Leverandørrisiko: når virksomhedens sikkerhed ligger i andres hænder

En virksomhed kan have styr på sine egne systemer og alligevel blive ramt gennem en leverandør. Det kan være driftsleverandøren, softwarehuset, der vedligeholder økonomisystemet, revisoren med adgang til regnskabet eller servicefirmaet, der fjernstyrer ventilationen. Spørgsmålet for ledelsen er, hvordan den får overblik over den risiko og styr på den. Svaret hviler på tre greb: at vide, hvem der har adgang til hvad, at stille krav, der passer til adgangen, og at kontrollere, at kravene holder. En sikkerhedstest kan hjælpe med det sidste, men den kan ikke erstatte de to første.

Hvorfor leverandørerne er ledelsens sag

Leverandører kan blive valgt af den afdeling, der skal bruge dem. Økonomi vælger økonomisystemet, produktionen vælger servicefirmaet til maskinerne, marketing vælger bureauet. Hver beslutning er fornuftig for sig, men ingen ser det samlede billede af, hvor mange udefra der har adgang til virksomhedens systemer og data.

Det samlede billede er ledelsens ansvar. Den britiske kodeks for ledelse af cyberrisici lægger op til, at ledelsen sikrer sig, at leverandører vurderes regelmæssigt og i forhold til risikoen, og at virksomheden kan modstå de risici, der følger med leverandører og samarbejdspartnere. → Ansvaret kan ikke outsources

Fire trin fra det britiske NCSC

NCSC har udgivet principper for sikkerhed i leverandørkæden. Vejledningen er skrevet til større organisationer, men dens opbygning i fire trin kan bruges af alle.

Forstå risikoen · find ud af, hvem jeres leverandører er, og hvad de har adgang til.
Skab kontrol · stil krav, der passer til den adgang og betydning, hver leverandør har.
Kontrollér ordningerne · skaf jer vished for, at kravene bliver opfyldt i praksis.
Forbedr løbende · hold oversigten og kravene ved lige, når leverandører og systemer skifter.

For en mindre virksomhed kan alle fire trin rummes i et enkelt dokument og et fast punkt på ledelsens dagsorden. Det vigtige er, at nogen tager ansvar for helheden, og at ledelsen ved, hvem det er. Det kan være økonomichefen, IT-chefen eller en anden, men det skal være en person med mandat til at stille krav og lukke adgange, også når det er ubelejligt for en afdeling.

Oversigten: hvem har adgang til hvad?

Første trin er en oversigt. Den behøver ikke være lang, men den skal være fuldstændig. For hver leverandør skal ledelsen kunne svare på tre spørgsmål.

Hvad har de adgang til? · systemer, data, bygninger eller netværk.
Hvordan får de adgang? · fjernadgang, egne konti, fælles konti eller fysisk tilstedeværelse.
Hvem hos os følger op? · en navngiven person, der ved, hvad leverandøren laver, og som kan lukke adgangen.

Oversigten kan afsløre leverandører, som ingen længere bruger, men som stadig har adgang. Den viser også, hvem der har mest adgang, og derfor skal have de strengeste krav. → Hvem har adgang til hvad?

Krav, der passer til adgangen

Ikke alle leverandører skal mødes med de samme krav. En leverandør, der kun sender fakturaer, er noget andet end en, der har administratoradgang til alle servere. Kravene bør stige med adgangen og med betydningen af det, leverandøren kan røre ved.

Krav kan handle om, hvordan leverandøren beskytter sine egne konti, hvem hos leverandøren der har adgang, hvordan jeres virksomhed får besked, hvis leverandøren bliver ramt, og om virksomheden må teste de dele, leverandøren har ansvar for. Kravene skal stå i aftalen, ellers er de ønsker. Når en aftale skal fornyes, er det et godt tidspunkt at få dem skrevet ind. → Sikkerhed i samarbejdsaftaler

For softwareleverandører kan ledelsen desuden spørge, hvordan produktet selv bliver testet, og hvad leverandøren gør med fundene. → Spørgsmål til softwareleverandøren

Hvor testen kommer ind

En sikkerhedstest af jeres egne systemer kan vise noget om leverandørrisikoen. Den kan vise, at en leverandørs adgang er bredere end aftalt, at en gammel adgang stadig virker, eller at en konto, der deles af flere hos leverandøren, kan misbruges. Hvordan leverandøradgange afprøves teknisk, er beskrevet på https://penetration-test.dk/.

Testen kan ikke vise, hvordan leverandøren beskytter sig selv. Hvis leverandørens egne systemer bliver kompromitteret, kan angriberen bruge en helt lovlig adgang til jer. Det er derfor, kravene og opfølgningen er lige så vigtige som testen.

Ledelsen kan derfor bruge testen på to måder. Den kan bede testeren om at se på, hvad en leverandørs adgang giver mulighed for, hvis den bliver misbrugt, så ledelsen ved, hvor stor skaden kunne blive. Og den kan bruge resultatet som grundlag for en samtale med leverandøren om, hvordan adgangen kan begrænses. I begge tilfælde skal leverandøren vide, at der testes, og have mulighed for at bidrage. Ellers kan testen skabe mistillid i stedet for bedre sikkerhed.

Et tænkt eksempel

En virksomhed, der driver plejeboliger for en kommune, laver for første gang en oversigt over leverandører med adgang. Ledelsen havde regnet med fire. Oversigten viser elleve, blandt andet et firma, der fjernovervåger nødkaldeanlægget, og et tidligere konsulenthus, der hjalp med et projekt for flere år siden.

Konsulenthusets adgang lukkes med det samme. For nødkaldeanlægget aftales det, at leverandøren skal give besked ved hændelser, og at adgangen kun må bruges fra kendte steder. Den kommende sikkerhedstest får til opgave at se på, hvordan leverandøradgangene er adskilt fra resten af netværket. Ledelsen beslutter samtidig, at oversigten skal opdateres, hver gang en ny leverandør får adgang, og at den gennemgås på et ledelsesmøde, så det ikke igen tager flere år, før nogen opdager en glemt adgang. → Når en partner bliver ramt

Det skal I lade være med

At lade hver afdeling styre sine leverandører uden overblik · ingen ser så det samlede billede.
At stille de samme krav til alle · kravene skal passe til adgangen.
At glemme at lukke adgange · når samarbejdet stopper, skal adgangen også stoppe.
At tro, at en test af jeres systemer dækker leverandørens · leverandørens egen sikkerhed er uden for testen.
At skrive krav, der ikke står i aftalen · så kan de ikke håndhæves.

Hvad kan og ikke kan konkluderes

En oversigt, krav og en test giver ledelsen et billede af, hvor leverandørerne kan blive en vej ind, og hvor stramt det er styret. De kan ikke sikre, at en leverandør aldrig bliver ramt. Ledelsen kan begrænse konsekvensen og opdage det hurtigere, men den kan ikke overtage leverandørens ansvar for egne systemer.

Tjekliste til leverandørerne

☐ Har vi en oversigt over alle leverandører med adgang til systemer, data eller bygninger?
☐ Har hver leverandør en navngiven kontaktperson hos os?
☐ Passer kravene i aftalerne til den adgang, leverandøren har?
☐ Bliver adgange lukket, når et samarbejde stopper?
☐ Har næste test fokus på leverandørernes adgange? → Hvad står stille, hvis systemerne er nede?

Kilder

NCSC, Principles of supply chain security: principper for sikkerhed i leverandørkæden i fire trin: forstå risikoen, skab kontrol, kontrollér ordningerne og løbende forbedring.
NCSC og UK Government, Cyber Governance Code of Practice: A4 om regelmæssig vurdering af leverandører i forhold til risikoen.

Senest gennemgået: oktober 2026.