Skal ledelsens egne konti og enheder med i testen?

Når testens omfang fastlægges, bliver ledelsens egne konti, telefoner og computere nogle gange stille og roligt holdt udenfor. Svaret er, at de som udgangspunkt hører med, fordi ledelsens adgange er blandt de mest værdifulde i virksomheden, og fordi en undtagelse efterlader et hul netop der, hvor en angriber har mest at hente. Det hviler på en enkel iagttagelse: ledelsen kan godkende betalinger, se fortrolige oplysninger og give ordrer, som andre følger.

Hvorfor ledelsen er et attraktivt mål

En angriber vælger ikke tilfældigt. Den, der har adgang til penge, beslutninger og fortrolig viden, er mere interessant end den, der ikke har.

Det britiske NCSC beskriver i sin vejledning om phishing, at målrettede forsøg rettet mod højtstående personer kaldes whaling. Vejledningen nævner som eksempel et bestyrelsesmedlem med adgang til værdifulde aktiver og peger på, at medarbejdere, der håndterer økonomi, kan være særligt interessante. Det er ikke et udtryk for, at ledelsen er uforsigtig, men for, at dens adgange er værd mere.

Det kan dreje sig om:

Mailkontoen · den bruges til at godkende, bede om og bekræfte, og andre stoler på afsenderen.
Godkendelse af betalinger · i netbanken, økonomisystemet eller via en arbejdsgang, hvor direktøren har sidste ord.
Bestyrelsesportalen og delte mapper · strategi, regnskab, investeringsplaner og personalesager.
Telefonen · den bærbare enhed, der også kan være nøglen til at logge ind andre steder.
Særlige rettigheder · konti, der er givet mere adgang end nødvendigt, fordi det var nemmest.

Undtagelser svækker billedet

Der er forståelige grunde til at ville holde ledelsen ude. Man vil ikke forstyrre en travl direktør, man er usikker på, hvad testeren får at se, eller man føler, at det er upassende at teste chefen. Resultatet bliver dog et billede, der ser pænere ud end virkeligheden.

Hvis direktørens konto har bredere adgang end andres og samtidig er undtaget fra testen, kan rapporten vise et fornuftigt niveau, mens den mest værdifulde vej ind aldrig er undersøgt. Det er ikke testerens fejl. Det er en konsekvens af omfanget, ledelsen har godkendt. → Ledelsens godkendelse af testen

Der er også et signal i det. Når ledelsen selv er med, viser den, at reglerne gælder for alle. Når ledelsen undtager sig, lærer organisationen det modsatte. → Sikkerhedskultur begynder i ledelsen

Hvad det betyder i praksis

At ledelsens konti er med i testen betyder ikke, at testeren skal læse direktørens mails. Testen kan undersøge, hvordan kontoen er beskyttet, hvilke rettigheder den har, og om der er veje til den, uden at indholdet bliver åbnet. Det skal aftales tydeligt på forhånd.

Afgræns indholdet · aftal, at testeren ikke åbner eller gemmer fortrolige dokumenter og mails, men kun noterer, at der er adgang.
Brug testkonti, hvor det giver mening · en testkonto med samme rettigheder som direktørens kan vise det samme uden at berøre den rigtige konto.
Informér de berørte · ledelsesmedlemmer, hvis konti indgår, skal vide det og have en kontaktperson.
Tag stilling til private enheder · hvis ledelsen bruger egne telefoner eller computere til arbejdet, er det et særskilt spørgsmål, hvad der må indgå.
Aftal fortrolighed om resultatet · fund, der vedrører ledelsens konti, bør behandles med samme diskretion som andre følsomme forhold. → Hvem i virksomheden skal kende resultatet?

Bestyrelsen er også en del af ledelsen

Bestyrelsesmedlemmer kan sidde uden for virksomhedens almindelige systemer. Nogle modtager materialer på en privat mailadresse eller en adresse fra deres eget firma og læser dem på egne enheder. Det er praktisk, men det betyder, at fortroligt materiale ligger steder, som virksomheden hverken styrer eller kan teste.

Spørgsmålet til ledelsen er derfor ikke kun, om direktionens konti er med, men også hvordan bestyrelsens materialer deles, og hvem der har ansvaret for det. En fælles portal eller faste konti hos virksomheden kan gøre det muligt at lade bestyrelsens adgang indgå i testen på samme måde som andres.

Betalinger er en forretningsproces

En stor del af risikoen ved ledelsens konti handler ikke om teknik, men om arbejdsgange. Hvis en mail fra direktøren er nok til at få en betaling sendt af sted, er det en svaghed, uanset hvor godt kontoen er beskyttet.

NCSC anbefaler at gøre vigtige anmodninger sværere at forfalske ved at bekræfte dem gennem en anden kanal, for eksempel et telefonopkald eller et personligt møde, og at sikre, at medarbejdere kender den normale måde at håndtere betalinger på, så de opdager det usædvanlige. Den slags regler kan kun ledelsen indføre, og de virker kun, hvis ledelsen selv følger dem, også når det haster. En test kan pege på, hvor arbejdsgangen er sårbar, men beslutningen om at ændre den ligger hos ledelsen. → Medarbejdernes sikkerhedsadfærd

En almindelig sikkerhedstest undersøger systemer og adgange. Hvis ledelsen vil vide, om nogen i virksomheden, herunder direktionen selv, kan narres af en troværdig henvendelse, er det et andet slags spørgsmål. Det kræver særskilte overvejelser om samtykke, formål og grænser, og det ligger tættere på en angrebssimulering end på en almindelig test. → Penetrationstest eller angrebssimulering

Et tænkt eksempel

Ejerlederen af et revisionsfirma med fire partnere godkender en test af firmaets Microsoft 365. IT-ansvarlig foreslår at holde partnernes konti uden for, fordi de rummer klienternes regnskaber. Ejerlederen beder i stedet om, at testen gennemføres med testkonti, der har samme rettigheder som partnerne, og at ingen klientdata åbnes.

Testen viser, at en af partnerkontiene har administratorrettigheder fra dengang, firmaet blev oprettet, og at ingen har set på det siden. Rettigheden fjernes. Samtidig indfører firmaet en regel om, at betalinger over et vist beløb altid bekræftes telefonisk, også når anmodningen kommer fra en partner.

Det skal I lade være med

At undtage ledelsen af hensyn til travlhed eller pinlighed · det svækker resultatet, hvor det betyder mest.
At give testeren adgang til indhold uden aftale · afgræns, hvad der må ses.
At lade direktørens rettigheder være større end nødvendigt · bekvemmelighed er ikke et argument.
At glemme private enheder, der bruges til arbejde · tag stilling til dem.
At kræve regler af medarbejderne, som ledelsen selv springer over · det undergraver dem.

Hvad kan og ikke kan konkluderes

En test, hvor ledelsens konti og enheder indgår, kan vise, om de er beskyttet og afgrænset på samme niveau som resten, og om der er veje til dem. Den kan ikke vise, om ledelsen vil reagere rigtigt på en målrettet henvendelse, og den kan ikke erstatte faste arbejdsgange for betalinger og fortrolige beslutninger. Det er ledelsens egne regler, der afgør det.

Tjekliste: ledelsen i testens omfang

☐ Indgår ledelsens konti og enheder i testen?
☐ Er det aftalt, at testeren ikke åbner fortroligt indhold?
☐ Er de berørte ledelsesmedlemmer informeret?
☐ Er der taget stilling til private enheder?
☐ Bekræftes betalinger og vigtige anmodninger gennem en anden kanal?
☐ Følger ledelsen selv de regler, den har indført?

Kilder

NCSC, Phishing attacks: defending your organisation: whaling rettet mod højtstående personer; bestyrelsesmedlem med adgang til værdifulde aktiver som eksempel; bekræftelse af vigtige anmodninger gennem en anden kanal; kendskab til den normale betalingsgang.

Senest gennemgået: oktober 2026.