Sikkerhedstest og virksomhedens omdømme

Et omdømme bygges over år og kan skades på en eftermiddag, hvis kunder og samarbejdspartnere mister tilliden til, at virksomheden passer på deres oplysninger. Svaret på, hvad en sikkerhedstest betyder for omdømmet, hviler på forskellen mellem omhu og løfter. En test kan dokumentere, at ledelsen har gjort noget for at finde og rette svagheder. Den kan ikke love, at der aldrig sker noget, og bruges den som et løfte, kan den skade omdømmet mere, end den hjælper.

Det britiske NCSC’s kodeks for ledelse af cyberrisici nævner, at hændelser kan skade kundernes tillid, og lægger vægt på, at ledelsen støtter de kritiske beslutninger og den eksterne kommunikation under en hændelse. Omdømmet er altså et ledelsesspørgsmål, både før og efter.

Hvad omverdenen faktisk vurderer

Kunder, investorer, banker og samarbejdspartnere ser ikke nødvendigvis selve sikkerheden. De ser, hvordan virksomheden taler om den, hvordan den svarer på spørgsmål, og hvordan den opfører sig, hvis noget går galt. Det er de signaler, omdømmet bygger på.

Svarenes kvalitet · kan virksomheden give præcise svar på, hvad der er gjort, eller kun generelle forsikringer?
Sammenhæng · passer det, der siges, med det, der sker?
Åbenhed · indrømmer virksomheden begrænsninger, eller lover den mere, end den kan holde?
Reaktion · hvordan håndteres en hændelse, og hvordan kommunikeres der bagefter?

En sikkerhedstest kan hjælpe med de to første. De to sidste afhænger af ledelsens valg. Det er værd at huske, fordi omdømmet kan afhænge lige så meget af, hvordan virksomheden håndterede en hændelse, som af, at den skete. → Når kunder spørger til sikkerheden

Testen som dokumenteret omhu

Når en kunde spørger, hvad virksomheden gør for at beskytte data, er et konkret svar bedre end et generelt. Ledelsen kan sige, at de vigtigste systemer er afprøvet af en uafhængig tester, hvornår det skete, og at de alvorlige fund er rettet. Det viser, at sikkerheden behandles som et ansvar, ikke som et slogan.

Testen styrker kun omdømmet, hvis opfølgningen er i orden. Et svar om, at testen er gennemført, men at fundene stadig ligger urettede, kan ved en hændelse vende sig mod virksomheden. → Én test, flere modtagere

Faren ved at love for meget

Den største risiko for omdømmet ligger ikke i testen, men i den måde, den omtales på. Sætninger som “vores systemer er testet og sikre” eller “vi har fået godkendt vores sikkerhed” kan virke betryggende, men de lover noget, ingen test kan give. Hvis der senere sker en hændelse, bliver sætningen citeret.

Formuler i stedet, hvad der er sket: hvilke systemer der er testet, hvornår, og hvordan resultatet er fulgt op. Det kan virke mindre imponerende, men det holder.

Det gælder også materiale, som andre skriver. Salgsafdelingen, en tilbudsskriver eller et bureau, der laver hjemmesiden, kan let komme til at gøre testen større, end den var. Ledelsen bør derfor aftale, hvem der godkender tekster, der nævner sikkerhed, og bede om at se formuleringerne, før de bliver brugt i tilbud, på hjemmesiden eller i årsrapporten. En enkelt overdreven sætning i et tilbud kan få betydning, hvis kunden senere bliver berørt af en hændelse. → Løfter om sikkerhed

Hvis resultatet bliver kendt

Nogle ledelser frygter, at selve testen kan skade omdømmet, hvis det bliver kendt, at den fandt alvorlige svagheder. Frygten er forståelig, men den bør ikke afgøre, om der testes. En svaghed, ledelsen kender og retter, kan ikke længere overraske nogen. En svaghed, ingen kender, kan blive fundet af den forkerte.

Ledelsen kan dog mindske risikoen ved at aftale, hvem der får rapporten, hvordan den opbevares, og hvad der må fortælles til hvem. Et kort sammendrag til kunder og samarbejdspartnere kan være bedre end at sende hele rapporten videre. → Hvis resultatet slipper ud

Når der sker en hændelse

Hvis virksomheden rammes af en hændelse, bliver det vurderet, hvad den havde gjort i forvejen. En historik med test og opfølgning kan vise, at ledelsen tog sikkerheden alvorligt, selv om der alligevel skete noget. Det fjerner ikke skaden, men det kan gøre en forskel for, hvordan kunder og samarbejdspartnere ser på virksomheden bagefter.

Det forudsætter, at kommunikationen er forberedt. Hvem taler med kunderne? Hvem taler med pressen? Hvad kan siges, og hvad skal vente, til fakta er på plads? Det er spørgsmål til beredskabet, ikke til testen, men ledelsen kan med fordel drøfte dem i forbindelse med testen. → Tillid efter en hændelse

Et tænkt eksempel

Et regnskabsbureau med mange små erhvervskunder bliver spurgt af en lokal avis, om bureauet er bekymret for hackerangreb, efter at et andet bureau i byen har været ramt. Indehaveren kunne have svaret, at bureauet er sikret. I stedet fortæller indehaveren, at bureauet har fået sine systemer testet af en ekstern tester, at de fund, der kom, er rettet, og at bureauet øver, hvad det gør, hvis det alligevel sker.

Svaret er ikke et løfte. Det er en beskrivelse af omhu. Hvis bureauet senere bliver ramt, står det stadig ved magt.

Indehaveren bruger samtidig henvendelsen som anledning til at gennemgå, hvad bureauet skriver om sikkerhed på hjemmesiden og i kundebrevene. En gammel sætning om, at kundernes data er fuldt beskyttet, bliver fjernet og erstattet af en kort beskrivelse af, hvad bureauet gør. Det koster intet, men det fjerner et løfte, ingen kunne holde.

Det skal I lade være med

At kalde virksomheden sikker, fordi den er testet · det lover noget, ingen test kan give.
At sende hele rapporten videre for at imponere · den indeholder detaljer, der ikke hører hjemme hos andre.
At undlade at teste af frygt for resultatet · ukendte svagheder er farligere end kendte.
At henvise til en test uden at have rettet fundene · det kan vende sig mod jer.
At vente med kommunikationsplanen til hændelsen · den skal være klar på forhånd.

Hvad kan og ikke kan konkluderes

En test med dokumenteret opfølgning kan være en del af det grundlag, omverdenen vurderer virksomheden på, og den kan give ledelsen konkrete svar. Den kan ikke beskytte omdømmet alene, og den kan ikke forhindre en hændelse. Hvordan omdømmet påvirkes, afhænger i sidste ende mere af ledelsens ærlighed og handlinger end af testen. → Offentlig omtale af testen

Tjekliste til omtale af testen

☐ Beskriver omtalen, hvad der er testet og hvornår, frem for at love sikkerhed?
☐ Er de alvorlige fund rettet, før testen nævnes over for andre?
☐ Er det aftalt, hvem der får rapporten, og hvem der kun får et sammendrag?
☐ Er der en plan for kommunikation, hvis der sker en hændelse?
☐ Ved ledelsen, hvem der taler med kunder og presse?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: indledningens omtale af, at hændelser kan skade kundernes tillid, og princip D3 om ledelsens støtte til kritiske beslutninger og ekstern kommunikation under en hændelse.

Senest gennemgået: oktober 2026.