Risikovillighed: hvor meget sikkerhedsrisiko vil ledelsen leve med?

Ingen virksomhed kan fjerne al sikkerhedsrisiko, så spørgsmålet er ikke, om ledelsen accepterer risiko, men hvor meget og af hvilken slags. Svaret hviler på en beslutning, som kun ledelsen kan træffe: en ramme, der siger, hvad virksomheden ikke vil acceptere, hvad den kan leve med, og hvem der må beslutte hvad. Den ramme kaldes risikovillighed eller risikoappetit. Uden den bliver hver beslutning efter en sikkerhedstest truffet fra bunden, og resultatet afhænger af, hvem der sidder ved bordet den dag.

Rammen kommer før fundene

Når en test er gennemført, skal nogen beslutte, hvilke forhold der rettes straks, hvilke der kan vente, og hvilke virksomheden vælger at leve med. Hvis ledelsen ikke på forhånd har sagt, hvor grænsen går, ender beslutningen hos IT eller hos testeren. Det er ikke rimeligt over for dem, og det giver ikke ledelsen styr på sin egen risiko.

Den britiske kodeks for ledelse af cyberrisici lægger op til, at ledelsen fastlægger og formidler virksomhedens risikovillighed på cyberområdet og sikrer sig, at der er en handlingsplan, der svarer til den. Det er den rækkefølge, der giver mening: først rammen, så testen, så beslutningerne om fund ud fra rammen.

Accept af enkelte fund er en anden og mere konkret beslutning. Den hører under virksomhedens proces for risikoaccept, som er beskrevet på https://penetrationtest.dk/. Risikovilligheden er det, accepten skal holdes op imod.

Sådan kan rammen formuleres

Risikovillighed behøver ikke være et langt dokument. For en mindre eller mellemstor virksomhed kan den skrives som nogle få sætninger, som ledelsen kan forstå og huske. Det vigtigste er, at sætningerne er konkrete nok til at afgøre en sag.

Det, vi ikke accepterer · fx at kunders personoplysninger kan ses af uvedkommende, eller at ordresystemet kan sættes ud af drift udefra.
Det, vi kan leve med i en periode · fx svagheder i interne systemer, der kan undværes i nogle dage, så længe der er en plan.
Det, vi bevidst lader ligge · fx forhold i systemer, der snart skal udskiftes, hvis andre beskyttelser dækker.
Hvem der beslutter · hvilke beslutninger IT kan træffe, hvilke direktionen skal træffe, og hvilke der skal til bestyrelsen.

Formuleringerne skal tage udgangspunkt i det, virksomheden ikke kan undvære. Rammen bliver uklar, hvis den taler om systemer i almindelighed. → Kronjuvelerne

Hvordan rammen styrer fundene

Når risikovilligheden er skrevet ned, bliver testens resultat lettere at håndtere. Hvert vigtigt fund holdes op imod rammen. Rammer det noget, ledelsen har sagt, at den ikke accepterer, skal det rettes, og pengene skal findes. Ligger det inden for det, virksomheden kan leve med, kan IT lægge en plan og rapportere status.

Det giver også IT et mandat. IT behøver ikke spørge ledelsen om hvert enkelt forhold, men ved, hvornår en sag skal op. Og ledelsen ved, at de sager, der kommer op, er dem, der overskrider den grænse, ledelsen selv har sat. → Fra teknisk fund til forretningsrisiko

Rammen hjælper også med at forstå resultatets farvekoder. En høj teknisk alvorlighed betyder ikke automatisk, at et forhold ligger uden for rammen, og en lav betyder ikke, at det ligger inden for. → Rød, gul og grøn

Rammen bruges også, før testen bestilles

Risikovilligheden er ikke kun et redskab til at sortere fund. Den kan også bruges, når ledelsen skal beslutte, hvad testen skal handle om. Hvis rammen siger, at kundernes oplysninger ikke må kunne nås udefra, er det naturligt, at testen afprøver netop det. Hvis rammen siger, at et bestemt system kan undværes i en periode, kan det komme senere.

På den måde hænger testens omfang sammen med det, ledelsen har sagt er vigtigst. Det gør det også lettere at forklare bagefter, hvorfor testen så ud, som den gjorde, og hvorfor nogle områder ikke var med. Den, der bestiller testen, kan bruge rammen som en del af oplægget til testeren, uden at skulle forklare forretningen fra bunden. → Ledelsens valg, der bestemmer omfanget

Et tænkt eksempel

En virksomhed, der driver en række fitnesscentre med medlemskab og betaling online, skal for første gang skrive sin risikovillighed. Direktionen foreslår, at intet fund må stå urettet. Bestyrelsen påpeger, at det ikke er realistisk, og at det vil føre til, at ingen tør bestille en test.

De ender med tre sætninger. Medlemmernes betalings- og helbredsoplysninger må ikke kunne nås udefra. Bookingsystemet må ikke kunne lammes i åbningstiden uden en plan for at komme i gang igen. Forhold i interne systemer kan vente, hvis IT har en plan og rapporterer status på hvert bestyrelsesmøde. Da testen kommer, viser den et forhold i bookingsystemet og flere i det interne netværk. Det første rettes straks. De øvrige kommer på IT’s plan. Ingen skal diskutere grundlaget for beslutningen.

Når ledelsen ikke er enig

Risikovillighed er en drøftelse, hvor bestyrelse og direktion kan se forskelligt på sagen. Bestyrelsen kan være mere forsigtig, fordi den ser på virksomhedens langsigtede værdi. Direktionen kan være mere villig til risiko, fordi den skal levere på kort sigt. Begge synspunkter er legitime.

Uenigheden skal tages, før testen kommer, ikke bagefter, hvor den bliver til en strid om konkrete fund og konkrete penge. Når rammen først er vedtaget, er det rammen, der afgør sagen. → Uenighed mellem bestyrelse og direktion

Rammen skal også passe til budgettet. En lav risikovillighed kræver penge til rettelser. Hvis der ikke er afsat penge, er rammen et ønske og ikke en beslutning. → Budget til rettelser

Det skal I lade være med

At sige, at I ikke accepterer nogen risiko · det kan ingen virksomhed leve op til, og det fører til, at fund bliver gemt væk.
At lade IT fastlægge rammen · IT kan rådgive, men det er ledelsens beslutning.
At skrive rammen så generelt, at den ikke afgør noget · den skal kunne bruges på et konkret fund.
At vedtage rammen uden budget · uden penge til rettelser er rammen ikke troværdig.
At glemme at ændre den · nye systemer, nye kunder og nye regler kan flytte grænsen.

Hvad kan og ikke kan konkluderes

En skrevet risikovillighed gør det muligt at træffe ensartede og begrundede beslutninger om fund fra en sikkerhedstest, og den giver IT et klart mandat. Den gør ikke virksomheden mere sikker i sig selv, og den kan ikke afgøre, om en bestemt grænse er den rigtige. Det er en ledelsesvurdering, der skal genbesøges, når forretningen ændrer sig.

Tjekliste til ledelsens ramme

☐ Har ledelsen skrevet ned, hvad virksomheden ikke vil acceptere?
☐ Er det klart, hvad der kan vente, og på hvilke betingelser?
☐ Er det aftalt, hvilke beslutninger der skal til direktion og bestyrelse?
☐ Er der afsat penge, der passer til rammen?
☐ Er det aftalt, hvornår rammen tages op igen?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: A3 om at fastlægge og formidle risikovilligheden på cyberområdet og sikre en handlingsplan, der svarer til den.

Senest gennemgået: oktober 2026.