Testresultatet i risikovurderingen året efter

Da sikkerhedstesten var ny, var den et stærkt grundlag for virksomhedens risikovurdering. Et år senere står de samme vurderinger måske stadig i registret, men det, de bygger på, er blevet ældre. Svaret på, hvordan resultatet skal bruges året efter, hviler på to spørgsmål: hvad har ændret sig siden testen, og hvad er der gjort ved fundene? En test kan stadig bære en vurdering, hvis systemerne er de samme og rettelserne er efterprøvet. Den kan ikke bære den, hvis virksomheden, truslerne eller systemerne har flyttet sig. Hvordan sikkerhedsrisici skrives ind i registret i første omgang, er beskrevet i artiklen om risikoregistret. → Sikkerhedsrisiko i virksomhedens risikoregister

Et resultat har en holdbarhed

En sikkerhedstest siger noget om de systemer, der blev testet, på det tidspunkt, de blev testet. Det er ikke en svaghed ved testen, men en egenskab, ledelsen skal tage højde for. Allerede dagen efter kan en ny opdatering, en ny medarbejder med brede adgange eller en ny sårbarhed i et udbredt produkt ændre billedet.

Det betyder ikke, at sidste års resultat er værdiløst. Det betyder, at hver vurdering, der bygger på det, skal have en dato og et forbehold. Jo mere der er sket siden, jo svagere er grundlaget. → Testet én gang, dækket for altid?

Hvad standarden siger om at holde vurderingen ved lige

Det amerikanske NIST beskriver i sin vejledning om risikovurderinger, SP 800-30, at en risikovurdering skal vedligeholdes. Organisationen følger løbende de forhold, der kan ændre risikoen, for eksempel trusler, sårbarheder og ændringer i virksomheden, og opdaterer vurderingen ud fra dem. Vejledningen overlader det til organisationen selv at fastlægge, hvor ofte og under hvilke omstændigheder vurderingen opdateres. Har der været væsentlige ændringer, kan organisationen gense formålet, omfanget og forudsætningerne for vurderingen.

Det er en nyttig ramme for ledelsen. Der er ingen fast regel for, hvornår en test er for gammel. Det er ledelsen, der skal tage stilling, og den skal gøre det ud fra, hvad der er sket. → Hvem bestemmer, hvor ofte vi tester?

Fire spørgsmål ved den årlige gennemgang

Når risikovurderingen tages op igen, kan den ansvarlige gå de vurderinger igennem, der bygger på testen, og stille fire spørgsmål til hver:

Er fundet rettet og efterprøvet? Et rettet fund, der er efterprøvet, kan sænke vurderingen. Et fund, der kun er meldt rettet, er et løfte, ikke et bevis.
Er systemet det samme? Er der kommet nye funktioner, nye integrationer eller en ny leverandør siden testen?
Er brugen den samme? Behandler systemet nu andre eller flere data, eller bruges det af nye grupper som kunder eller samarbejdspartnere?
Er truslen den samme? Har der været hændelser i virksomheden, hos samarbejdspartnere eller i branchen, som ændrer, hvor sandsynligt et angreb er?

Hvis svaret på de tre sidste er ja, nej og nej, er testen stadig et rimeligt grundlag. Hvis svarene peger den anden vej, skal vurderingen skrives om, og grundlaget skal angives som svagere. → Fra teknisk fund til forretningsrisiko

Når resultatet ikke længere kan bære vurderingen

På et tidspunkt er der sket så meget, at testen ikke længere siger noget brugbart om risikoen. Det kan være efter en større omlægning af IT, et skifte af driftsleverandør, en ny forretningsløsning eller en hændelse, der viser, at forudsætningerne var forkerte.

Ledelsen har da tre muligheder. Den kan bestille en ny test af de områder, hvor vurderingen er mest usikker. Den kan midlertidigt hæve vurderingen, fordi grundlaget er svagt, og acceptere det som et bevidst valg. Eller den kan bede IT eller leverandøren om en anden form for gennemgang, som kan give et foreløbigt billede, indtil en ny test er gennemført. Det vigtige er, at valget bliver truffet og noteret, ikke at vurderingen bare bliver stående. → Risikovillighed i ledelsen

Hvem gør hvad i gennemgangen

Den årlige gennemgang kræver ikke en ny organisation, men den kræver, at rollerne er klare. Ejeren af risikoregistret, for eksempel økonomidirektøren eller en anden i direktionen, sørger for, at gennemgangen bliver gjort, og at vurderingerne bliver opdateret. IT-ansvarlig eller driftsleverandøren leverer svarene på, hvad der er ændret i systemerne, og hvilke rettelser der er efterprøvet. Ejerne af de enkelte forretningsområder siger, om brugen har ændret sig, for eksempel om nye kunder eller samarbejdspartnere har fået adgang.

Testeren kan inddrages, hvis det er uklart, om en ændring påvirker det, testen fandt. Det kan måske afklares med en kort samtale frem for en ny test. Til sidst forelægges de vurderinger, der er ændret, for direktionen og bestyrelsen, sammen med en begrundelse. Det giver bestyrelsen mulighed for at se, hvor vurderingerne hviler på et stærkt grundlag, og hvor de hviler på et svagere. → Hvem i ledelsen følger op på testen?

Et tænkt eksempel

Et ingeniørfirma fik sidste år testet sit projektdrev og adgangen hjemmefra. Testen fandt svage punkter i adgangen hjemmefra, som blev rettet og efterprøvet, mens projektdrevet kun havde mindre fund. Risikovurderingen blev sat ned for begge.

Ved den årlige gennemgang konstaterer økonomidirektøren, som ejer registret, at adgangen hjemmefra er uændret siden testen, og at vurderingen kan stå med dato og henvisning til efterprøvningen. Projektdrevet er derimod flyttet til en skytjeneste og deles nu med eksterne rådgivere. Vurderingen bliver hævet igen med en bemærkning om, at testen ikke dækker den nye løsning, og den nye løsning sættes på listen til næste test. Bestyrelsen får begge vurderinger forklaret på det næste møde.

Det skal I lade være med

At lade vurderinger stå uden dato · uden dato kan ingen se, hvor gammelt grundlaget er.
At sænke vurderingen på et løfte om rettelse · det er efterprøvningen, der tæller.
At antage, at en test gælder i et fast antal år · det afhænger af, hvad der er ændret.
At glemme brugen af systemet · nye brugere og data kan ændre risikoen, selv om teknikken er den samme.
At skjule et svagt grundlag · skriv det, så bestyrelsen kan vurdere det.

Hvad kan og ikke kan konkluderes

Et testresultat kan bruges i risikovurderingen året efter, hvis ledelsen tager stilling til, hvad der er ændret, og om fundene er rettet og efterprøvet. Det siger intet om systemer og trusler, der er kommet til siden. Jo flere ændringer, jo mere bør vurderingen bygge på andet end den gamle test. → Flerårig testplan

Tjekliste til den årlige gennemgang

☐ Har hver vurdering, der bygger på testen, en dato og en kilde?
☐ Er rettede fund efterprøvet, før vurderingen sænkes?
☐ Er ændringer i systemer, brug og leverandører siden testen noteret?
☐ Er det vurderet, om nye hændelser eller trusler ændrer billedet?
☐ Er det besluttet, hvilke områder der skal med i næste test?

Kilder

SP 800-30 Rev. 1, Guide for Conducting Risk Assessments: trin 4 om at vedligeholde risikovurderingen; løbende overvågning af risikofaktorer og opdatering af vurderingen; organisationen fastlægger selv hyppighed og omstændigheder og kan ved væsentlige ændringer gense formål, omfang og forudsætninger.

Senest gennemgået: oktober 2026.