En sikkerhedstest giver en udefrakommende lov til at gøre noget i virksomhedens systemer, som ellers ville være uacceptabelt. Den beslutning bør ikke træffes i en mail mellem IT og testeren. Den hører hjemme i ledelsen, og den bør skrives ned. Godkendelsen hviler på fire elementer: formålet med testen, rammen for, hvad der må ske, den risiko, ledelsen accepterer, og den person, der har ansvaret. Når de fire står på papir, og den rette person har skrevet under, ved alle, hvad der er sagt ja til.
Godkendelsen her er den interne beslutning i virksomheden. Aftalen med testeren og spørgsmålet om lovlig tilladelse er en anden sag og forklares på penetrationtest.dk.
Hvorfor en skriftlig godkendelse
Det amerikanske NIST anbefaler i sin vejledning om sikkerhedstest, at der laves en plan for testen, og at alle parter skriver under på den. Underskriften betyder ifølge vejledningen, at parterne anerkender og godkender testen. Vejledningen beskriver også, at test, som IT-afdelingen ikke kender til på forhånd, sker med den øverste ledelses fulde viden og tilladelse.
For en dansk ledelse er pointen enkel. En skriftlig godkendelse gør det klart, at beslutningen er truffet af nogen med mandat til det. Den beskytter IT-chefen, der ellers står alene med ansvaret, og den giver testeren et klart grundlag. Hvis noget går galt, kan alle se, hvad der var aftalt. → Hvem i ledelsen skal eje sikkerhedstesten?
Formålet: hvorfor tester vi?
Godkendelsen bør begynde med en kort beskrivelse af formålet. Er testen bestilt, fordi en kunde kræver det, fordi bestyrelsen har bedt om det, eller fordi ledelsen vil vide, om et nyt system er sikkert nok?
Formålet bestemmer, hvad testen skal dække, og hvordan resultatet bruges bagefter. Det gør det også lettere at sige nej til ønsker, der dukker op undervejs og ikke passer til formålet. Et eller to afsnit er nok. Skriv også, hvem der skal have resultatet, så det er besluttet, før rapporten findes, og ikke bagefter, når indholdet kan friste til at begrænse kredsen. → Ledelsens spørgsmål, før testen bestilles
Rammen: hvad må testen?
Rammen er den del, der kræver mest omhu. Den behøver ikke være teknisk, men den skal være præcis på de punkter, ledelsen har ansvaret for:
- Hvad er med · hvilke systemer, lokaliteter eller dele af forretningen testen omfatter.
- Hvad er ikke med · og hvorfor, så undtagelser er bevidste.
- Hvornår · i hvilket tidsrum testen må foregå, set i forhold til forretningens travle perioder.
- Hvem ved besked · hvilke medarbejdere og leverandører der er orienteret.
Den amerikanske vejledning skriver, at hvis en del af systemerne ligger hos en anden part, kan ejeren af dem også skulle give skriftligt samtykke til planen. Det gælder fx systemer hos en driftsleverandør eller i en fælles løsning med andre virksomheder. Godkendelsen bør derfor vise, at det er afklaret. → Kontrakten med IT-leverandøren
Den accepterede risiko
En test indebærer altid en vis risiko. Systemer kan reagere uventet, og testeren får adgang til fortrolige oplysninger. Hvilke risici der er tale om, er beskrevet for sig. → Testens egne risici
I godkendelsen er opgaven at skrive ned, at ledelsen kender risiciene og accepterer dem inden for den aftalte ramme. Det kan være en enkelt sætning, men den bør være der, og den bør stå over den underskrift, der giver testen grønt lys. Den tvinger ledelsen til at tage stilling i stedet for at antage, at IT har styr på det. Den gør det også klart, hvornår risikoen er større end aftalt, fx hvis testeren foreslår at udvide testen undervejs.
Samme vejledning anbefaler, at juridiske spørgsmål afklares, før testen begynder. Den overlader det til organisationen at beslutte, om juridiske rådgivere skal med, men anbefaler det ved indgribende test som penetrationstest. Hvad der giver mening hos jer, afhænger af opgaven og af, hvem der ejer systemerne. Teksten er ikke juridisk rådgivning.
Den ansvarlige
Godkendelsen skal pege på én person i virksomheden, som har ansvaret for testen fra start til slut. Personen skal kunne træffes, mens testen står på, og have mandat til at standse den.
Det er ikke nødvendigvis den, der skriver under. Hos en lille virksomhed kan det sagtens være direktøren, der både skriver under og følger testen. I en større organisation kan direktøren godkende, mens IT-chefen er den ansvarlige i det daglige. Det vigtige er, at begge roller er navngivet, og at det er klart, hvornår den ansvarlige skal gå tilbage til ledelsen, fx ved tegn på et reelt indbrud eller ved ønsker om at ændre rammen. → Tegn på indbrud
Det sker også, at testeren eller IT ønsker at ændre noget, mens testen står på. Et nyt system dukker op, eller tiden rækker ikke. Godkendelsen bør sige, hvem der kan godkende ændringer, og at de skal skrives ned. Små justeringer kan den ansvarlige godkende. Ændringer, der udvider rammen eller øger risikoen, går tilbage til den, der skrev under.
Et tænkt eksempel
En producent af køleanlæg skal have testet sine kontorsystemer og den portal, serviceteknikerne bruger. IT-chefen har en aftale klar med testeren og beder direktøren om et hurtigt ja.
Direktøren beder i stedet om en side med formål, ramme, risiko og ansvarlig. Under arbejdet med siden viser det sig, at portalen drives af et softwarehus, som ikke er spurgt. Softwarehuset giver skriftligt samtykke, og direktøren skriver under. Undervejs ønsker testeren at se på et ekstra system, og IT-chefen sender spørgsmålet tilbage til direktøren, som siger nej med henvisning til formålet.
En red team-øvelse rører ved drift, medarbejdere og måske bygninger, og godkendelsen af den er beskrevet på red-teaming.dk: Ledelsens godkendelse af øvelsen.
Det skal I lade være med
- At godkende i en mail · en kort, samlet beslutning er lettere at finde og forstå bagefter.
- At lade IT godkende alene · risikoen for forretningen hører hjemme hos ledelsen.
- At glemme andre ejere · systemer hos leverandører kan kræve deres samtykke.
- At skrive en ramme uden undtagelser · så er det uklart, hvad der bevidst er holdt ude.
- At lade rammen glide · ændringer undervejs skal godkendes og skrives ned.
Hvad kan og ikke kan konkluderes
En skriftlig godkendelse viser, at ledelsen har truffet beslutningen bevidst og kender rammen og risikoen. Den sikrer ikke, at testen forløber uden problemer, og den erstatter ikke aftalen med testeren eller samtykket fra andre ejere. Den er ledelsens del af grundlaget, ikke hele grundlaget.
Tjekliste til godkendelsen
- ☐ Er formålet beskrevet?
- ☐ Er det klart, hvad der er med, og hvad der bevidst er holdt ude?
- ☐ Har andre ejere af systemerne givet samtykke?
- ☐ Har ledelsen skrevet, at den accepterer risikoen inden for rammen?
- ☐ Er den ansvarlige navngivet og til at træffe?
- ☐ Er det aftalt, hvem der godkender ændringer?
Kilder
- SP 800-115: Technical Guide to Information Security Testing and Assessment: afsnit 6.5 om testplanen (underskrift fra alle parter, samtykke fra ejeren af systemer hos tredjepart), afsnit 6.6 om juridiske forhold, og afsnit 2.4 om test med den øverste ledelses viden og tilladelse.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Hvem i ledelsen skal eje sikkerhedstesten? · En tester, ledelsen kan stole på
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
