Skal ledelsen deltage i møderne med testeren?

En sikkerhedstest kan have et møde før start og et møde, når resultatet foreligger, og en kort kontakt undervejs. Nogle direktører spørger, om de selv skal sidde med, eller om IT-chefen kan klare det. Svaret afhænger af, hvilke beslutninger mødet skal træffe. Hvor mødet handler om tekniske detaljer, gør ledelsen ingen forskel. Hvor det handler om formål, risiko, prioritering eller penge, gør ledelsen hele forskellen. Derfor er det ikke nødvendigt at være med i alle møder, men det kan være en fejl at være med i ingen.

Hvordan møderne foregår, og hvad der står på dagsordenen, er beskrevet på penetrationtest.dk. Her handler det om ledelsens rolle.

Hvad ledelsens tilstedeværelse ændrer

Når en direktør eller et bestyrelsesmedlem sidder med ved bordet, sker der tre ting. Beslutninger kan træffes på stedet i stedet for at blive sendt videre. Testeren hører direkte, hvad ledelsen er bekymret for, og kan rette fokus derefter. Og IT-chefen og leverandørerne ser, at testen har ledelsens opbakning.

Det sidste er ikke uvæsentligt. En test, som ledelsen tydeligt står bag, får lettere de ressourcer og den opmærksomhed, den kræver. Den bliver også sjældnere opfattet som en kritik af IT. Medarbejdere, der skal bruge tid på at hjælpe testeren, kan se, at det er en prioritet og ikke et sideprojekt, som IT-chefen har fundet på. → Ingen syndebukke

Omvendt kan ledelsens tilstedeværelse gøre et teknisk møde langsommere og mere formelt. Hvis direktøren sidder med til en gennemgang af adgangsforhold og systemopsætning, bruges tiden måske på at forklare i stedet for at løse.

Mødet før start: kort deltagelse er nok

Opstartsmødet fastlægger rammen for testen. Det meste handler om praktiske forhold: adgange, kontaktpersoner, tidspunkter. Det kan IT og testeren klare.

Men et par punkter hører til ledelsen. Formålet med testen, de systemer, der bevidst er holdt ude, og hvem der har mandat til at standse testen. Hvis ledelsen allerede har godkendt testen skriftligt, er disse punkter afklaret, og ledelsen behøver ikke være med. Hvis ikke, er det en god idé, at direktøren deltager i den første del af mødet og går, når de praktiske detaljer begynder. → Ledelsens godkendelse af testen

Det behøver ikke tage lang tid. Det vigtigste er, at testeren har hørt ledelsens forventninger med egne ører.

Undervejs: kun når der er noget at beslutte

Mens testen står på, behøver ledelsen ikke deltage i møder. Undtagelsen er, når testeren finder noget, der kræver en beslutning, som kun ledelsen kan træffe. Det kan være tegn på, at nogen allerede har været inde, et fund så alvorligt, at det bør rettes med det samme, eller et ønske om at ændre testens ramme.

Den slags situationer bør være forudset. Ledelsen bør have aftalt, hvem der skal kontaktes, og hvordan. Så er det ikke et møde, men et opkald, der skal til. Ledelsen bør også vide, at testeren kan kontakte den direkte, hvis IT-chefen ikke kan træffes, så en vigtig beslutning ikke venter på en ferie eller en sygedag. → Orientering af ledelsen under testen

Mødet efter: her bør ledelsen være med

Afslutningsmødet er det møde, hvor ledelsens tilstedeværelse gør størst forskel. Her bliver fundene forklaret, og her tages de første beslutninger om, hvad der skal ske. Prioritering, ressourcer og spørgsmål om, hvem der retter, er ledelsesbeslutninger.

Hvis ledelsen ikke er med, får den resultatet gennem IT-chefen, og så er det IT-chefens forståelse og prioritering, der bliver lagt frem. Det kan være udmærket, men ledelsen mister muligheden for selv at spørge testeren. Testeren er den eneste i rummet, der kan forklare fundene uden at have et ansvar for dem. → Et uafhængigt blik

En praktisk model er at dele afslutningsmødet i to. Første del er teknisk og for IT og leverandører. Anden del er kort og for ledelsen: hvad er de vigtigste fund, hvad betyder de for forretningen, og hvad skal vi beslutte?

Bestyrelsen behøver ikke deltage i afslutningsmødet. Dens rolle er at føre tilsyn, ikke at styre opfølgningen. Bestyrelsen bør i stedet få resultatet forelagt af direktionen, og hvis den ønsker at høre testeren direkte, kan det ske på et bestyrelsesmøde, hvor testeren deltager under et enkelt punkt. → Skal testeren selv fremlægge for bestyrelsen?

Forbered ledelsens del

Ledelsens tid bruges bedst, hvis den er forberedt. Bed om rapportens resumé dagen før, og skriv tre til fem spørgsmål ned.

Hvad er det alvorligste? · og hvad kan det betyde for forretningen?
Hvad overraskede? · var der noget, IT eller testeren ikke havde forventet?
Hvad kan testen ikke svare på? · hvor er der stadig usikkerhed?
Hvad skal vi beslutte nu? · og hvad kan vente?
Hvem gør hvad? · hvem er ansvarlig for de næste skridt?

Spørgsmålene behøver ikke være tekniske. De skal sikre, at ledelsen går fra mødet med en forståelse, den kan handle på. Gem svarene sammen med rapporten, så de kan bruges, når bestyrelsen spørger. → Fra fund til forretningsrisiko

Et tænkt eksempel

En kæde af fitnesscentre har fået testet sit medlemssystem og den hjemmeside, medlemmerne booker hold på. Direktøren deltog ikke i opstarten, fordi ledelsen havde godkendt testen skriftligt.

Til afslutningsmødet deltager direktøren i den sidste halve time. Testeren forklarer, at det alvorligste fund handler om, hvem der kan se medlemmernes betalingsoplysninger. Direktøren spørger, hvad det kan betyde for medlemmerne, og hvem der kan rette det. Beslutningen om at prioritere fundet før en planlagt opdatering af bookingsiden tages på stedet. IT-chefen fortæller bagefter, at det ellers ville have taget to ugers mails.

Det skal I lade være med

At sende IT alene til afslutningsmødet · så får ledelsen resultatet på anden hånd.
At sidde med i alle tekniske detaljer · det bruger tid uden at give ledelsen noget.
At møde op uforberedt · læs resuméet og skriv spørgsmålene ned.
At glemme beslutningerne · mødet skal ende med, hvem der gør hvad.
At lade ledelsens rolle være uklar · aftal på forhånd, hvilke møder ledelsen deltager i.

Hvad kan og ikke kan konkluderes

Ledelsens deltagelse i de rigtige møder giver hurtigere beslutninger og bedre forståelse af resultatet. Den gør ikke testen bedre, og den erstatter ikke IT’s tekniske opfølgning. Det afgørende er ikke antallet af møder, men at ledelsen er til stede, når der skal besluttes.