Hvornår kan ledelsen sige nej til en test?

Et nej til en sikkerhedstest kan være lige så velbegrundet som et ja. Ledelsen kan sige nej eller vente, når testen ikke vil give et svar, virksomheden kan bruge lige nu, eller når pengene gør mere gavn et andet sted. Afgørelsen hviler på to spørgsmål: hvad skulle testen have vist, og hvad gør virksomheden i stedet for at finde ud af det?

Det, der skiller et ansvarligt nej fra et uansvarligt, er ikke nødvendigvis selve beslutningen. Det er begrundelsen, og om den er skrevet ned, så den kan tages op igen.

Gode grunde til at vente eller vælge noget andet

Der findes situationer, hvor en test ikke er det bedste næste skridt. Her er nogle af dem.

Det grundlæggende mangler · hvis IT ikke har overblik over systemerne, eller hvis kendte opdateringer ligger uinstalleret, vil testen mest pege på det, alle allerede ved.
Ingen kan rette · hvis IT og leverandører er fuldt optaget i den kommende periode, bliver rapporten liggende, og fundene ældes.
Det testede forsvinder snart · et system, der lukkes eller udskiftes inden længe, giver et billede, der kun gælder kort.
Formålet er uklart · hvis ingen kan sige, hvilket spørgsmål testen skal besvare, er det spørgsmålet, der skal på plads først.
Svaret findes allerede · en nylig test af samme område kan dække behovet, hvis intet væsentligt er ændret siden.

Den britiske myndighed NCSC beskriver penetrationstest som en måde at få sikkerhed for, at virksomhedens egen håndtering af svagheder virker, og ikke som den primære måde at finde svagheder på. Er den håndtering endnu ikke på plads, kan en enklere gennemgang eller scanning være det rigtige første skridt. → Hvilken test har vi brug for?

Dårlige grunde til at sige nej

Andre begrundelser holder dårligere, når de ses i bakspejlet.

Frygten for resultatet · at det er ubehageligt at få dårlige nyheder, gør ikke risikoen mindre. → Det er tryggere ikke at vide det
Ingen hændelser hidtil · fravær af kendte problemer siger ikke, at der ikke er nogen. → Vi har aldrig haft et sikkerhedsproblem
Prisen alene · et nej, der kun handler om udgiften, uden at nogen har spurgt, hvad det koster at lade være, er en halv beslutning.
Travlhed som fast svar · hvis testen udskydes hvert halve år med samme begrundelse, er det i praksis et nej, ingen har truffet.

Den sidste er den mest udbredte. Ingen beslutter at droppe testen. Den glider bare.

Et nej behøver ikke være et nej for altid

Et velbegrundet nej kan i virkeligheden være et “ikke endnu”. Grundlaget skal på plads, kapaciteten skal frigøres, eller omlægningen skal være færdig. Det betyder, at beslutningen bør have en betingelse eller en dato knyttet til sig: hvornår ser ledelsen på spørgsmålet igen, og hvad skal være opfyldt?

Uden den betingelse bliver udskydelsen let permanent. Med den kan ledelsen senere se, om forudsætningen er opfyldt, og om testen nu giver mening. → Teste nu eller vente til efter omlægningen?

Overvej også, hvem der har mandat til at sige nej. Et forslag fra IT, som en mellemleder afviser af hensyn til budgettet, er ikke en ledelsesbeslutning, selv om det ligner en. Hvis testen skulle have dækket noget, virksomheden ikke kan undvære, hører afvisningen hjemme hos den, der ejer risikoen. Det gør ikke beslutningen tungere, men det sikrer, at den bliver truffet af en person, der kan stå inde for den over for bestyrelsen.

Når testen er et krav udefra

Nogle gange er testen ikke ledelsens eget valg. En kunde kan have skrevet den ind i kontrakten, eller en forsikring kan have spurgt til den. Så har et nej konsekvenser uden for virksomheden.

Ledelsen kan stadig vælge at sige nej eller bede om udsættelse, men det bør ske åbent over for den, der stiller kravet, og ikke ved at lade fristen passere. En kunde vil måske hellere høre om en plan med en dato end opdage, at kravet er glemt. → Krav, vi ikke kan opfylde endnu

Sådan dokumenteres fravalget

Et nej, der kun findes i et møde, kan ikke forsvares bagefter. Skriv beslutningen ned i referatet eller i risikoregistret, og lad den indeholde:

Forslaget · hvad blev der foreslået, og af hvem?
Begrundelsen · hvorfor er svaret nej eller vent?
Det, der gøres i stedet · fx oprydning, en enklere gennemgang eller en plan for rettelser.
Betingelsen · hvad skal være opfyldt, før spørgsmålet tages op igen, og hvornår sker det?
Ansvaret · hvem i ledelsen har truffet beslutningen og følger den?

En sådan note viser, at risikoen er set og vejet. Den kan vises til en bestyrelse, en revisor eller en kunde, der senere spørger, hvorfor der ikke blev testet. → Risikoregistret

Et tænkt eksempel

IT-chefen i en producent af dyrefoder foreslår en test af hele kontornettet. Direktøren spørger ind og får at vide, at driftsleverandøren netop er ved at udskifte servere, og at en stor del af de kendte opdateringer endnu ikke er lagt på.

Ledelsen siger nej til testen nu. I stedet får driftsleverandøren en frist for at gøre udskiftningen og opdateringerne færdige, og testen skrives ind med en dato kort efter. I referatet står begrundelsen, hvad der gøres i mellemtiden, og at direktøren følger op. Da datoen nærmer sig, er forudsætningen opfyldt, og testen bestilles med et klarere formål end det første forslag.

Det skal I lade være med

At sige nej uden begrundelse · så kan beslutningen hverken forklares eller tages op igen.
At udskyde uden dato · en åben udskydelse kan ende som et stiltiende fravalg.
At lade frygt for resultatet afgøre sagen · den dårlige nyhed findes, uanset om den bliver set.
At ignorere et krav udefra · tal med kunden eller forsikringen i stedet for at lade fristen gå.
At glemme, hvad der gøres i stedet · et nej uden alternativ efterlader risikoen urørt.

Hvad kan og ikke kan konkluderes

Et dokumenteret nej viser, at ledelsen har vurderet forslaget og valgt bevidst. Det kan være den rigtige beslutning, når grundlaget mangler, eller når ressourcerne er bundet andre steder. Det ændrer ikke ved, at forholdene i de systemer, der ikke blev testet, forbliver ukendte, og den usikkerhed er en risiko, ledelsen selv har påtaget sig.

Tjekliste før ledelsen siger nej

☐ Ved vi, hvilket spørgsmål testen skulle have besvaret?
☐ Er begrundelsen saglig og ikke kun et spørgsmål om ubehag eller travlhed?
☐ Er det besluttet, hvad der gøres i stedet?
☐ Har beslutningen en betingelse eller en dato for genoptagelse?
☐ Er en kunde eller forsikring orienteret, hvis testen var et krav?
☐ Står fravalget i referatet eller risikoregistret med en ansvarlig?

Kilder

NCSC, Penetration testing: penetrationstest som en måde at få sikkerhed for, at egne processer for håndtering af svagheder virker, og ikke som den primære måde at finde dem på.

Senest gennemgået: oktober 2026.