Nogle virksomheder har et risikoregister, hvor ledelsen holder øje med de største trusler mod forretningen: tab af en stor kunde, svigt hos en leverandør, prisstigninger, mangel på arbejdskraft. Sikkerhedsrisiko står der måske kun som en enkelt linje, eller slet ikke. Spørgsmålet er, hvordan resultatet af en sikkerhedstest kan gøre den linje mere præcis. Svaret hviler på en skelnen mellem testens fund, som er tekniske og kan være mange, og virksomhedens risici, som er få og handler om forretningen. Testen ændrer registret ved at give bedre grundlag for de vurderinger, der allerede står der, og nogle gange ved at tilføje en risiko, ingen havde tænkt på.
Hvorfor sikkerheden skal med i det samlede register
Når sikkerhedsrisiko står i et særskilt dokument hos IT, bliver den ikke nødvendigvis vejet op imod virksomhedens andre risici. Det betyder, at ledelsen ikke kan se, om et hul i sikkerheden er større eller mindre end risikoen ved at miste en nøglekunde. Det betyder også, at sikkerheden ikke får sin plads, når ledelsen fordeler penge og opmærksomhed.
Den britiske kodeks for ledelse af cyberrisici lægger op til, at ejerskabet af cyberrisici placeres i den øverste ledelse, og at risiciene indgår i virksomhedens samlede risikostyring og interne kontroller. Kodeksen er skrevet til mellemstore og store organisationer, men tanken passer også i mindre virksomheder: sikkerheden hører til, hvor de andre forretningsrisici står. → Sikkerhedstest og intern kontrol
Fund er ikke risici
En testrapport kan indeholde mange fund. Hvis hvert fund kommer i risikoregistret, drukner registret, og ledelsen mister overblikket. Fundene hører til i IT’s plan for rettelser. I registret hører de få forretningsrisici, som fundene siger noget om.
Et register kan for eksempel have risici som disse.
- Uvedkommende får adgang til kundedata · med konsekvenser for kunder, aftaler og pligt til at underrette.
- Produktionen eller ordremodtagelsen går i stå · med konsekvenser for leverancer og omsætning.
- Virksomheden mister data og kan ikke genskabe dem · med konsekvenser for drift og dokumentation.
- En leverandør med adgang bliver vejen ind · med konsekvenser, der ligger uden for virksomhedens direkte kontrol.
Testens fund bruges til at vurdere, hvor sandsynlige og alvorlige disse risici er, og om de kontroller, der skal holde dem nede, virker. → Fra teknisk fund til forretningsrisiko
Tre måder, testen ændrer registret
Når resultatet foreligger, kan det påvirke registret på tre måder.
- En vurdering ændres · testen viser, at en risiko er mere eller mindre sandsynlig, end ledelsen troede. Hvis kundedata viste sig at være lettere at nå end antaget, skal vurderingen op.
- En kontrol vurderes igen · registret siger måske, at en risiko er holdt nede af adgangsstyring eller adskillelse af netværk. Testen kan vise, om det holder i praksis.
- En ny risiko tilføjes · testen viser en afhængighed eller en vej ind, som ingen havde skrevet ned, fx at en leverandør har bredere adgang end aftalt.
Det er ledelsen, der beslutter ændringerne, men IT og testeren leverer grundlaget. Det kræver, at nogen oversætter fra rapportens sprog til registrets sprog, og at det sker, før resultatet går i glemmebogen.
Sådan ser en sikkerhedsrisiko ud i registret
En linje i registret om sikkerhed bør kunne læses af et bestyrelsesmedlem uden IT-baggrund. Den kan med fordel have samme felter som virksomhedens andre risici, så sikkerheden ikke ser anderledes ud end resten.
- Risikoen · beskrevet som det, der kan ske for forretningen, ikke som en teknisk svaghed.
- Vurderingen · sandsynlighed og konsekvens efter virksomhedens egen skala, med dato.
- Grundlaget · hvad vurderingen bygger på, fx den seneste test, en hændelse eller IT’s egen gennemgang.
- Tiltagene · hvad der er besluttet for at holde risikoen nede, og hvornår det skal være gennemført.
- Ejeren · den person, der svarer for vurderingen og tiltagene.
Feltet om grundlaget er let at springe over. Det er også det, der viser, om vurderingen bygger på viden eller på en fornemmelse.
Et tænkt eksempel
En virksomhed, der importerer og sælger værktøj til håndværkere, har et risikoregister med en linje om IT-nedbrud, vurderet som lav, fordi driften er outsourcet. En sikkerhedstest viser, at en tidligere leverandørs fjernadgang stadig er aktiv og giver adgang til lagersystemet.
Ledelsen ændrer registret på to punkter. Risikoen for driftsstop ved angreb vurderes højere, indtil adgangen er lukket. Og der tilføjes en ny risiko om leverandørers adgang, med indkøbschefen som ejer. Tre måneder senere viser status, at adgangen er lukket, og at der er indført en fast gennemgang af leverandøradgange. Vurderingen sænkes igen, og begrundelsen står i registret. → Leverandørrisiko
Hold registret levende
Et risikoregister er kun nyttigt, hvis det bliver brugt. Den britiske kodeks lægger op til, at risikovurderinger gennemføres regelmæssigt, og at de tager højde for ændringer i virksomheden, teknologien, reglerne og truslerne. En sikkerhedstest er en naturlig anledning til at se på sikkerhedsrisiciene igen, men den bør ikke være den eneste.
Andre anledninger kan være et nyt system, en ny leverandør, en hændelse hos en samarbejdspartner, en ny stor kunde med krav til sikkerheden eller en organisationsændring. Hvis registret kun opdateres, når der er testet, kan det stå uændret i lang tid, mens virkeligheden har flyttet sig. → Risikovurderingen året efter testen
Hver risiko i registret bør have en ejer i ledelsen eller lige under. Ejeren svarer for, at vurderingen er opdateret, og at de aftalte tiltag bliver gennemført. For sikkerhedsrisici kan ejeren være en forretningsansvarlig, ikke IT-chefen, fordi konsekvensen rammer forretningen.
Kommer resultatet fra en red team-øvelse, er overgangen til registret beskrevet på red-teaming.dk: Fra øvelse til risikoregister.
Det skal I lade være med
- At kopiere fundene ind i registret · registret skal vise forretningsrisici, ikke tekniske detaljer.
- At lade sikkerheden stå i et særskilt register hos IT · så kan den ikke vejes op mod de andre risici.
- At opdatere registret kun efter en test · andre ændringer i virksomheden flytter også risikoen.
- At give IT ejerskabet af alle sikkerhedsrisici · konsekvensen ligger i forretningen.
- At sænke en vurdering, før tiltagene er gennemført · registret skal vise situationen, som den er.
Hvad kan og ikke kan konkluderes
En sikkerhedstest kan give et bedre grundlag for at vurdere virksomhedens sikkerhedsrisici, vise om kontrollerne virker og afsløre risici, som ikke var kendt. Den kan ikke give et præcist mål for sandsynlighed eller konsekvens, og den dækker kun det, der blev testet. Vurderingerne i registret er fortsat ledelsens skøn, og de skal holdes op imod den risiko, ledelsen er villig til at leve med. → Risikovillighed
Tjekliste til registret efter testen
- ☐ Står sikkerhedsrisici i virksomhedens samlede risikoregister?
- ☐ Er testens vigtigste fund oversat til de forretningsrisici, de påvirker?
- ☐ Er vurderinger og kontroller set igen i lyset af resultatet?
- ☐ Er nye risici, som testen viste, tilføjet med en ejer?
- ☐ Er det aftalt, hvilke andre anledninger der udløser en ny vurdering?
Kilder
- NCSC og UK Government, Cyber Governance Code of Practice: A2 om ejerskab af cyberrisici i den øverste ledelse og integration i den samlede risikostyring og de interne kontroller; A5 om regelmæssige risikovurderinger, der afspejler ændringer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Sikkerhedstest og intern kontrol · Status på rettelserne
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
