Måler testen vores sikkerhedsniveau?

Bestyrelser og direktioner er vant til at styre efter tal: omsætning, dækningsbidrag, kundetilfredshed. Derfor er det naturligt at forvente, at en sikkerhedstest giver et tal for sikkerheden. Det gør den ikke, og svaret hviler på, hvad en test er bygget til: den finder konkrete svagheder inden for en afgrænset opgave og en afgrænset periode. Den sammenligner ikke virksomheden med en skala og udtaler sig ikke om helheden.

Det betyder ikke, at testen er uden værdi for styringen. Den giver noget andet end en karakter, nemlig en liste over steder, hvor forsvaret ikke holdt, og et grundlag for at beslutte, hvad der skal ske.

Hvorfor ønsket om en karakter er forståeligt

En karakter er let at fremlægge og let at følge. Den kan stå i en årsrapport, sammenlignes med sidste år og bruges til at vise, at pengene har virket. Ledelsen har brug for at vide, om det går den rigtige vej, og en karakter ser ud til at give netop det.

Problemet er, at sikkerhed ikke har en fast målestok på samme måde som økonomi. Et enkelt overset forhold kan betyde mere end ti små, og det, der var sikkert sidste år, kan være usikkert i dag, fordi omverdenen har ændret sig. → Kan sikkerhed måles?

Hvad testen faktisk siger noget om

Det britiske NCSC beskriver penetrationstest som en måde at få sikkerhed for, at et system er beskyttet, og at virksomhedens egne processer for at finde og håndtere svagheder virker. NCSC tilføjer, at en test kun kan bekræfte, at systemerne ikke var sårbare over for kendte problemer på testdagen.

For ledelsen betyder det tre ting.

Testen udtaler sig om det afprøvede · systemer uden for opgaven er ikke vurderet, hverken positivt eller negativt.
Testen udtaler sig om en periode · ændringer bagefter er ikke dækket.
Testen afhænger af opgaven · en kort test af få systemer og en lang test af mange giver ikke resultater, der kan lægges på samme skala.

Derfor kan to virksomheder med samme antal fund have vidt forskellig sikkerhed, og samme virksomhed kan få flere fund i år end sidste år, fordi testen gik dybere.

Farver og scorer i rapporten

En rapport kan bruge farver eller scorer for de enkelte fund, for eksempel kritisk, høj, middel og lav. Det er nyttigt til at prioritere rettelser, men det er ikke en samlet karakter. En opsummering, der viser en farve for hele virksomheden, er en forenkling, som testeren har valgt, og den bør læses med det forbehold.

Spørg derfor, hvad farven bygger på, og hvad der ikke er med. Hvis svaret er, at den bygger på antallet af fund i de testede systemer, er den ikke et mål for virksomhedens sikkerhed. → Farvekoder og scorer

Hvad ledelsen kan styre efter i stedet

Selv om testen ikke giver en karakter, kan ledelsen godt følge udviklingen. Det kræver blot, at ledelsen ser på noget andet end antal og farver. Nogle mål, der giver mening for en ledelse, er:

Opfølgning · hvor mange af de alvorlige fund fra seneste test der er rettet inden for den tid, ledelsen har besluttet.
Gentagelser · om de samme typer svagheder dukker op igen, hvilket kan tyde på, at et grundlæggende forhold ikke er løst.
Dækning · hvor stor en del af de vigtigste systemer der er testet inden for de seneste år.
Beslutninger · om alle fund, der ikke rettes, har en navngiven ejer, der har accepteret risikoen.

Målene kræver ikke teknisk viden at læse. De kan stå på en enkelt side og opdateres af IT, inden emnet kommer på dagsordenen. Det vigtige er, at de samme mål bruges hver gang, så ledelsen kan se, om opfølgningen bliver bedre eller dårligere over tid.

Det er mål for ledelsens egen styring, ikke for systemernes tilstand. De siger noget om, om virksomheden tager resultaterne alvorligt, og det er netop det, en bestyrelse kan føre tilsyn med. → Hvad får ledelsen ud af at teste igen år efter år?

Et tænkt eksempel

En bestyrelse i en mellemstor handelsvirksomhed beder om en karakter fra en til fem for IT-sikkerheden. IT-chefen præsenterer sidste års rapport, der havde færre fund end året før, og foreslår en firer.

Et bestyrelsesmedlem spørger, om de samme systemer blev testet begge år. Det viser sig, at året før omfattede både webshoppen og lagerstyringen, mens sidste år kun omfattede webshoppen. Faldet i fund siger derfor intet om udviklingen. Ingen havde gjort noget forkert. Tallet var bare aldrig bygget til at blive sammenlignet. Bestyrelsen dropper karakteren og beder i stedet om en årlig oversigt over, hvad der er testet, hvad der er rettet, og hvilke risici der er accepteret.

Når andre vil have et tal

Kunder, forsikringsselskaber og samarbejdspartnere spørger nogle gange efter en score eller et niveau. Her er det vigtigt, at ledelsen ikke selv omsætter en test til en karakter, som den ikke kan stå inde for. Svar i stedet med, hvad der er testet, hvornår, og hvordan fundene er håndteret. Det er et svar, der holder, også hvis nogen spørger ind. → Benchmark og sammenligning med andre

Hvis I har brug for en samlet vurdering af modenheden i sikkerhedsarbejdet, er det en anden øvelse, hvor politik, organisation, processer og teknik vurderes samlet. En sikkerhedstest kan være et input til den, men ikke erstatte den.

Det skal I lade være med

At omsætte antal fund til en karakter · antallet afhænger af opgaven.
At sammenligne år uden at sammenligne opgaverne · så måler I forskellen i testen, ikke i sikkerheden.
At bruge rapportens farve som bestyrelsens nøgletal · den er en forenkling.
At love kunder et niveau · I kan kun stå inde for, hvad der er testet.
At kræve færre fund af IT · det kan friste til mindre test i stedet for bedre sikkerhed.

Hvad kan og ikke kan konkluderes

En test kan vise konkrete svagheder i de afprøvede systemer i testperioden og give grundlag for at prioritere. Den kan ikke måle virksomhedens samlede sikkerhedsniveau, og den kan ikke sammenlignes direkte med andre virksomheders test. Det, ledelsen kan måle, er sin egen opfølgning. → Testen skal ikke bestås

Tjekliste: det kan ledelsen følge

☐ Ved ledelsen, hvad der blev testet, og hvad der ikke gjorde?
☐ Er de alvorlige fund rettet inden for den aftalte tid?
☐ Har fund, der ikke rettes, en ejer, der har accepteret risikoen?
☐ Dukker de samme svagheder op igen?
☐ Er det klart, hvor stor en del af de vigtigste systemer der er testet?

Kilder

NCSC, Penetration testing: testen som en måde at få sikkerhed for systemer og for egne processer for sårbarhedsstyring, og at den kun kan bekræfte forholdene over for kendte problemer på testdagen.

Senest gennemgået: oktober 2026.