Når rettelserne går i stå

Rettelserne efter en sikkerhedstest går ikke nødvendigvis i stå med et brag. De glider. En frist bliver flyttet, en leverandør svarer ikke, og et nyt projekt får forrang, indtil status har vist det samme i flere måneder. Ledelsens svar hviler på to skridt: først at finde ud af, hvorfor arbejdet står stille, og derefter at bruge de greb, som kun ledelsen har: at prioritere, at skaffe ressourcer og at tage sagen op på det niveau, hvor den kan løses. At presse på uden at kende årsagen kan give travlhed, men ikke nødvendigvis fremdrift.

Tegn på, at arbejdet står stille

Det er ikke altid tydeligt, at opfølgningen er gået i stå. Der kan stadig komme status, og der kan stadig blive arbejdet. Men nogle tegn er værd at reagere på:

Samme fund, ny dato · fristen flyttes igen uden en ny forklaring.
Status uden ændringer · de samme fund står åbne fra møde til møde.
Uklar ejer · ingen kan sige, hvem der skal tage det næste skridt.
Afventer andre · arbejdet venter på en leverandør eller en anden afdeling uden en aftalt dato.
Stille accept · fund flyttes til en liste over senere opgaver, uden at nogen har besluttet det.

Når to eller flere af tegnene ses samtidig, er det tid til at tage sagen op i ledelsen og ikke kun bede om endnu en status. → Status på rettelserne

Find årsagen, før I presser på

Der er grundlæggende fire årsager til, at rettelser går i stå, og de kræver hver sin beslutning.

Prioritering · arbejdet kan godt gøres, men andre opgaver er blevet sat foran. Det er en beslutning, som ledelsen kan ændre.
Kapacitet · de folk, der skal rette, har ikke tid eller ikke den nødvendige viden. Det kræver ressourcer eller et valg mellem opgaver.
Afhængighed · rettelsen afhænger af en leverandør, en anden afdeling eller en opgradering, som ikke er planlagt.
Uenighed · nogen mener ikke, at fundet er vigtigt nok, eller at rettelsen er den rigtige.

Spørg den ansvarlige direkte, hvilken af de fire der gælder for hvert af de alvorlige fund. Stil spørgsmålet åbent og uden at lede efter en skyldig. Et ærligt svar om, at opgaven er blevet nedprioriteret, er mere værd end en forsikring om, at alt snart er på plads. → Hvem har skylden for fundene? Svaret kan være forskelligt fra fund til fund. Et fund kan stå stille på grund af en leverandør, mens et andet bare er blevet glemt.

Greb 1: prioritering

Når rettelserne konkurrerer med drift og nye projekter, vinder det, der har en deadline og en synlig modtager. Rettelser efter en test mangler let begge dele. Ledelsen kan ændre det ved at beslutte, at bestemte rettelser går forud for bestemte projekter, og sige det højt til dem, der skal prioritere. Ellers står IT-chefen med valget alene og vælger let det, der ses mest. En prioritering, som ledelsen har truffet, giver også IT-chefen noget at henvise til, når andre i organisationen spørger, hvorfor deres projekt må vente. → Ledelsens prioritering

Greb 2: ressourcer

Hvis årsagen er kapacitet, hjælper det ikke at presse. Så skal ledelsen vælge: flytte folk fra andre opgaver, købe hjælp udefra eller acceptere, at nogle fund står åbne længere. Det sidste kan være forsvarligt, men det skal være et valg med en begrundelse og ikke noget, der sker af sig selv. Valget mellem de tre muligheder er beskrevet nærmere i → IT har ikke kapacitet til at rette

Det er lettere, hvis der allerede er afsat midler til rettelser, før testen blev bestilt. → Budget til rettelser

Greb 3: eskalering

Nogle forhold kan ikke løses af den, der følger op. Det gælder især, når rettelsen kræver, at flere afdelinger eller leverandører arbejder sammen, eller når en leverandør ikke vil levere uden betaling. Her skal sagen op på et niveau, hvor der er mandat til at beslutte.

Det britiske National Cyber Security Centre (NCSC) skriver i sin vejledning om håndtering af sårbarheder, at arbejdet går på tværs af organisationen, at tid, budget og risici bør med i organisationens risikoregister, og at den øverste ledelse kan have brug for at blive inddraget, især når de berørte teams refererer til forskellige ledere. For en dansk direktion betyder det, at en rettelse, der står stille mellem to afdelinger, er et ledelsesspørgsmål. → Risikoregistret

Aftal på forhånd, hvornår en sag skal eskaleres. Det kan for eksempel være, når en alvorlig rettelse har overskredet sin frist to gange. Så bliver eskaleringen en aftalt procedure og ikke en anklage mod nogen. Den, der eskalerer, gør det, fordi reglen siger det, og ikke fordi en kollega har svigtet.

Et tænkt eksempel

En fødevareproducent har fået testet sine kontorsystemer og forbindelsen til produktionen. Tre måneder efter rapporten står to alvorlige fund stadig åbne. Status siger “under arbejde” begge gange.

Direktøren spørger produktionschefen og IT-chefen, hvorfor. Det første fund står stille, fordi rettelsen kræver et kort stop i produktionen, som ingen har planlagt. Det andet venter på en leverandør, der ikke har fået en bestilling. Direktøren beslutter et servicevindue ved næste planlagte stop og beder indkøb om at sende bestillingen samme uge. Begge fund får en ny dato, og direktionen aftaler, at en alvorlig rettelse fremover tages op på direktionsmødet, hvis den overskrider sin frist to gange.

Det skal I lade være med

At presse uden at kende årsagen · prioritering, kapacitet, afhængighed og uenighed kræver forskellige greb.
At acceptere nye datoer uden forklaring · hver flyttet frist skal begrundes.
At lade IT-chefen prioritere alene · rettelser, der konkurrerer med projekter, er ledelsens valg.
At lade sager mellem afdelinger ligge · de skal eskaleres til nogen med mandat.
At lade accept ske stille · et fund, der ikke rettes, kræver en beslutning.

Hvad kan og ikke kan konkluderes

Når årsagen er fundet og den rigtige beslutning truffet, kan rettelserne komme i gang igen. Det siger ikke, at de virker, eller at de holder. Det kræver stadig en efterprøvning. Og går opfølgningen i stå igen og igen, er det et tegn på et problem i styringen, som en enkelt beslutning ikke løser. Hvordan en rapport, der ingen ejer har, ender i en skuffe, er beskrevet på penetrationtest.dk.

Tjekliste, når rettelserne står stille

☐ Er årsagen afklaret for hvert af de alvorlige fund?
☐ Har ledelsen taget stilling til prioriteringen mod andre projekter?
☐ Er der truffet et valg om ressourcer, hvis kapaciteten mangler?
☐ Er sager, der går på tværs af afdelinger eller leverandører, eskaleret?
☐ Er det aftalt, hvornår en forsinket rettelse skal op i direktionen?

Kilder

NCSC (UK), Vulnerability management guidance: arbejdet går på tværs af organisationen, tid, budget og risici bør med i risikoregistret, og den øverste ledelse kan have brug for at blive inddraget.

Senest gennemgået: oktober 2026.