Nøglepersoner skifter job: hvem bærer opfølgningen videre?

Opfølgningen på en sikkerhedstest kan strække sig over længere tid, end nogen kan love, at de samme personer sidder i de samme stillinger. Siger IT-chefen op midt i forløbet, eller får direktøren, der ejede testen, nye opgaver, risikerer de åbne fund at forsvinde med personen. Svaret hviler på at knytte ansvaret til en rolle og ikke til en person: hvem der har ansvaret, står i en beskrivelse, som ledelsen har godkendt, og det, personen ved, ligger et sted, hvor den næste kan finde det. Så er et jobskifte en overdragelse og ikke et tab.

Hvad der går tabt, når en person stopper

Rapporten er ikke det, der forsvinder. Den ligger i en mappe eller i en mail. Det, der går tabt, er alt det, der ikke står i rapporten: hvorfor et fund blev accepteret, hvilken aftale der blev indgået med leverandøren om en rettelse, hvem der lovede hvad på mødet efter testen, og hvilke fund der kun er meldt rettet og ikke efterprøvet.

Den viden er det, der gør opfølgningen til mere end en liste. Når den kun findes i én persons hoved eller indbakke, står den næste med en rapport og en række åbne punkter uden historie. Hvordan afhængigheden af enkeltpersoner påvirker sikkerheden mere bredt, er beskrevet i → Nøglepersonsrisiko

Ansvar til roller, ikke navne

Det britiske National Cyber Security Centre (NCSC) skriver i sit materiale til bestyrelser, at ansvaret for cybersikkerhed skal være klart defineret, og at det er et tegn på, at rapporteringsstrukturen skal styrkes, hvis ledelsen har svært ved at sige, hvor ansvaret ligger. En overdragelse er den situation, hvor det bliver prøvet.

For opfølgningen på en test kan ledelsen beskrive tre roller kort:

Ejeren i ledelsen · den, der står til ansvar for, at opfølgningen gennemføres. → Hvem i ledelsen skal eje sikkerhedstesten?
Den udførende ansvarlige · den, der koordinerer rettelserne hos IT og leverandører.
Stedfortræderen · den, der kan tage over med kort varsel og allerede kender planen.

Beskrivelsen skal ikke være lang. Den skal sige, hvad rollen omfatter, og hvem der har den lige nu. Når en person stopper, skifter navnet. Rollen består.

Det er en fordel, at de tre roller ikke alle ligger hos samme person. I en mindre virksomhed kan det være svært at undgå, men så bliver stedfortræderen endnu vigtigere. Stedfortræderen behøver ikke at være tekniker. Det vigtige er, at personen kender planen, har været med på et par statusmøder og ved, hvor opfølgningsmappen ligger. En stedfortræder, der kun står på papiret, hjælper ikke den dag, der er brug for det.

Hvad der skal ligge, før nogen stopper

Overdragelsen er lettest, når det vigtigste allerede er samlet. Ledelsen kan bede om, at der til hver test findes en opfølgningsmappe med:

Rapporten og resuméet · den gældende udgave, ikke et udkast.
Planen · fund, ejere, frister og status.
Beslutningerne · accepterede fund med begrundelse, og hvem der besluttede.
Aftalerne · hvad leverandører og testeren har lovet, og hvornår.
Kontakterne · hvem hos leverandører og testeren der kender sagen.

Mappen skal ligge et sted, hvor ejeren i ledelsen og stedfortræderen har adgang, og hvor adgangen følger rollen. Rapporten er fortrolig, så adgangen skal også være begrænset. → Hvem skal kende resultatet?

Overdragelsen som ledelsesbeslutning

Når den udførende ansvarlige eller ejeren i ledelsen siger op, bør overdragelsen være et punkt på direktionens næste møde. Ledelsen beslutter, hvem der overtager rollen, hvornår overdragelsen er afsluttet, og om stedfortræderen skal dække i en periode.

Overdragelsen bør ske, mens personen stadig er ansat og kan svare på spørgsmål. Bed om en gennemgang af opfølgningsmappen, hvor den nye ansvarlige er med. Det er her, de uskrevne aftaler kommer frem, for eksempel en mundtlig aftale med leverandøren om en rettelse i næste opdatering eller et løfte til en kunde om at sende dokumentation, når et fund er lukket. Det er også her, ledelsen sikrer, at den, der stopper, ikke beholder adgange, der hører til rollen.

Skifter en leverandør sin kontaktperson, gælder det samme princip. Bed leverandøren bekræfte, at den nye kontakt kender de åbne fund og de aftaler, der er indgået. Det kan med fordel stå i aftalen med leverandøren, at et skifte af kontaktperson meddeles, og at sager i gang overdrages skriftligt, så virksomheden ikke selv skal opdage det, når en mail kommer retur.

Når det er direktøren, der stopper

Er det den administrerende direktør eller ejeren af testen i direktionen, der stopper, flytter ansvaret op. Bestyrelsen eller ejerkredsen bør sikre, at opfølgningen indgår i overdragelsen til den nye direktør, og at den nye direktør får et samlet billede af åbne fund og accepterede risici i de første uger. → Ny direktør og sikkerheden

Har virksomheden ingen IT-chef, og var det en ekstern leverandør, der bar opfølgningen, er overdragelsen endnu vigtigere at styre fra ledelsens side. → Opfølgning uden en IT-chef

Et tænkt eksempel

En tandlægekæde med fem klinikker har fået testet sit journalsystem og netværket mellem klinikkerne. To måneder efter rapporten siger den IT-ansvarlige op. Tre alvorlige fund er rettet, to står åbne, og et mindre fund er accepteret.

Direktøren sætter overdragelsen på direktionens møde. Opfølgningsmappen findes, men accepten af det mindre fund mangler en begrundelse. Den IT-ansvarlige skriver den ind i opsigelsesperioden. Klinikchefen, der var stedfortræder, overtager rollen midlertidigt, og direktionen beder IT-leverandøren bekræfte de to åbne fund og deres datoer. Da en ny IT-ansvarlig starter, går klinikchefen og den nye igennem mappen sammen, og direktionen noterer, at rollen er overdraget.

Det skal I lade være med

At knytte ansvaret til et navn · beskriv rollen, så den kan overtages.
At samle viden i én indbakke · beslutninger og aftaler skal ligge i opfølgningsmappen.
At vente til sidste arbejdsdag · overdrag, mens personen kan svare.
At glemme leverandørens kontaktperson · også den skal kende de åbne fund.
At lade adgangen følge personen · den skal følge rollen.

Hvad kan og ikke kan konkluderes

En beskrevet rolle, en stedfortræder og en samlet opfølgningsmappe gør det muligt at fortsætte opfølgningen, når en person stopper. De erstatter ikke den erfaring, personen havde med systemerne. Den nye ansvarlige skal stadig have tid til at sætte sig ind i dem, og den tid bør med i planen. → Organisationsændringer og opfølgningen

Tjekliste til overdragelsen

☐ Er rollerne i opfølgningen beskrevet og godkendt af ledelsen?
☐ Er der udpeget en stedfortræder, der kender planen?
☐ Findes der en opfølgningsmappe med rapport, plan, beslutninger og aftaler?
☐ Er overdragelsen et punkt på direktionens møde?
☐ Følger adgangen til mappen rollen og ikke personen?

Kilder

NCSC (UK), Cyber Security Toolkit for Boards: Embedding cyber security into your organisation: ansvaret for cybersikkerhed skal være klart defineret, og uklarhed om, hvor ansvaret ligger, er et tegn på, at rapporteringsstrukturen skal styrkes.

Senest gennemgået: oktober 2026.