Hvis testresultatet slipper ud

En rapport fra en sikkerhedstest beskriver, hvor virksomheden er sårbar. Hvis den havner hos nogen, der ikke burde have den, er det ikke kun en pinlig fejl. Det er en oplysning, der i de forkerte hænder kan bruges til at angribe virksomheden. Svaret på, hvad ledelsen skal gøre, hviler på to spor, der skal køre samtidig: at gøre oplysningerne mindre værd ved at rette de svagheder, der står åbne, og at håndtere lækket som en hændelse med en vurdering af, hvem der skal have besked. Teksten er ikke juridisk rådgivning.

Find ud af, hvad der er sluppet ud

Det første skridt er at få klarhed over omfanget. Uden det kan ledelsen hverken vurdere risikoen eller give et præcist svar til dem, der spørger.

Hvilket materiale · hele rapporten, et resumé, et teknisk bilag eller en mail med uddrag?
Hvornår · hvornår skete det, og hvornår opdagede virksomheden det?
Til hvem · en enkelt forkert modtager, en bred kreds eller ukendte modtagere?
Hvordan · en fejl i en mail, en delt mappe med for brede rettigheder, eller noget, der tyder på et indbrud?
Hvad står der · er der åbne svagheder, adgangsoplysninger eller personoplysninger i materialet?

Svarene afgør, hvor alvorlig sagen er. En rapport, der er sendt til en forkert medarbejder hos en kendt samarbejdspartner, er noget andet end en rapport, der ligger frit tilgængelig på nettet. → Hvem i virksomheden skal kende resultatet?

Ret det, der står åbent

Det vigtigste svar på et læk er at gøre oplysningerne forældede. Hvis rapporten beskriver svagheder, der allerede er rettet, er skaden begrænset. Hvis den beskriver svagheder, der stadig står åbne, skal de rettes eller afskærmes nu, uanset hvad den oprindelige plan sagde.

Ledelsen bør derfor bede IT eller driftsleverandøren om en hurtig gennemgang af, hvilke fund i det lækkede materiale der stadig er åbne, og om en plan for at lukke dem. Hvis rapporten indeholder adgangsoplysninger, for eksempel til testkonti, skal de spærres. Det er en beslutning om prioritering, som kan betyde, at andet arbejde må vente. → Når rettelserne går i stå

Vurdér, om det er et brud på persondatasikkerheden

En testrapport kan indeholde personoplysninger, for eksempel brugernavne, navne på medarbejdere eller eksempler på data, testeren har set. Databeskyttelsesforordningen definerer et brud på persondatasikkerheden som et brud på sikkerheden, der blandt andet fører til uautoriseret videregivelse af eller adgang til personoplysninger.

Hvis det er tilfældet, skal den dataansvarlige efter artikel 33 anmelde bruddet til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det, medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte personer. Alle brud skal dokumenteres, også dem, der ikke anmeldes. Vurderingen bør tages med den, der i virksomheden har ansvaret for databeskyttelse. → Persondata og sikkerhedstest

Hvem der skal orienteres, og hvad der siges

Ud over en eventuel anmeldelse skal ledelsen tage stilling til, hvem der skal vide besked. Det kan være:

Bestyrelsen · hvis lækket er alvorligt eller kan få betydning for kunder og omdømme.
Testeren · som kan hjælpe med at vurdere, hvad oplysningerne kan bruges til.
Driftsleverandøren · hvis lækket berører systemer, leverandøren har ansvaret for.
Den forkerte modtager · med en anmodning om at slette materialet og bekræfte det skriftligt.
Kunder og forsikring · hvis aftaler eller policer kræver det, eller hvis kunderne kan blive berørt.

Hvad der skal siges til kunder og forsikring, bør afklares med den, der kender aftalerne og policen. → Skal forsikringen have besked om testens resultat?

Hvis lækket bliver kendt uden for virksomheden, vil nogen spørge. Svaret bør være ærligt uden at gentage indholdet af rapporten. Det kan være, at fortrolige oplysninger om en sikkerhedstest er blevet delt med en uvedkommende, at virksomheden har gjort det, der skal til for at begrænse følgerne, og at de svagheder, der var beskrevet, er rettet eller ved at blive det.

Undgå at bagatellisere. En sætning om, at der ikke er sket noget, kan blive modsagt senere, hvis det viser sig, at oplysningerne er blevet brugt. Det er bedre at sige mindre og stå ved det. Og undgå at give flere detaljer, end modtageren har brug for. → Sikkerhedstest og virksomhedens omdømme

Bagefter: hvorfor skete det?

Når sagen er under kontrol, bør ledelsen få svar på, hvordan lækket kunne ske. Var det en enkelt fejl, eller var der ingen regler for, hvem der må få rapporten, og hvordan den sendes? En enkel ordning kan være at mærke materialet efter, hvem det må deles med. Organisationen FIRST har standardiseret Traffic Light Protocol, hvor for eksempel mærket TLP:RED betyder, at oplysningerne kun er til de enkelte modtagere og ikke må deles videre. Et fælles mærke gør det tydeligt for alle, også eksterne modtagere, hvad der forventes.

Et tænkt eksempel

En økonomichef i en kæde af byggemarkeder sender ved en fejl hele pentestrapporten til en ekstern revisor med samme fornavn som den interne revisor, rapporten var tiltænkt. Fejlen opdages samme dag.

Direktøren beder IT om at gennemgå, hvilke fund der stadig er åbne. To står åbne og bliver prioriteret til rettelse samme uge. Den forkerte modtager bliver bedt om at slette mailen og bekræfter det skriftligt. Den ansvarlige for databeskyttelse vurderer, om rapporten indeholder personoplysninger, og dokumenterer vurderingen. Bestyrelsesformanden bliver orienteret. Bagefter indfører virksomheden en regel om, at rapporter kun deles via en mappe med navngivne modtagere og mærkes med, hvem de må deles med.

Det skal I lade være med

At vente med at rette de åbne fund · de er nu mere udsatte end før.
At glemme vurderingen af personoplysninger · fristen løber fra, I bliver bekendt med det.
At bagatellisere over for dem, der spørger · et ærligt, kort svar holder længere.
At lade sagen hvile, når den er under kontrol · find årsagen, og ret den.
At give en enkelt medarbejder skylden · se på reglerne for deling. → Hvem har skylden for fundene?

Hvad kan og ikke kan konkluderes

En hurtig og ordnet håndtering kan begrænse skaden ved et læk og vise, at ledelsen har styr på sagen. Det kan ikke konkluderes, at oplysningerne ikke bliver misbrugt, eller hvilke pligter virksomheden har i et konkret tilfælde. Det afhænger af, hvad der er sluppet ud, til hvem, og af virksomhedens aftaler.

Tjekliste, når resultatet er sluppet ud

☐ Er det klarlagt, hvad der er sluppet ud, til hvem og hvornår?
☐ Er de åbne fund i materialet prioriteret til rettelse?
☐ Er det vurderet, om der er tale om et brud på persondatasikkerheden?
☐ Er bestyrelse, tester, driftsleverandør og forkerte modtagere orienteret efter behov?
☐ Er årsagen fundet, og er reglerne for deling strammet op?

Kilder

Databeskyttelsesforordningen (EU) 2016/679: artikel 4, nr. 12, om definitionen af brud på persondatasikkerheden; artikel 33, stk. 1, om anmeldelse til tilsynsmyndigheden og stk. 5 om dokumentation af alle brud.
FIRST, Traffic Light Protocol (TLP) 2.0: mærkerne for, hvor bredt oplysninger må deles, herunder TLP:RED til de enkelte modtagere alene.

Senest gennemgået: oktober 2026.