Når en sikkerhedstest er afsluttet, skal IT fremlægge resultatet for direktionen, og det er direktionen, der bestemmer, hvordan det skal ske. Uden krav bliver fremlæggelsen let en gennemgang af rapporten, side for side, og mødet slutter uden beslutninger. Direktionens krav hviler på ét princip: fremlæggelsen skal give direktionen det, den skal bruge for at beslutte og prioritere, på den tid, der er afsat på mødet.
Hvad tilbagemeldingen fra IT skal indeholde, er et emne for sig. Her handler det om selve fremlæggelsen. → Hvad IT bør rapportere til ledelsen
Sikkerhed som forretningsrisiko
Den amerikanske myndighed CISA anbefaler i sit materiale til ledere i mindre organisationer, at lederen betragter cybersikkerhed som en forretningsrisiko og afklarer, hvor meget af driften der afhænger af IT. Det er et godt udgangspunkt for, hvad direktionen bør bede om. En fremlæggelse, der beskriver fund som tekniske fejl, passer ikke til den måde, direktionen i øvrigt behandler risici på. En fremlæggelse, der beskriver, hvad fundene betyder for kunder, drift, økonomi og omdømme, gør.
Bed derfor IT om at tage udgangspunkt i forretningen og ikke i rapportens opbygning. Hvilke processer og data er berørt? Hvad ville det betyde, hvis svagheden blev udnyttet? Hvordan står risikoen i forhold til de andre risici, direktionen kender? → Fra teknisk fund til forretningsrisiko
Form og tid
Direktionen bør aftale formen, inden testen er færdig, så IT ved, hvad der forventes.
- Tid på dagsordenen · afsæt tid nok til spørgsmål og beslutninger, ikke kun til selve oplægget.
- Materiale på forhånd · bed om et kort skriftligt oplæg, der sendes ud før mødet, så tiden kan bruges på drøftelse.
- Længde · et oplæg, der kan læses på få minutter, er mere værd end et langt bilag, ingen når at læse.
- Sprog · almindeligt dansk, hvor fagudtryk forklares, hvis de er nødvendige.
- Hvem fremlægger · IT-chefen eller den ansvarlige, eventuelt med testeren til stede for at svare på spørgsmål.
Den tekniske rapport bør ikke være mødets materiale. Den er skrevet til dem, der skal rette fundene, og den hører hjemme i IT. Den indeholder desuden detaljer om svagheder, som ikke bør ligge i mødemapper, der deles bredt. Direktionen kan altid bede om at se den, hvis et spørgsmål kræver det. Hvordan rapporten er bygget op, og hvad resuméet indeholder, beskriver penetrationtest.dk.
Hvad oplægget bør vise
Et godt oplæg har en fast rækkefølge, så direktionen kan genkende den fra gang til gang:
- Formålet og afgrænsningen · hvad skulle testen svare på, og hvad var ikke med?
- De vigtigste fund · højst nogle få, beskrevet som risiko for forretningen.
- Det, der holdt · også det er et resultat.
- Planen · hvad rettes, af hvem og hvornår?
- Beslutningerne · hvad skal direktionen tage stilling til, med IT’s anbefaling?
Rækkefølgen sikrer, at direktionen ikke hører om fund uden at kende afgrænsningen, og at mødet ender med beslutninger. Når den samme rækkefølge bruges hver gang, bliver det også lettere at sammenligne med sidste test og se, om de samme problemer går igen. Hvis IT har brug for flere midler eller for, at andre afdelinger ændrer arbejdsgange, skal det fremgå af det sidste punkt. → Kronjuvelerne
Spørgsmål, direktionen kan stille
Direktionens spørgsmål skal ikke prøve IT’s tekniske viden. De skal sikre, at oplægget hænger sammen med forretningen.
- Hvilke kunder eller aftaler kan blive berørt?
- Har vi pligt til at oplyse nogen om fundene?
- Hvad koster det at rette, og hvad koster det at lade være? · svaret kan godt være et skøn.
- Hvad er den største usikkerhed i planen?
- Hvad skal bestyrelsen have at vide?
- Hvornår hører vi igen, og hvad vil vi så se? · aftal det, før mødet slutter.
Spørgsmålet om pligt til at oplyse kan kræve juridisk afklaring, især hvis fundene vedrører personoplysninger eller aftaler med kunder. Det er direktionens opgave at sørge for, at afklaringen sker. Teksten er ikke juridisk rådgivning.
Når direktionen og IT vurderer forskelligt
Det kan ske, at direktionen vurderer et fund som mindre alvorligt, end IT gør, eller omvendt. Det er ikke et problem i sig selv. IT kender systemerne, mens direktionen kender forretningen, kunderne og de øvrige risici. Uenigheden skal frem på mødet og ikke skjules i et kompromis, ingen står ved.
Bed IT om at forklare, hvad vurderingen bygger på, og hvad der skal til for at ændre den. Hvis direktionen alligevel vælger at prioritere anderledes, end IT anbefaler, bør det stå i referatet med begrundelse og navn på den, der har truffet beslutningen. Det giver IT et klart mandat, og det gør det muligt for bestyrelsen senere at se, hvorfor valget blev truffet. → Risikovillighed
Et tænkt eksempel
En ejendomsadministration med tre direktører har fået testet sin lejerportal. IT-chefen får ti minutter på direktionsmødet. Oplægget er sendt ud dagen før og fylder to sider.
Oplægget følger den faste rækkefølge, så direktørerne kan finde rundt i det uden forklaring. Første side forklarer, at portalen blev testet, men at betalingsløsningen var udeladt, fordi den drives af en anden leverandør. Testen viste, at en lejer i visse tilfælde kunne se andre lejeres kontrakter. Fejlen er rettet og kontrolleret. Anden side viser planen for de øvrige fund og én beslutning: om betalingsløsningen skal testes i næste runde, hvilket kræver en aftale med leverandøren. Direktionen beslutter at bede om den aftale og at orientere bestyrelsen på næste møde. Hele punktet tager et kvarter, og beslutningen står i referatet med navnet på den direktør, der kontakter leverandøren.
Det skal I lade være med
- At lade IT gennemgå rapporten side for side · bed om et oplæg skrevet til direktionen.
- At aftale formen, efter at testen er færdig · så har IT ikke kunnet forberede sig.
- At afsætte tid kun til oplægget · beslutninger kræver også tid.
- At stille tekniske kontrolspørgsmål · spørg til forretningen og planen.
- At afslutte mødet uden beslutninger · skriv dem i referatet, med ejer og dato.
Hvad kan og ikke kan konkluderes
En god fremlæggelse sikrer, at direktionen forstår resultatet og kan træffe beslutninger på et oplyst grundlag. Den gør ikke fundene mindre alvorlige, og den kan ikke erstatte en kontrol af, at rettelserne virker. Hvis testen var smal, er fremlæggelsen det også, og direktionen bør huske det, når resultatet bruges videre over for bestyrelse, kunder eller forsikring. → Sikkerhed som punkt på direktionsmødet
Tjekliste til fremlæggelsen
- ☐ Er formen aftalt, før testen blev afsluttet?
- ☐ Er oplægget sendt ud før mødet?
- ☐ Er der afsat tid til spørgsmål og beslutninger?
- ☐ Starter oplægget med formål og afgrænsning?
- ☐ Er fundene beskrevet som risiko for forretningen?
- ☐ Er beslutningerne samlet med IT’s anbefaling?
Kilder
- CISA, Cyber Essentials: materiale til ledere i mindre virksomheder og organisationer; lederen bør betragte cybersikkerhed som en forretningsrisiko og afklare, hvor meget af driften der afhænger af IT.
Senest gennemgået: oktober 2026.
Næste skridt
- Sikkerhed som punkt på direktionsmødet
- Når resultatet er dårligt: sådan fortæller direktionen det til bestyrelsen
Del af: Artikler til ledelsen
Læs også: Sikkerhedssprog for ledere · Leverancen set fra ledelsen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
