. Ledelsen skal have set den og være enig i den.

Tre slags kronjuveler

Når ledelsen leder efter kronjuvelerne, kan den kigge i tre retninger. De kan hænge sammen.

Data · oplysninger, der ikke må komme ud, ændres eller forsvinde: kundeoplysninger, tegninger, opskrifter, tilbudsgrundlag, regnskab, personaleoplysninger.
Systemer · det, forretningen kører på i det daglige: ordremodtagelse, produktion, lager, betaling, kundeportal.
Adgange · de konti og forbindelser, der giver vej til de to andre: administratorer, ledelsens egne konti, leverandørers fjernadgang.

Den sidste kategori kan blive glemt. Men en konto med adgang til alt er i praksis lige så værdifuld som de data, den giver adgang til. → Hvem har adgang til hvad?

Fem spørgsmål, der finder dem

Kronjuvelerne findes bedst ved at stille spørgsmål til forretningen, ikke til teknikken. Ledelsen kan bruge dem på et møde, hvor også de forretningsansvarlige er med.

Hvad ville stoppe os i morgen? · hvilke systemer skal virke, for at vi kan levere til kunderne?
Hvad må ikke komme ud? · hvilke oplysninger ville skade kunder, medarbejdere eller vores konkurrenceevne, hvis andre så dem?
Hvad må ikke ændres? · hvor ville en ubemærket ændring gøre mest skade, fx i betalingsoplysninger eller produktdata?
Hvad kan vi ikke genskabe? · hvilke data findes kun ét sted, eller ville tage lang tid at bygge op igen?
Hvad har vi lovet andre? · hvilke systemer og data er omfattet af aftaler med kunder, myndigheder eller samarbejdspartnere?

Svarene kan give en kortere liste, end ledelsen havde ventet. Det er et godt tegn. → Hvad står stille, hvis systemerne er nede?

En liste med tyve kronjuveler hjælper ikke. Hvis alt er kritisk, kan listen ikke bruges til at prioritere, hverken i testen eller i budgettet. En god tommelfingerregel er, at listen skal kunne stå på én side, og at hver post skal kunne forklares i én sætning.

Det betyder ikke, at det, der ikke står på listen, er ligegyldigt. Det betyder, at ledelsen har valgt, hvor den vil have størst sikkerhed for, at forsvaret holder. Resten beskyttes stadig, men det er ikke der, ledelsen først kigger, når resultatet kommer. → Ledelsens prioritering

Hvem der skal være med

Udpegningen fungerer bedst, når de rigtige mennesker sidder ved bordet. Direktionen kender strategien og de store kunder. De forretningsansvarlige kender de daglige processer og ved, hvor det gør ondt, når noget går i stå. IT kender systemerne og afhængighederne mellem dem. Og bestyrelsen kan spørge til det, som de daglige ledere tager for givet.

Et enkelt møde kan være nok til et første udkast. Det vigtige er, at IT ikke skriver listen alene og derefter beder ledelsen om at skrive under. Så bliver listen en oversigt over teknik, ikke over forretning. Når listen er aftalt, får den en ejer i ledelsen, som sørger for, at den bliver taget op igen.

Hvordan listen styrer testen

Når kronjuvelerne er udpeget, kan ledelsen bede om en test, der handler om dem. Spørgsmålet til testen bliver ikke “er vi sikre?”, men fx “kan nogen udefra nå vores kundeoplysninger?” eller “kan en medarbejders konto bruges til at komme ind i produktionssystemet?”. Det er spørgsmål, som en test kan give et brugbart svar på, og som ledelsen forstår.

Listen gør det også lettere at vurdere resultatet. Et fund, der åbner vej til en kronjuvel, vejer tungere end et fund i et system, der kan undværes. Og hvis testen ikke fandt en vej til kronjuvelerne, er det et resultat i sig selv, så længe ledelsen husker, at testen kun afprøvede det, den fik lov til. → Ledelsens valg, der bestemmer omfanget

Et tænkt eksempel

En familieejet virksomhed, der producerer specialfoder til husdyr, sætter sig for at udpege sine kronjuveler. IT-chefen har forberedt en liste med alle virksomhedens systemer. Ledelsen går i stedet de fem spørgsmål igennem.

Svarene peger på tre ting: opskrifterne på foderblandingerne, som er virksomhedens konkurrencefordel; styringen af produktionslinjen, uden hvilken intet kan leveres; og ordresystemet, hvor landmændene bestiller. Ingen af de tre stod øverst på IT-chefens liste, som var ordnet efter antal brugere. Den kommende test bliver bygget op om spørgsmålet, om nogen kan nå opskrifterne eller forstyrre produktionen. Resten af virksomhedens systemer kommer med i en senere runde. → Kundedata og forretningshemmeligheder

Det skal I lade være med

At lade IT udpege kronjuvelerne alene · betydningen for forretningen kender ledelsen bedst.
At gøre listen lang · så kan den ikke bruges til at prioritere.
At glemme adgangene · konti med bred adgang kan være den korteste vej til det værdifulde.
At lade listen ligge urørt · nye produkter, kunder og systemer kan ændre, hvad der er vigtigst.
At tro, at det, der ikke står på listen, er sikkert · det er blot ikke prioriteret først.

Hvad kan og ikke kan konkluderes

En liste over kronjuvelerne giver ledelsen et grundlag for at prioritere både testen og indsatsen bagefter. Den kan ikke sige, hvor godt kronjuvelerne er beskyttet. Det er det, testen og andre kontroller skal belyse. Listen er et udtryk for ledelsens vurdering på et bestemt tidspunkt og skal tages op igen, når forretningen ændrer sig.

Tjekliste til udpegningen

☐ Har ledelsen og de forretningsansvarlige drøftet, hvad virksomheden ikke kan undvære?
☐ Er data, systemer og adgange med på listen?
☐ Kan listen stå på én side, og har hver post en kort begrundelse?
☐ Har ledelsen formelt aftalt listen?
☐ Er listen brugt som grundlag for næste test? → Risikovillighed

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: A1 om at de teknologier, oplysninger og tjenester, der er kritiske for organisationens mål, er identificeret, prioriteret og aftalt.

Senest gennemgået: oktober 2026.