Ny direktør: hvad man bør vide om sikkerheden i de første måneder

En ny direktør overtager mere end et budget og en organisation. Med stillingen følger også ansvaret for den IT-sikkerhed, forgængeren efterlod, inklusive de beslutninger, der blev truffet, og dem, der aldrig blev det. Det første, en ny direktør bør gøre, er derfor at finde ud af, hvad der faktisk er overtaget.

Det kræver ikke teknisk viden. Det kræver de rigtige spørgsmål om ansvar, aftaler, dokumentation og åbne sager. Svarene viser, om sikkerheden er styret, eller om den hviler på vaner og enkeltpersoner. Først derefter giver det mening at tage stilling til, om en test er det næste skridt.

Ansvaret følger med stillingen

Det er let at tænke, at sikkerheden er noget, IT tager sig af, og at den nye direktør kan vente med emnet, til de mere presserende sager er på plads. Men ansvaret for, at virksomheden er forsvarligt organiseret, følger stillingen fra første dag. Hvis noget går galt i overgangsperioden, er det den nye direktør, der skal svare bestyrelsen, kunderne og eventuelt myndighederne.

En pjece om toplederens ansvar på sikkerdigital.dk beskriver det sådan, at topledelsen skal sætte retning, prioritere ressourcer, godkende væsentlige risikovurderinger og sikre, at der bliver fulgt op. Pjecen er skrevet til offentlige organisationer, men listen er et brugbart udgangspunkt for enhver ny leder. → Ledelsens ansvar for IT-sikkerhed

Hvem gør hvad i dag?

Det første spørgsmål er, hvem der har ansvaret for sikkerheden i praksis. Er der en IT-chef, en ekstern driftsleverandør, en enkelt medarbejder, der har påtaget sig opgaven, eller en kombination? Og er ansvaret skrevet ned nogen steder, eller er det bare sådan, det har været?

Spørg også, hvem der rapporterer til direktionen om sikkerhed, og hvor ofte. Hvis svaret er, at det sker, når der er problemer, er det et tegn på, at sikkerheden ikke har været et fast ledelsespunkt. Hvis ingen kan svare, er det et endnu tydeligere tegn.

Vær opmærksom på, om sikkerheden hviler på én person. Det kan især ske i mindre virksomheder, og det er en risiko, ledelsen kan gøre noget ved, fx ved at sørge for dokumentation og en stedfortræder. → Afhængige af én IT-person

Aftaler, du har arvet

Den næste opgave er at finde de aftaler, der regulerer sikkerheden. Det gælder kontrakten med driftsleverandøren, aftaler med softwareleverandører og hostingudbydere, og eventuelle krav i kontrakter med vigtige kunder. Hvad har virksomheden lovet andre, og hvad har andre lovet virksomheden?

Læs især efter, hvem der har ansvaret for opdateringer, overvågning, sikkerhedskopier og hjælp ved hændelser. Det er ikke givet, at en driftsaftale dækker alt det, ledelsen går ud fra. Og læs efter, hvad virksomheden har skrevet under på over for kunder, fx i sikkerhedsspørgeskemaer eller kontrakter. Den nye direktør står nu inde for de svar. → Kontrakten med IT-leverandøren

Forsikringen hører også med. Hvilke oplysninger om sikkerheden blev givet ved tegningen eller den seneste fornyelse, og er de stadig rigtige? Hvis forudsætningerne har ændret sig, fx fordi en leverandør er skiftet ud eller et system er lukket, bør det afklares med forsikringen eller mægleren, før der opstår en skade.

Hvad er dokumenteret?

Bed om at se den dokumentation, der findes. Det kan være en sikkerhedspolitik, en risikovurdering, en beredskabsplan, tidligere testrapporter og referater fra møder, hvor sikkerhed har været på dagsordenen. Mængden er mindre vigtig end alderen og sammenhængen. En politik fra flere år tilbage, som ingen har læst siden, siger mere om kulturen end om sikkerheden.

Hvis der findes en tidligere testrapport, så spørg, hvad den fandt, og hvad der er sket med fundene siden. Er de rettet, accepteret som en bevidst risiko, eller blot glemt? Rettelser, der gik i stå under den forrige ledelse, er nu den nye direktørs ansvar. → Når rettelserne går i stå

Åbne sager og kendte bekymringer

Spørg IT-chefen eller driftsleverandøren, hvad de selv er mest bekymrede for. Spørgsmålet er enkelt, men svaret kan være meget værdifuldt. Folk, der har arbejdet med systemerne i årevis, kan godt vide, hvor de svage punkter er, også selv om ingen har spurgt dem.

Spørg også, om der har været hændelser, nær ved hændelser eller klager fra kunder om sikkerhed. Selv små episoder kan vise, hvor organisationen er sårbar. Bed om at få dem fortalt uden at lede efter skyldige. Formålet er at forstå, ikke at dømme. → Hvem har skylden for fundene?

Hvornår giver en test mening?

Når overblikket er på plads, kan den nye direktør tage stilling til, om en uafhængig test bør være et af de første skridt. Den kan give et billede, der ikke er farvet af forgængerens beslutninger eller af leverandørens egen vurdering, og den kan danne et udgangspunkt, som den nye ledelse kan måle sine egne fremskridt på.

Men en test er ikke altid det første. Hvis gennemgangen viser, at grundlæggende ansvar og aftaler mangler, er det dem, der skal på plads først. Ellers ved ingen, hvem der skal handle på resultatet. Der findes ingen fast frist for, hvornår en ny direktør bør have taget stilling. Det afhænger af virksomhedens risiko og af, hvad overblikket viser. → Skal vi have lavet en penetrationstest?

Det skal I lade være med

At udskyde sikkerheden som en IT-sag · ansvaret følger stillingen fra første dag.
At gå ud fra, at driftsaftalen dækker alt · læs, hvad der faktisk står.
At overse tidligere løfter til kunder · den nye direktør står nu inde for dem.
At lade gamle fund ligge · de er nu den nye ledelses ansvar.
At lede efter skyldige · målet er overblik, ikke at placere skyld.
At bestille en test, før ansvaret er på plads · nogen skal kunne handle på resultatet.

Hvad kan og ikke kan konkluderes

En systematisk gennemgang af ansvar, aftaler, dokumentation og åbne sager kan give en ny direktør et realistisk billede af, hvad der er overtaget, og hvor de første beslutninger bør træffes.

Gennemgangen kan ikke vise, om systemerne er sikre, kun om sikkerheden er styret. Det tekniske billede kræver en afprøvning eller en gennemgang udført af nogen med den rette faglighed.

Tjekliste for den nye direktør

☐ Ved jeg, hvem der har ansvaret for sikkerheden i praksis?
☐ Har jeg læst driftsaftalen og de vigtigste leverandøraftaler?
☐ Kender jeg de løfter, virksomheden har givet kunder og forsikring?
☐ Har jeg set den eksisterende dokumentation og tidligere testrapporter?
☐ Ved jeg, hvad der er sket med tidligere fund?
☐ Har jeg spurgt IT, hvad de selv er mest bekymrede for?
☐ Har jeg taget stilling til, om en uafhængig test skal være et af de næste skridt?