En sikkerhedstest kræver ikke, at ledelsen kender teknikken, men den kræver, at ledelsen er til stede på bestemte tidspunkter. Det er ledelsen, der stiller spørgsmålet, giver mandatet, betaler for rettelserne og til sidst afgør, om sagen kan lukkes. Forløbet hviler på én tanke: ledelsen skal ikke styre arbejdet, men den skal træffe de beslutninger, ingen andre kan træffe for den.
Guiden deler forløbet i otte trin, set fra direktionens og bestyrelsens bord. Hvert trin har et kort afsnit om det, ledelsen skal tage stilling til, og henvisninger til uddybende artikler her på sitet. Den kan bruges første gang, virksomheden tester, og som skabelon, når testen bliver en tilbagevendende del af året.
Trin 1 og 2: spørgsmålet og ejeren
Det første trin er at formulere, hvad ledelsen vil vide. Er det, om den nye kundeløsning kan tåle at blive sat i drift, om sidste års investeringer har gjort en forskel, eller hvor let virksomheden er at ramme udefra? Et præcist spørgsmål gør det lettere for IT og testeren at foreslå det rigtige omfang, og det gør det muligt bagefter at vurdere, om testen svarede. → Hvad vil vi vide?
Det andet trin er at udpege en ejer i ledelsen. Ejeren holder fast i formålet, tager imod resultatet og sørger for, at opfølgningen ikke forsvinder i den daglige drift. Det behøver ikke være den, der ved mest om IT, men det skal være en person, der kan sætte opgaver i gang på tværs af afdelinger. → Hvem i ledelsen skal eje sikkerhedstesten?
Trin 3: budgettet, også til det bagefter
Det tredje trin er pengene. En test, der finder noget, skaber opgaver, og de opgaver koster tid hos jeres egne folk og ofte penge hos leverandører. Sæt derfor beløb af til rettelserne i samme beslutning som testen, eller aftal, hvordan de skal finansieres, når rapporten foreligger. Ellers risikerer ledelsen at have betalt for viden, den ikke har råd til at bruge. Spørg også, hvad testen kræver af jeres egne medarbejdere i forberedelse og opfølgning. Den tid er en del af prisen, selv om den ikke står i tilbuddet. → Afsæt penge til rettelserne
Trin 4: valget og godkendelsen
Det fjerde trin er at sige ja til et konkret tilbud. Ledelsen behøver ikke vurdere metoden, men bør kunne få svar på, hvad der testes, hvad der ikke testes, hvem der udfører arbejdet, og om testeren er uafhængig af de systemer og leverandører, der testes. Godkendelsen skal også dække de risici, testen selv medfører, og hvem der kan stoppe den. Skriv den ned, så den kan findes igen. → Ledelsens godkendelse af testen
Trin 5: mens testen står på
Det femte trin kræver mest ro. Ledelsen hører typisk ikke meget, mens testen kører, og det er normalt. Aftal på forhånd, hvad der skal få nogen til at ringe til ejeren, fx et alvorligt fund, der kræver en beslutning med det samme, eller tegn på, at nogen uvedkommende allerede har været i systemerne. Ejeren skal kunne træffe den beslutning eller vide, hvem der kan. Ejeren bør også vide, hvem der skal informeres, hvis testen påvirker kunder eller medarbejdere, så svaret ikke skal findes i hast. → Hvad ledelsen kan forvente at høre undervejs
Trin 6: resultatet på ledelsens bord
Det sjette trin er rapporten. Ledelsen skal ikke læse de tekniske bilag, men skal have resultatet oversat til det, det betyder for forretningen: hvad kan stå stille, hvilke oplysninger er udsatte, og hvad skal rettes først. Bed om en kort præsentation, hvor der er plads til spørgsmål, og hvor det også fremgår, hvad testen ikke dækkede. → Fra teknisk fund til forretningsrisiko
Skal resultatet videre til bestyrelsen, bør direktionen være enig om budskabet først. Et dårligt resultat er lettere at fremlægge sammen med en plan end alene. Overvej, om testeren selv skal deltage, eller om direktionen fremlægger med testerens skriftlige resumé som grundlag. Bestyrelsen skal kunne stille spørgsmål til prioriteringen og se, hvem der har ansvaret for hver større opgave, og referatet bør vise, hvad bestyrelsen besluttede.
Trin 7 og 8: opfølgningen og afslutningen
Det syvende trin er opfølgningen, og det er her, de fleste test mister værdi. Ledelsen bør få en status med faste mellemrum, der skelner mellem rettet, kontrolleret og åbent, og som viser de fund, der er besluttet ikke at rette. Går rettelserne i stå, er det et ledelsesspørgsmål, fordi årsagen sjældent er teknisk. → Hvem i ledelsen følger op på testen?
Det ottende trin er at lukke sagen bevidst. Sagen er lukket, når de aftalte rettelser er kontrolleret, når de fund, der ikke rettes, er accepteret af den rette person med en begrundelse, og når ledelsen har taget stilling til, hvad næste test skal svare på. Brug afslutningen til at evaluere: svarede testen på spørgsmålet fra trin et? Gem beslutningerne sammen med rapporten, så en ny ledelse senere kan se, hvad der blev besluttet, og hvorfor. → Hvornår kan ledelsen betragte testen som afsluttet?
Det skal I lade være med
- At bestille uden et spørgsmål · så kan ingen bagefter sige, om testen lykkedes.
- At lade ejerskabet ligge hos IT alene · beslutningerne om risiko hører til i ledelsen.
- At glemme budgettet til rettelserne · rapporten bliver ellers liggende.
- At bede om nyt hver dag, mens testen kører · aftal i stedet, hvornår ejeren skal kontaktes.
- At nøjes med en farve eller en score · bed om betydningen for forretningen.
- At lukke sagen, når rapporten er læst · den er først lukket, når opfølgningen er gjort.
Hvad kan og ikke kan konkluderes
En ledelse, der følger de otte trin, får en test, der svarer på et spørgsmål, den selv har stillet, og en opfølgning, den kan stå inde for over for bestyrelse, kunder og forsikring. Forløbet siger intet om, hvad testen vil finde, og det gør ikke virksomheden sikker. Det erstatter heller ikke de krav, en lov, en kunde eller en revisor kan stille til ledelsens tilsyn. Teksten er ikke juridisk rådgivning.
Tjekliste for ledelsen
- ☐ Spørgsmålet til testen er skrevet ned. Se Skal vi have lavet en penetrationstest?
- ☐ Der er en navngiven ejer i ledelsen.
- ☐ Der er afsat budget til både testen og rettelserne. Se Sådan budgetterer ledelsen med sikkerhedstest
- ☐ Godkendelsen dækker omfang, risici og retten til at stoppe testen.
- ☐ Det er aftalt, hvornår ejeren skal kontaktes under testen.
- ☐ Resultatet er præsenteret i forretningssprog. Se Hvordan skal resultatet præsenteres for direktionen?
- ☐ Ledelsen får fast status på rettelserne. Se Status på rettelserne
- ☐ Sagen er lukket med en evaluering og et spørgsmål til næste test. Se Næste bestilling
Kilder
- NCSC (UK), Cyber security 101 for board members: bestyrelsen bør modtage ledelsesinformation om gennemførelsen af sikkerhedsstrategien og planen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Lærte vi noget? · Når rettelserne går i stå
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
