Sikkerhed er ikke kun IT’s opgave

I nogle ledelsesgrupper er IT-sikkerhed placeret samme sted som printere og licenser: hos IT. Det er forståeligt, for det er IT, der kender systemerne, og det er IT, der skal gøre det meste af arbejdet. Men en del af beslutningerne om sikkerhed kan IT ikke træffe, fordi de handler om forretningen. Hvor meget risiko virksomheden vil leve med, hvad der skal beskyttes først, og hvor mange penge der skal bruges, er ledelsens spørgsmål. IT kan levere viden og udføre arbejdet. Ansvaret for retningen kan ikke afleveres.

Hvor opfattelsen kommer fra

Opfattelsen har rødder i noget fornuftigt. Sikkerhed har længe været beskrevet med tekniske ord, og de løsninger, man har købt, har været tekniske. Når ledelsen spørger, hvordan det står til, er det IT, der svarer. Og når noget skal rettes, er det IT, der gør det.

Det har givet en arbejdsdeling, hvor ledelsen godkender et budget, og IT sørger for resten. Arbejdsdelingen fungerer, så længe der ikke skal vælges. Men sikkerhed er fuld af valg, og nogle af dem kan IT ikke træffe på ledelsens vegne uden at gætte på, hvad ledelsen ville have ment. Det er ikke IT, der svigter, når det sker. Det er arbejdsdelingen, der beder IT om at løse en opgave, som afdelingen ikke har mandat til. En dygtig IT-chef kan selv efterlyse, at ledelsen tager stilling, netop fordi gættet ellers bliver IT-chefens ansvar.

De beslutninger, IT ikke kan træffe

Nogle spørgsmål kan kun besvares af dem, der kender forretningen og har mandat til at prioritere den. Fire af dem er særligt tydelige:

Hvad er vigtigst at beskytte? · det afhænger af, hvad virksomheden lever af, og hvad den ikke kan undvære.
Hvor meget risiko vil vi leve med? · det er en afvejning mellem omkostning, bekvemmelighed og konsekvens.
Hvor mange ressourcer skal sikkerheden have? · det konkurrerer med andre formål, som kun ledelsen kan veje.
Hvad gør vi, hvis det går galt? · hvem taler med kunderne, og hvilke dele af driften skal i gang først?

Hvis ledelsen ikke svarer, svarer IT alligevel, bare uden at vide, om svaret passer til forretningens prioriteter. → Risikovillighed

Hvad en anerkendt ramme siger

Det amerikanske standardiseringsinstitut NIST beskriver i sit Cybersecurity Framework 2.0 en række ønskede resultater for styring af cybersikkerhed. Et af dem lyder, at organisationens ledelse er ansvarlig for cybersikkerhedsrisikoen og fremmer en kultur, der er risikobevidst, etisk og i løbende forbedring. Et andet handler om, at der afsættes ressourcer, der står mål med risikostrategien. Rammen lægger op til, at cybersikkerhedsrisici håndteres sammen med virksomhedens øvrige risici, for eksempel de økonomiske og omdømmemæssige.

Rammen er ikke dansk lov og ikke et krav til danske virksomheder generelt. Men den viser, hvordan sikkerhed beskrives af dem, der arbejder med den professionelt: som en del af ledelsens styring af risici, ikke som en teknisk afdeling for sig. → Ledelsens ansvar for IT-sikkerhed

Sikkerhed rækker ud over IT-afdelingen

Selv i det daglige arbejde er sikkerhed ikke kun IT’s sag. En del af det, der afgør, om virksomheden er sikker, foregår andre steder:

Indkøb · når der vælges leverandører og skrives kontrakter.
HR · når medarbejdere starter, skifter rolle eller stopper.
Økonomi · når betalinger godkendes og ændres.
Salg · når der loves noget om sikkerheden over for kunder.
Ledelsen selv · når der gives undtagelser, eller når egne adgange ikke følger reglerne.

IT kan ikke styre alle de steder. Afdelingen kan rådgive og opstille regler, men den kan ikke sikre, at indkøb, HR, økonomi og salg følger dem, uden at ledelsen bakker op og spørger efter det. Det kræver, at ledelsen gør sikkerhed til en del af, hvordan virksomheden arbejder, ikke kun af, hvordan den driver sine systemer. → Ledelsens egne konti

Hvad det betyder for sikkerhedstesten

Når sikkerheden betragtes som IT’s opgave, bliver testen det også. IT bestiller den, IT læser rapporten, og IT retter det, der kan rettes. Ledelsen hører måske, at testen er gennemført. Mere end det kommer der ikke nødvendigvis ud af den, set fra ledelsens side.

Det giver tre problemer. Testen kan komme til at afprøve det, IT finder interessant, i stedet for det, forretningen er mest afhængig af. Fund, der kræver en forretningsbeslutning, bliver liggende, fordi IT ikke har mandat til at træffe den. Og ledelsen får ikke det billede af risikoen, den skal bruge til at prioritere.

Når ledelsen er med, ser forløbet anderledes ud. Ledelsen beslutter formålet og udpeger, hvad der er vigtigst at afprøve. IT og testeren tilrettelægger testen. Ledelsen får resultatet i et sprog, den kan handle på, og træffer de beslutninger, der hører til den. → Ejeren af sikkerhedstesten

Et tænkt eksempel

I en virksomhed, der udlejer liftudstyr til byggepladser, har IT-chefen i flere år stået for al sikkerhed. Da IT-chefen foreslår en sikkerhedstest af udlejningssystemet, sender direktøren forslaget videre til godkendelse i budgettet uden yderligere drøftelse.

Testen viser blandt andet, at kunderne kan se mere af hinandens ordrer, end de burde, i en del af systemet, som salgsafdelingen har bedt om for at gøre det lettere for store kunder. IT kan ikke ændre det uden at gå imod salget. Sagen kommer først på ledelsens bord, da IT-chefen insisterer. Ledelsen beslutter at ændre funktionen og aftaler, at fremtidige test drøftes i ledelsen før bestilling, så formålet er fastlagt, og at fund, der berører forretningen, går direkte til direktionen.

Det skal I lade være med

At overlade alle valg til IT · nogle af dem handler om forretningen.
At nøjes med at godkende budgettet · beslut også, hvad pengene skal beskytte.
At lade fund ligge, fordi de ikke er tekniske · nogle kræver en ledelsesbeslutning.
At glemme de andre afdelinger · indkøb, HR, økonomi og salg påvirker også sikkerheden.
At undtage ledelsen selv · reglerne gælder også for ledelsens egne adgange.

Hvad kan og ikke kan konkluderes

Ledelsen kan overlade arbejdet med sikkerhed til IT og til leverandører, men ikke ansvaret for retningen, prioriteringen og de valg, der vedrører forretningen. En sikkerhedstest, som ledelsen er med til at forme, giver et bedre grundlag for de valg. Den gør dem ikke for ledelsen. Hvordan ansvaret er fordelt efter lovgivningen i en bestemt virksomhed, kræver en særskilt vurdering.

Tjekliste til ledelsen

☐ Har ledelsen besluttet, hvad der er vigtigst at beskytte?
☐ Er risikovilligheden drøftet i ledelsen og ikke kun i IT?
☐ Drøftes formålet med en sikkerhedstest i ledelsen før bestilling?
☐ Er der en vej til ledelsen for fund, der kræver en forretningsbeslutning?
☐ Følger ledelsens egne adgange de samme regler som alle andres?

Kilder

Cybersecurity Framework 2.0 (CSWP 29), National Institute of Standards and Technology: GV.RR-01 om ledelsens ansvar for cybersikkerhedsrisikoen og en risikobevidst kultur; GV.RR-03 om ressourcer, der står mål med risikostrategien; cybersikkerhedsrisici håndteret sammen med virksomhedens øvrige risici.

Senest gennemgået: oktober 2026.