Når driftsleverandøren tilbyder at teste de systemer, den selv har sat op og passer, lyder det fornuftigt: leverandøren kender miljøet, har adgangene og kan rette med det samme. Men ledelsen får da en vurdering fra den part, hvis arbejde skal vurderes. Det er ikke nødvendigvis forkert. Spørgsmålet er, hvad testen skal bruges til. Skal den hjælpe driften med at finde og lukke huller, kan leverandørens egen test være et godt værktøj. Skal den give ledelsen et grundlag for at stå inde for sikkerheden over for bestyrelse, kunder eller forsikring, mangler den det, der gør en test troværdig: afstand til det, der testes.
Valget handler derfor ikke om leverandørens dygtighed eller ærlighed, men om hvilket svar ledelsen har brug for.
To slags kontrol med forskellig vægt
Vejledningen Cybersikkerhed i leverandørforhold, som i dag ligger hos Styrelsen for Samfundssikkerhed, nævner en række måder, kunden kan kontrollere en leverandør på. Listen skelner mellem intern gennemgang eller egenkontrol foretaget af leverandøren og ekstern gennemgang foretaget af kunden eller en uvildig tredjepart. Begge hører med i et godt samarbejde, men de svarer på forskellige spørgsmål.
Egenkontrol viser, at leverandøren har styr på sine egne rutiner. En uvildig gennemgang viser, om rutinerne holder, set fra en, der ikke har lavet dem. Det britiske NCSC udtrykker samme tanke i sin vejledning om penetrationstest: en gennemgang ved en ekstern part sikrer, at det interne holds processer er tilstrækkelige. → Et uafhængigt blik
Hvad leverandørens egen test kan give
Der er gode grunde til at tage imod tilbuddet som en del af driften.
- Kendskab til miljøet · leverandøren ved, hvor systemerne er, og hvordan de hænger sammen.
- Hurtig rettelse · den, der finder et problem, kan selv lukke det.
- Løbende kontrol · egenkontrol kan gentages med kortere mellemrum end en ekstern test.
- Lav forstyrrelse · leverandøren ved, hvornår en test vil genere driften mindst.
Bed gerne leverandøren om at dokumentere sin egenkontrol og vise resultatet. Det er et godt supplement til, hvad ledelsen ellers ved om driften.
Hvad ledelsen giver afkald på
Ulemperne ligger ikke i testens kvalitet, men i dens position.
- Ingen afstand · den, der har sat systemerne op, ser dem med de samme antagelser, som lå bag opsætningen.
- En indbygget interesse · fund i leverandørens test er også fund i leverandørens eget arbejde.
- Leverandørens egen afgrænsning · leverandøren vælger let at teste det, den selv har ansvaret for, og ikke det, der ligger mellem to leverandører.
- Svagere troværdighed udadtil · en kunde eller bestyrelse kan med rette spørge, hvem der har kontrolleret leverandøren.
- Salg bagefter · hvis fundene fører til nye ydelser fra samme leverandør, får testen en kommerciel side.
Ingen af punkterne kræver, at nogen handler i ond tro. De følger af, at kontrollanten og den kontrollerede er den samme. Af samme grund attesterer en revisor ikke et regnskab, revisoren selv har ført. → Uvildighed: hvorfor testeren ikke bør sælge løsningerne bagefter
Spørgsmål, ledelsen kan stille leverandøren
Hvis tilbuddet ligger på bordet, kan ledelsen bruge det som anledning til en åben samtale.
- Hvad vil I teste, og hvad bliver udeladt? · især de dele, der ligger hos andre leverandører eller hos os selv.
- Hvem hos jer udfører testen? · er det de samme, som driver vores systemer?
- Hvordan rapporterer I fundene til os? · også dem, der skyldes jeres egen opsætning?
- Vil fundene føre til tilbud på ekstra ydelser? · og hvordan holder I det adskilt?
- Vil I medvirke, hvis vi også lader en uafhængig part teste? · svaret siger meget om samarbejdet.
Det sidste spørgsmål er det vigtigste. En leverandør, der byder en uafhængig test velkommen, viser tillid til sit eget arbejde. → Spørgsmål til IT-leverandøren
Når begge dele giver mening
Den bedste løsning er ikke nødvendigvis et valg mellem de to, men en fordeling. Leverandøren står for den løbende egenkontrol, som en del af driften. En uafhængig part tester med passende mellemrum, eller når der er sket store ændringer, og når resultatet skal bruges udadtil. På den måde får ledelsen både den daglige omhu og et blik, der ikke er farvet af driften.
Fordelingen bør stå i kontrakten, så det er klart, at leverandøren skal medvirke, når en anden tester, og skal rette det, der findes inden for leverandørens ansvar. Hvordan en uafhængig test forberedes i et miljø, en leverandør driver, beskriver penetrationtest.dk. → Kontrakten med IT-leverandøren
Sådan siger ledelsen nej tak uden at skade samarbejdet
Et nej til leverandørens test kan opfattes som mistillid, særlig hvis samarbejdet ellers fungerer godt. Det kan undgås ved at begrunde valget i ledelsens behov frem for i leverandørens arbejde. Ledelsen skal kunne vise bestyrelse og kunder et resultat fra en part uden tilknytning til driften. Det er en regel om uafhængighed, ikke en vurdering af leverandøren.
Det hjælper også at gøre leverandøren til en del af løsningen. Bed leverandøren om at forberede testen, deltage i gennemgangen af fundene og komme med forslag til rettelser. Så bliver den uafhængige test en fælles opgave og ikke en eksamen, leverandøren skal bestå. → Når to leverandører peger på hinanden
Et tænkt eksempel
En boligforening med administration, udlejningsportal og et antal ejendomskontorer får tilbud fra sin driftsleverandør om en årlig sikkerhedstest som tillæg til driftsaftalen. Direktøren er tilbøjelig til at sige ja, fordi det er nemt.
Formanden for bestyrelsen spørger, om testen vil kunne bruges, hvis en lejer eller en kommune spørger til sikkerheden. Direktøren stiller spørgsmålene ovenfor. Leverandøren svarer, at det er de samme teknikere, der driver og tester, og at udlejningsportalen, som et andet firma har udviklet, ikke er med. Ledelsen vælger at tage imod leverandørens test som egenkontrol og bestille en uafhængig test af portalen og adgangen til den. Leverandøren accepterer at medvirke.
Det skal I lade være med
- At sige ja, fordi det er nemmest · overvej først, hvad testen skal bruges til.
- At præsentere egenkontrol som uafhængig test · det holder ikke, hvis nogen spørger.
- At afvise tilbuddet som mistænkeligt · egenkontrol har sin plads.
- At glemme det, der ligger mellem leverandørerne · det er her, ingen tester af sig selv.
- At undlade at skrive fordelingen ind i kontrakten · ellers er den kun en hensigt.
Hvad kan og ikke kan konkluderes
Leverandørens egen test kan vise, at leverandøren holder øje med sine egne systemer, og den kan føre til hurtige rettelser. Den kan ikke give ledelsen et uafhængigt grundlag, fordi den, der tester, også er den, der bliver testet. En uafhængig test kan give det grundlag, men den viser kun, hvad der var muligt på det tidspunkt. Ledelsen får mest ud af at kende forskellen og bruge begge dele til det, de egner sig til.
Kilder
- Styrelsen for Samfundssikkerhed: Cybersikkerhed i leverandørforhold (vejledning, 2022): afsnit 5.3 om kontrol med leverandøren, herunder egenkontrol foretaget af leverandøren og ekstern gennemgang ved kunden eller en uvildig tredjepart.
- NCSC (UK): Penetration testing: en ekstern gennemgang sikrer, at det interne holds processer er tilstrækkelige.
Senest gennemgået: oktober 2026.
Næste skridt
- Uvildighed: hvorfor testeren ikke bør sælge løsningerne bagefter
- Kontrakten med IT-leverandøren: hvad siger den om sikkerhedstest?
Del af: Artikler til ledelsen
Læs også: Ansvaret kan ikke outsources · Når to leverandører peger på hinanden
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
