Når ledelsen spørger, hvorfor en sikkerhedstest bliver så stor, kan svaret være, at en del af omfanget er bestemt af valg, ledelsen selv har truffet eller ikke har truffet. Nogle af de tekniske forhold, der påvirker opgaven, ligger uden for ledelsens bord. Men nogle af de vigtigste afgørelser hviler på ledelsen: hvad testen skal svare på, hvad der er vigtigst, hvilken dokumentation der skal bruges, og hvornår testen skal ligge.
Det betyder, at ledelsen har mere indflydelse på opgavens størrelse, end den måske tror. Det betyder også, at et uklart formål ikke nødvendigvis gør testen billigere. Det gør den bare mindre målrettet.
Ledelsen behøver ikke kende de tekniske detaljer for at træffe valgene. Den skal vide, at de findes, og at de bør træffes, før tilbuddet indhentes. Når valgene er truffet på forhånd, bliver det også lettere at sammenligne tilbud, fordi flere testere så regner på den samme opgave.
Formålet er det største valg
Det spørgsmål, testen skal besvare, afgør mere end noget andet, hvor stor den bliver. “Kan en kunde i portalen se andre kunders oplysninger?” er et afgrænset spørgsmål. “Er vores sikkerhed i orden?” er det ikke, og det fører enten til en meget bred test eller til en test, hvor testeren selv må vælge, hvad der er vigtigst.
Et skarpt formål gør det muligt at skære det fra, der ikke hjælper med at besvare spørgsmålet. Det er ledelsens bidrag, fordi det kræver viden om, hvad virksomheden har brug for at vide, og ikke om teknik. Et godt formål kan også fortælle testeren, hvad der ikke er interessant, og det kan være lige så nyttigt. → Hvad vil vi vide?
Hvad der er vigtigst, og hvor grundigt
Det næste valg er, hvilke dele af virksomheden der skal med. Her kan ledelsen bidrage med det, som kun forretningen kender: hvilke systemer driften ikke kan undvære, hvor kundernes data ligger, og hvor forretningshemmelighederne er.
Jo flere områder, der skal med, jo større bliver opgaven. Det er fristende at tage det hele med for en sikkerheds skyld, men en bred og overfladisk test svarer ikke nødvendigvis på noget bestemt. Ledelsen kan i stedet vælge de vigtigste områder og lade resten vente til en senere test. → Kronjuvelerne
Inden for de valgte områder er der også et valg om dybde. Skal testen alene se, om der er åbenlyse svagheder, eller skal den undersøge, hvor langt en angriber kan komme, og hvad der kan nås? Jo dybere, jo mere tid tager det.
Valget hænger sammen med, hvor meget risiko ledelsen er villig til at leve med. For de mest kritiske områder kan en grundig test være det rigtige. For andre kan en lettere gennemgang være nok. → Risikovillighed
Ledelsen kan også vælge, om testen skal omfatte mere end teknik, fx om medarbejderne kan narres til at give adgang. Det er en selvstændig beslutning med sine egne overvejelser, og den gør opgaven større. → Penetrationstest eller angrebssimulering
Krav til dokumentationen
Hvem skal læse resultatet? En teknisk rapport til IT er én ting. Et resumé til bestyrelsen, en erklæring til en kunde eller en dokumentation til et forsikringsselskab er noget andet. Hver modtager kan kræve sin egen form, og det tager tid at skrive.
Ledelsen bør derfor beslutte på forhånd, hvem der skal have hvad. Spørg også, om den samme rapport kan bruges til flere modtagere, eller om hver modtager reelt har brug for sin egen udgave. Ét godt resumé kan dække flere behov. Hvis det først kommer frem efter testen, kan det kræve ekstra arbejde, eller resultatet passer ikke til det, det skulle bruges til. → Ledelsesresuméet: hvad ledelsen bør kræve
Tidspunkt og rammer
Også rammerne for testen kan være ledelsens valg. Hvis testen skal ligge med kort varsel, kræver det mere af alle. Hvis testen kun må foregå uden for åbningstid af hensyn til driften, kan den tage længere tid. Hvis en efterprøvning af rettelserne skal med, bliver opgaven større, men resultatet mere brugbart.
Disse valg kan være gode og nødvendige. Pointen er, at de har betydning for omfanget, og at ledelsen bør kende den betydning, når den træffer dem. Spørg derfor testeren, hvilke af rammerne der gør opgaven større, og om der findes alternativer, der passer lige så godt til driften. Nogle gange kan et lille kompromis om tidspunktet spare mere end en indskrænkning af det, der testes. → Testen skal ligge i morgen
Det, ledelsen ikke bestemmer
Andre forhold påvirker også omfanget, men de ligger uden for ledelsens valg: hvor mange systemer der faktisk findes, hvor komplekse de er, og hvordan de er sat op. Dem kender IT og testeren bedre. Hvordan de tekniske forhold påvirker opgaven, er forklaret på opslagsværket penetrationtest.dk.
Hvordan opgaven omsættes til et tilbud, er beskrevet under pris og tilbud. Ledelsens del er at træffe de valg, der er dens, så tilbuddet bygger på et klart grundlag.
Et tænkt eksempel
En virksomhed, der driver en række private daginstitutioner, får et tilbud på en sikkerhedstest, der er større end forventet. Direktøren spørger ind og får at vide, at opgaven omfatter alle systemer, en grundig undersøgelse af hvert, et resumé til bestyrelsen og en særskilt erklæring til kommunerne, som institutionerne har aftaler med.
Ledelsen gennemgår valgene. Formålet skærpes til at handle om forældreportalen og de oplysninger om børnene, der ligger der. De øvrige systemer flyttes til en senere test. Bestyrelsens resumé og kommunernes erklæring bevares, fordi de er nødvendige. Det nye omfang er mindre, men det svarer på det spørgsmål, ledelsen faktisk har.
Det skal I lade være med
- At bestille med et uklart formål · så bliver testen enten for bred eller tilfældig.
- At tage alt med for en sikkerheds skyld · en bred test svarer ikke nødvendigvis på noget bestemt.
- At glemme dokumentationen, til testen er færdig · beslut på forhånd, hvem der skal have hvad.
- At skære i omfanget uden at se på formålet · en for smal test kan overse det vigtigste.
- At tro, at alle valg er tekniske · flere af de vigtigste træffes af ledelsen.
Hvad kan og ikke kan konkluderes
Ledelsens valg om formål, prioritering, dybde, dokumentation og rammer har stor betydning for, hvor stor en sikkerhedstest bliver. Bevidste valg kan gøre testen mere målrettet. De kan ikke fjerne de forhold, der skyldes systemernes antal og kompleksitet, og et mindre omfang betyder også, at mindre bliver undersøgt.
Tjekliste før tilbuddet indhentes
- ☐ Kan formålet siges i én sætning?
- ☐ Er de vigtigste områder valgt ud fra forretningen?
- ☐ Er det besluttet, hvor grundigt der skal testes?
- ☐ Ved vi, hvem der skal have hvilken dokumentation?
- ☐ Er tidspunkt og rammer valgt med blik for omfanget?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Én stor test eller flere mindre? · Er testen pengene værd?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
