En sikkerhedstest kan blive bestilt med et ønske om at få sikkerheden tjekket. Det lyder klart, men det giver testeren et meget bredt mandat og ledelsen et svar, der er svært at bruge. Den bedste måde at få værdi ud af testen er, at ledelsen formulerer de spørgsmål, den vil have svar på, før opgaven bliver beskrevet.
Spørgsmålene skal være konkrete, knyttet til forretningen og mulige at besvare. De bliver grundlaget for, hvad der testes, hvordan resultatet præsenteres, og hvad ledelsen gør bagefter. Den tekniske afgrænsning og opgavebeskrivelsen kommer derefter og kan overlades til IT og testeren.
Fra bekymring til spørgsmål
Bag ønsket om en test kan der ligge en bekymring. Måske er det en ny kundeportal, der snart skal åbne. Måske en driftsleverandør, ledelsen ikke er sikker på. Måske et angreb på en virksomhed i samme branche, som har fået bestyrelsen til at spørge. Begynd med at skrive bekymringen ned i almindeligt sprog.
Oversæt den derefter til et spørgsmål, som en test kan svare på. Kan vi være trygge, er ikke et spørgsmål, en test kan besvare. Kan en kunde, der er logget ind i portalen, se andre kunders oplysninger, er. Det samme gælder: Kan en udenforstående komme ind på kontornettet via det, vi har åbent mod internettet? Og: Hvor langt kan en angriber komme, hvis en medarbejders konto bliver misbrugt?
Gode spørgsmål kan besvares med ja, nej eller et konkret fund. De peger på bestemte systemer og bestemte konsekvenser. Og de er knyttet til noget, ledelsen bekymrer sig om, ikke til en teknisk detalje.
Hvilken beslutning skal svaret bruges til?
Et spørgsmål bliver skarpere, når ledelsen ved, hvad svaret skal bruges til. Skal portalen åbne til tiden eller udskydes? Skal driftsleverandøren have mere ansvar eller mindre? Skal budgettet for næste år bruges på nye løsninger eller på at rette det, der allerede findes? Skal bestyrelsen orienteres om en risiko, den ikke kender?
Når beslutningen er kendt, bliver det også tydeligt, hvornår svaret skal foreligge, og hvem der skal modtage det. En test, der skal afgøre en åbning, skal ligge i god tid før åbningsdatoen. En test, der skal bruges i budgettet, skal være færdig, før budgettet lægges. → Teste nu eller vente til efter omlægningen?
Hvad ledelsen selv skal bidrage med
Testeren kender metoderne, og IT kender systemerne. Men kun ledelsen kan svare på, hvad der betyder mest for forretningen. Det britiske NCSC gør i sin vejledning om penetrationstest opmærksom på, at vurderingen af risikoen og beslutningen om, hvad der skal rettes, forbliver virksomhedens eget ansvar. Det ansvar begynder allerede ved spørgsmålene.
Ledelsen bør derfor give tre oplysninger med i bestillingen. Først de systemer og oplysninger, forretningen ikke kan undvære. Dernæst de hændelser, der ville skade mest, fx at kundedata slipper ud, at ordrer går tabt, eller at produktionen står stille. Og endelig de krav, der kommer udefra, fra kunder, forsikring eller samarbejdspartnere. → Kronjuvelerne
Et tænkt eksempel
En grossist skal åbne en ny portal, hvor erhvervskunder selv kan bestille og se deres priser. Bestyrelsen har spurgt, om portalen er sikker nok. Direktionen omsætter spørgsmålet til tre mere præcise: Kan en kunde se en anden kundes priser og ordrer? Kan en udenforstående komme ind uden at have en konto? Og kan portalen bruges som vej ind til ERP-systemet bag den?
Beslutningen er, om portalen kan åbne på den planlagte dato. Derfor skal svaret ligge i god tid før åbningen, og der skal være tid til at rette det, der findes. Bekymringen om, hvorvidt sælgerne bruger for svage adgangskoder, bliver noteret, men holdt uden for denne test. Den hører til en anden opgave.
Færre spørgsmål giver bedre svar
Når først bekymringerne bliver skrevet ned, vokser listen hurtigt. Det er fristende at tage det hele med. Men en test har en begrænset tid, og jo flere spørgsmål, desto mindre tid er der til hvert. Et grundigt svar på de vigtigste spørgsmål er mere værd end et overfladisk svar på dem alle.
Prioritér derfor. Vælg de spørgsmål, der hænger sammen med de største risici og de mest presserende beslutninger. Skriv de øvrige ned som kandidater til senere test eller til andre former for undersøgelse. Nogle bekymringer, fx om medarbejdernes adfærd eller beredskabet, besvares bedre på anden vis end ved en penetrationstest. → Hvad en sikkerhedstest ikke erstatter
Spørgsmålene bestemmer, hvad I får tilbage
Når spørgsmålene er formuleret, kan de bruges i hele forløbet. Ved bestillingen viser de testeren, hvad opgaven skal svare på, og gør det lettere at vælge den rigtige type test. Ved sammenligning af tilbud kan ledelsen spørge, hvordan hver tester vil besvare spørgsmålene, i stedet for kun at sammenligne timer. Et tilbud, der ikke forholder sig til spørgsmålene, er et tegn på, at testeren enten ikke har forstået opgaven eller har tænkt sig at levere noget andet. Det er bedre at opdage den forskel før end efter testen.
I resultatet bør spørgsmålene gå igen. Bed om, at resuméet begynder med de spørgsmål, ledelsen stillede, og giver et svar på hvert. Hvis et spørgsmål ikke kunne besvares, fx fordi et system ikke var tilgængeligt under testen, skal det også fremgå. Så kan ledelsen se, hvad den har fået svar på, og hvad der stadig står åbent. → Ledelsesresuméet
Hvilken type test spørgsmålene fører til, er et emne for sig. → Penetrationstest, scanning eller gennemgang?
Det skal I lade være med
- At bestille et generelt tjek · uden spørgsmål bliver svaret generelt.
- At formulere spørgsmål, ingen test kan besvare · er vi sikre, er ikke et testspørgsmål.
- At lade IT formulere spørgsmålene alene · forretningens prioriteter skal med.
- At tage alle bekymringer med på én gang · prioritér de vigtigste.
- At glemme beslutningen · svaret skal komme i tide til det, det skal bruges til.
- At acceptere et resultat, der ikke svarer på spørgsmålene · bed om svar på hvert.
Hvad kan og ikke kan konkluderes
Klare spørgsmål fra ledelsen gør det muligt at vurdere, om testen har leveret det, den skulle. De gør resultatet lettere at bruge i ledelsens beslutninger og lettere at forklare videre til bestyrelse og kunder.
Spørgsmålene afgør ikke alene, hvordan testen skal udføres, eller hvor stor opgaven bliver. Det kræver en dialog med testeren og IT om systemerne. Og et svar på ledelsens spørgsmål siger kun noget om det, der blev spurgt om.
Tjekliste før bestillingen
- ☐ Er bekymringen bag testen skrevet ned?
- ☐ Er den oversat til spørgsmål, en test kan besvare?
- ☐ Ved vi, hvilken beslutning svaret skal bruges til, og hvornår?
- ☐ Har ledelsen udpeget de vigtigste systemer og oplysninger?
- ☐ Er spørgsmålene prioriteret?
- ☐ Er det aftalt, at resuméet svarer på hvert spørgsmål?
Kilder
- NCSC (UK): Penetration testing: risikovurdering og beslutninger om rettelser forbliver virksomhedens eget ansvar.
Senest gennemgået: oktober 2026.
Næste skridt
- Penetrationstest, scanning eller gennemgang?
- Ledelsesresuméet: hvad ledelsen bør kræve, før testen bestilles
Del af: Artikler til ledelsen
Læs også: Kronjuvelerne · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
