Nye sikkerhedsprodukter gør testen overflødig

Markedet for sikkerhedsprodukter fornyer sig hele tiden, og de nyeste løsninger lover at opdage og stoppe angreb automatisk, nogle med hjælp fra kunstig intelligens. For en ledelse, der netop har godkendt en større investering i sådan et produkt, kan det virke overflødigt også at betale for en sikkerhedstest. Produktet holder jo øje. Men et produkt er ikke det samme som beskyttelse. Det beskytter kun det, det er sat op til, på den måde, det er sat op, i det miljø, det er installeret i. Om det virker sådan i jeres virksomhed, er netop det, en test kan vise. Produkter og test konkurrerer derfor ikke. Produktet er noget, der bør afprøves.

Hvorfor forventningen opstår

Forventningen er let at forstå. Sikkerhedsprodukter sælges med løfter om at dække bredt, og demonstrationer viser dem i deres bedste lys. Når ledelsen har investeret, er det naturligt at forvente, at investeringen løser problemet. Og når et produkt kan arbejde døgnet rundt, kan en test, der kigger på et øjebliksbillede, virke gammeldags.

Hertil kommer, at både produkt og test handler om at finde problemer, og at forskellen ikke er indlysende for den, der ikke arbejder med området. Det kan derfor ligne to måder at betale for det samme. Forskellen er, at produktet er en del af forsvaret, mens testen er en afprøvning af forsvaret, herunder af produktet selv. Det ene kan ikke kontrollere sig selv. → Test eller nye løsninger

Hvad et produkt gør, og hvad det ikke gør

Et sikkerhedsprodukt er et redskab, der overvåger, blokerer eller advarer inden for det område, det er lavet til. Det kan være meget nyttigt. Men et produkt har nogle grænser, som ikke forsvinder, fordi det er nyt:

Det dækker sit område · det, der ligger uden for, bliver ikke set.
Det afhænger af opsætningen · et produkt, der ikke er sat rigtigt op, kan give en falsk tryghed.
Det afhænger af, at nogen reagerer · en advarsel, som ingen ser, beskytter ikke.
Det ændrer ikke svagheder i andre systemer · det kan opdage misbrug, men ikke rette det, der gjorde misbruget muligt.

Ingen af grænserne er en kritik af produktet. De er en beskrivelse af, hvad et redskab kan. Det er ledelsens opgave at vide, hvor grænserne går i netop dens virksomhed. Leverandøren kan beskrive produktet, men ikke nødvendigvis det miljø, det skal fungere i, med de systemer, leverandører og vaner, der er særlige for virksomheden.

Afprøvning er en del af enhver sikkerhedsforanstaltning

Det amerikanske standardiseringsinstitut NIST har en hel publikation, SP 800-53A, om at vurdere sikkerhedsforanstaltninger. Den beskriver procedurer til at vurdere foranstaltningerne i forskellige faser af et systems levetid og vejledning i at analysere resultaterne. Tanken bag er, at en foranstaltning ikke er færdig, når den er indført. Den skal også vurderes.

Det gælder et nyt sikkerhedsprodukt lige så meget som en procedure eller en regel. Produktet er en foranstaltning, og om den virker som tænkt, kan kun afprøvning vise. En sikkerhedstest kan for eksempel vise, om produktet opdager det, det skal opdage, og om advarslerne når frem til nogen, der handler på dem. → Virker de sikkerhedsinvesteringer, vi har gjort?

Spørgsmål, ledelsen kan stille før købet

Ledelsen behøver ikke forstå produktets teknik for at stille de rigtige spørgsmål. Før en investering godkendes, kan ledelsen spørge:

Hvilket problem løser produktet? · og er det det problem, virksomheden har størst brug for at løse?
Hvad dækker det ikke? · så ledelsen ved, hvad der stadig skal håndteres på anden vis.
Hvem holder øje med det? · og hvad sker der, når det advarer uden for arbejdstid?
Hvordan ved vi, at det virker? · hvornår og hvordan bliver det afprøvet efter installationen?

Det sidste spørgsmål er det, der binder produkt og test sammen. Hvis svaret er, at leverandøren siger, at det virker, er det ikke et svar, ledelsen kan bygge på. Et bedre svar beskriver, hvem der afprøver, hvornår, og hvordan resultatet kommer tilbage til ledelsen. → Test før en investering

Når produktet og testen arbejder sammen

Produkt og test har forskellige styrker, og de kan bruges sammen. Produktet holder øje hele tiden. Testen giver et uafhængigt blik på et bestemt tidspunkt. Testen kan vise, hvor produktet ikke ser, og hvor opsætningen bør justeres. Produktet kan opdage forsøg på misbrug af de svagheder, der endnu ikke er rettet.

For ledelsen giver kombinationen et bedre grundlag end hver for sig. Investeringen i produktet bliver mere værd, når den er afprøvet, og testen bliver mere værd, når den bruges til at forbedre de redskaber, virksomheden har. → Uafhængigt blik

Et tænkt eksempel

En kæde af tøjbutikker har investeret i en ny løsning, der overvåger computerne i butikkerne og på hovedkontoret og lover at stoppe angreb automatisk. Ved budgetdrøftelsen året efter foreslår økonomidirektøren at spare den planlagte sikkerhedstest.

Bestyrelsesformanden spørger, hvordan kæden ved, at løsningen virker. Svaret er, at leverandøren har installeret den, og at der ikke har været hændelser. Ledelsen beslutter at gennemføre testen og bede testeren om også at se på, om løsningen opdager det, den skal. Testen viser, at løsningen virker på hovedkontoret, men at en del af butikkernes kasser ikke er omfattet, fordi de blev tilføjet efter installationen. Leverandøren udvider dækningen, og ledelsen får et klarere billede af, hvad investeringen faktisk dækker. Ledelsen beslutter samtidig, at nye butikker først regnes for omfattet, når det er kontrolleret.

Det skal I lade være med

At lade et nyt produkt erstatte afprøvningen · produktet skal også afprøves.
At tage leverandørens ord for, at det virker · bed om dokumentation fra jeres eget miljø.
At glemme, hvad produktet ikke dækker · få grænserne beskrevet.
At overse, hvem der reagerer på advarslerne · et produkt uden opfølgning beskytter ikke.
At købe et produkt for at løse et problem, I ikke har kortlagt · kend problemet først.

Hvad kan og ikke kan konkluderes

Et sikkerhedsprodukt kan styrke beskyttelsen inden for sit område, men det erstatter ikke en afprøvning af, om det og de øvrige systemer holder i praksis. En sikkerhedstest kan vise, hvor produktet virker, og hvor det ikke gør. Den kan ikke vurdere produktets kvalitet generelt, og den gælder det, der var med, på det tidspunkt, testen blev udført. → Hvad testen ikke erstatter

Tjekliste før og efter købet

☐ Er det klart, hvilket problem produktet skal løse?
☐ Er det beskrevet, hvad produktet ikke dækker?
☐ Er det aftalt, hvem der reagerer på advarslerne, også uden for arbejdstid?
☐ Er det besluttet, hvornår produktet afprøves efter installationen?
☐ Er den planlagte sikkerhedstest fastholdt i budgettet?

Kilder

SP 800-53A Rev. 5, Assessing Security and Privacy Controls (januar 2022): metode og procedurer til vurdering af sikkerhedsforanstaltninger i forskellige faser af et systems levetid, herunder analyse af resultaterne.

Senest gennemgået: oktober 2026.