Når de samme problemer vender tilbage: et ledelsesspørgsmål

Den nye rapport ligger på bordet, og flere af fundene ligner dem fra sidste år. IT forklarer, at de blev rettet, men at de er kommet igen. For ledelsen er det et signal, der rækker ud over de enkelte fund. Svaret hviler på at se gentagelsen som et tegn på, at noget i styringen ikke virker: en proces, der mangler, et ansvar, der er uklart, eller ressourcer, der ikke slår til. At rette de samme fund igen løser ikke det, der fik dem til at komme tilbage.

Gentagelse er information

Et fund, der dukker op én gang, kan skyldes en enkelt fejl. Et fund, der dukker op igen, eller en type svaghed, der viser sig i flere systemer, peger på noget mere grundlæggende. Det er ikke nødvendigvis et tegn på, at nogen har været sjusket. Det er et tegn på, at den måde, arbejdet er organiseret på, gør det let at begå den samme fejl.

Det amerikanske standardiseringsinstitut NIST skriver i sin vejledning om sikkerhedstest, at det er afgørende at finde den grundlæggende årsag til svaghederne, fordi årsagen kan spores til svagheder i virksomhedens samlede sikkerhedsarbejde. Vejledningen peger på, at resultatet kan vise, at der skal arbejdes med organisationens processer og procedurer og ikke kun med de tekniske svagheder.

Fire spørgsmål til ledelsen

Ledelsen behøver ikke forstå de tekniske detaljer for at stille de spørgsmål, der kan finde årsagen. Bed IT-chefen eller leverandøren om at svare på fire spørgsmål for hvert gentaget fund:

Blev det rettet sidst? · og blev rettelsen efterprøvet, eller blev den kun meldt? → Bliver fundene rettet?
Er det samme sted eller et nyt sted? · samme svaghed i et nyt system peger på en fælles årsag.
Hvem ejer det, der skal ændres? · er det klart, hvem der har ansvaret for at forhindre, at det sker igen?
Hvad skal ændres, for at det ikke kommer igen? · en enkelt rettelse eller en ændring i den måde, arbejdet gøres på?

Svarene kan pege i én af tre retninger: en proces, ansvaret eller ressourcerne. Nogle gange peger de i flere retninger på én gang, og så skal ledelsen tage stilling til dem hver for sig.

Når årsagen er en proces

Vejledningen nævner som eksempler på grundlæggende årsager blandt andet utilstrækkelig håndtering af opdateringer, manglende faste standarder for opsætning af ens systemer, sikkerhed, der ikke er tænkt ind i udviklingen, og utilstrækkelig uddannelse. Fælles for dem er, at de ikke løses ved at rette et fund. De løses ved at ændre den måde, noget gøres på hver gang.

Ledelsens opgave er ikke at designe processen, men at sikre, at nogen har fået opgaven, og at den bliver fulgt op. Bed om en kort beskrivelse af, hvad der ændres, hvem der står for det, og hvornår ledelsen kan forvente at se, at det virker. En ændret proces er sværere at kontrollere end en enkelt rettelse, så det er værd at aftale på forhånd, hvordan virkningen skal vises. Det kan kræve tid fra IT, en ændring i aftalen med en leverandør eller et krav til en softwareleverandør om at teste sine opdateringer. Hvordan de enkelte fund kan sammenlignes fra rapport til rapport, er beskrevet på penetrationtest.dk.

Når årsagen er ansvaret

Nogle fund vender tilbage, fordi de ligger mellem to parter. Driftsleverandøren mener, at softwareleverandøren har ansvaret, og omvendt. Eller fundet ligger i et system, som en afdeling har købt uden om IT. Her hjælper en ny rettelse kun til næste ændring. Så længe ingen ejer opgaven at holde svagheden væk, vil den kunne opstå igen, hver gang en af parterne ændrer noget.

Ledelsen kan afgøre ansvaret og skrive det ind i aftalerne. Hvis en leverandør gentagne gange leverer løsninger med de samme svagheder, er det et spørgsmål om leverandørstyring og ikke kun om IT-sikkerhed. → Leverandørrisiko og ledelsen

Når årsagen er ressourcerne

Fund kan også komme igen, fordi der ikke er tid til at gøre arbejdet ordentligt. Rettelsen blev lavet hurtigt og midlertidigt, den blev aldrig fulgt op, eller den blev glemt, da en ny version blev installeret. Det kan være et tegn på, at IT har flere opgaver, end der er folk til, eller at rettelser ikke får den plads i planlægningen, som de kræver. En rettelse, der skal holde, kræver tid til at blive gjort ordentligt, dokumenteret og efterprøvet. → IT har ikke kapacitet til at rette

Her er det vigtigt, at ledelsen ikke kun ser på det enkelte fund. Hvis rettelserne gentagne gange bliver for hurtige og for løse, er det et budget- og prioriteringsspørgsmål. → Når rettelserne går i stå

Et tænkt eksempel

En webbutik med sportsudstyr får sin anden test. Tre af fundene ligner fundene fra året før, og to af dem ligger i nye dele af webshoppen, som er udviklet siden.

Direktøren stiller de fire spørgsmål. Det viser sig, at det ene fund blev rettet sidst, men at rettelsen forsvandt ved en opdatering fra webshoppens leverandør. De to andre skyldes, at udviklingsbureauet ikke har nogen fast kontrol af sikkerheden, før nye funktioner går i drift. Direktionen beslutter at stille krav til bureauet om en sådan kontrol i den næste aftale og at bede leverandøren af webshoppen om at bekræfte, at rettelser bevares ved opdateringer. Bestyrelsen får at vide, at gentagelserne skyldes processer hos to leverandører, og hvad der er besluttet.

Det skal I lade være med

At rette det samme igen uden at spørge hvorfor · find årsagen.
At lede efter en skyldig · gentagelser kan skyldes måden, arbejdet er organiseret på. → Hvem har skylden for fundene?
At lade leverandørers gentagne svagheder passere · det hører til leverandørstyringen.
At overse nye steder med samme svaghed · et mønster er lige så vigtigt som en gentagelse.
At lade rettelser blive hurtige og løse år efter år · det er en ressourcebeslutning.

Hvad kan og ikke kan konkluderes

Gentagne fund viser, at noget i styringen, ansvaret eller ressourcerne ikke virker efter hensigten. De viser ikke i sig selv, hvad der er galt. Det kræver de spørgsmål, ledelsen stiller. Og når årsagen er rettet, skal det stadig vises i en senere test, at fundene ikke kommer igen. → Lærte vi noget?

Tjekliste til gentagne fund

☐ Er det klarlagt, om hvert gentaget fund blev efterprøvet sidst?
☐ Er det undersøgt, om samme svaghed findes andre steder?
☐ Er årsagen placeret: proces, ansvar eller ressourcer?
☐ Har nogen fået opgaven at ændre årsagen og ikke kun fundet?
☐ Er kravene til leverandørerne ændret, hvor årsagen ligger hos dem?

Kilder

NIST SP 800-115, Technical Guide to Information Security Testing and Assessment: resuméet og afsnit 7.3 om at finde de grundlæggende årsager til svagheder, som kan spores til virksomhedens samlede sikkerhedsarbejde og dens processer og procedurer.

Senest gennemgået: oktober 2026.