Kan en test vise, om vi kan modstå et ransomwareangreb?

Når ledelsen spørger, om virksomheden kan klare et ransomwareangreb, er det i virkeligheden flere spørgsmål i ét. Svaret hviler på at skille dem ad: en sikkerhedstest kan belyse, om en angriber kan komme ind, komme videre og nå de data og kopier, der skal bruges til at komme på fode igen. Den kan ikke vise, om virksomheden faktisk kommer igennem et angreb, for det afhænger også af beredskab, beslutninger og gendannelse, som en test ikke afprøver.

Ransomware er et angreb, hvor data eller systemer gøres utilgængelige, i nogle tilfælde kombineret med trusler om at offentliggøre stjålne oplysninger. For ledelsen er det relevante ikke teknikken, men konsekvensen: hvor længe står forretningen stille, og hvad mister den?

Spørgsmålet kan komme fra bestyrelsen, fra forsikringen eller fra en kunde, der har hørt om en sag i branchen. Uanset hvem der spørger, er det ledelsen, der skal give et svar, som holder. Et ærligt svar beskriver, hvad der er undersøgt, hvad der ikke er, og hvad der er gjort ved resultatet. Et svar, der lover mere, kan blive dyrt at stå på mål for senere.

Tre spørgsmål i ét

Det hjælper at dele bekymringen op, før testen bestilles.

Kan nogen komme ind? · er der veje udefra eller via medarbejdernes konti, som en angriber kan bruge?
Kan en angriber brede sig? · hvis én computer eller konto er kompromitteret, hvor langt kan man så nå i resten af virksomheden?
Kan vi komme tilbage? · er der kopier af data og systemer, som en angriber ikke kan nå, og kan de faktisk bruges til at genskabe driften?

En sikkerhedstest kan give svar på de to første og på en del af det tredje. Den sidste halvdel af det tredje spørgsmål, selve gendannelsen, kræver noget andet. → Hvad en sikkerhedstest kan svare på

Hvad testen kan belyse

En test, der er afgrænset med ransomware for øje, kan vise ledelsen, om der findes åbne døre udefra, om en almindelig medarbejderkonto giver adgang til langt mere, end den bør, og om de vigtigste systemer er skilt fra resten. Den kan også vise, om sikkerhedskopierne kan nås fra det almindelige netværk. Det er afgørende, fordi CISA beskriver, at mange former for ransomware forsøger at finde og slette eller kryptere de kopier, der kan nås.

Den amerikanske myndighed CISA anbefaler i sin vejledning om ransomware at opbevare krypterede sikkerhedskopier af kritiske data offline og at afprøve procedurerne for sikkerhedskopiering regelmæssigt. Det britiske NCSC giver lignende råd og tilføjer, at virksomheden skal vide, hvordan filer genskabes, og afprøve, at det virker. Begge vejledninger er udenlandske og frivillige, men de viser, at kopierne er et af de spørgsmål, ledelsen bør stille.

For at testen kan give disse svar, skal ledelsen fortælle, hvilke data og systemer der er vigtigst. Ellers bruger testeren tiden der, hvor det er lettest at komme frem, og ikke der, hvor det gør mest ondt. → Kronjuvelerne

Hvad testen ikke kan vise

En test kan ikke afgøre, om virksomheden overlever et angreb. Det afhænger af en række forhold, testen ikke afprøver.

Gendannelsen · om kopierne kan genskabes i praksis, og hvor længe det tager. Det afprøves ved en øvelse i gendannelse, ikke ved en sikkerhedstest.
Beredskabet · om ledelsen ved, hvem der beslutter hvad, hvem der taler med kunder og myndigheder, og hvordan virksomheden arbejder videre uden systemerne.
Opdagelsen · om nogen ser angrebet i tide. Det måles bedre i en angrebssimulering, som er et andet niveau end en almindelig test.
Fremtidige huller · en test viser forholdene i testperioden. Nye systemer og ændringer kan åbne nye veje bagefter.

Derfor er det forkert at sige, at virksomheden er sikret mod ransomware, fordi en test ikke fandt en vej igennem. → Hvad en sikkerhedstest ikke erstatter

Et tænkt eksempel

En produktionsvirksomhed med tre fabrikker får spørgsmålet fra bestyrelsen efter en omtalt sag i branchen. Direktøren beder IT om en test, der skal svare på, om en angriber kan nå produktionsplanlægningen og sikkerhedskopierne fra en almindelig kontorcomputer.

Testen viser, at kopierne ligger adskilt, men at en almindelig konto giver adgang til langt flere fællesdrev, end nogen havde regnet med. Ledelsen beslutter at begrænse adgangene og bestiller samtidig en øvelse, hvor IT genskaber produktionsplanlægningen fra kopierne. Øvelsen viser, at det kan lade sig gøre, men tager længere tid end antaget. Det er to forskellige svar, og begge var nødvendige.

Bestyrelsen får derefter en kort orientering: hvad testen undersøgte, hvad den fandt, hvad der er besluttet, og at gendannelsen nu er afprøvet og tager længere tid end forventet. Den sidste oplysning fører til en drøftelse af, hvad fabrikkerne gør i mellemtiden. Den drøftelse havde ikke fundet sted, hvis spørgsmålet var stoppet ved testen.

Testen og beredskabet hænger sammen

Det bedste udbytte får ledelsen, når testen og beredskabet ses i sammenhæng. Testen viser, hvor en angriber kan komme frem. Beredskabsplanen viser, hvad virksomheden gør, hvis det sker. CISA anbefaler at have en plan for håndtering af hændelser og at øve den, og NCSC anbefaler at øve planen, så roller og prioriteter for genopretning er kendte.

Spørg derfor, om testens resultat skal bruges til at opdatere beredskabsplanen, og om ledelsen selv har været med til at øve den. → Beredskab og sikkerhedstest

Hvis ledelsen vil vide, om virksomheden opdager og reagerer på et angreb, der forløber over tid, er det et spørgsmål for en angrebssimulering. Den slags øvelser er beskrevet på red-teaming.dk. Det kan være et senere skridt, når de almindelige test er på plads. → Penetrationstest eller angrebssimulering

Det skal I lade være med

At bestille en test og kalde det ransomwarebeskyttelse · testen er én brik.
At undlade at nævne sikkerhedskopierne i opgaven · så bliver de måske ikke undersøgt.
At forveksle en test med en øvelse i gendannelse · det er to forskellige ting.
At glemme ledelsens egen rolle i beredskabet · beslutningerne under et angreb er ledelsens.
At tolke et resultat uden alvorlige fund som et løfte · det dækker kun det afprøvede.

Hvad kan og ikke kan konkluderes

En test kan vise, om der er åbne veje ind, om en angriber kan brede sig, og om kopierne kan nås. Den kan ikke vise, om virksomheden klarer et angreb, hvor hurtigt driften kan genskabes, eller om angrebet bliver opdaget. Teksten er ikke en vurdering af jeres beskyttelse.

Tjekliste: ransomware på ledelsens bord

☐ Har ledelsen formuleret, hvilket af de tre spørgsmål testen skal svare på?
☐ Er sikkerhedskopierne nævnt i opgaven?
☐ Er det afprøvet, at kopierne kan genskabes, og hvor længe det tager?
☐ Findes der en beredskabsplan, som ledelsen har øvet?
☐ Ved ledelsen, hvad der står stille, mens systemerne genskabes? → Hvad står stille?

Kilder

CISA og MS-ISAC, #StopRansomware Guide: offline og krypterede sikkerhedskopier af kritiske data, regelmæssig afprøvning af procedurerne for sikkerhedskopiering og en plan for hændelser, der øves.
NCSC, Mitigating malware and ransomware attacks: adskilte kopier, afprøvning af gendannelse og øvelse af planen for hændelseshåndtering.

Senest gennemgået: oktober 2026.