Hvad bør sikkerhedspolitikken sige om test?

En sikkerhedspolitik kan nævne test i en enkelt sætning om, at sikkerheden kontrolleres regelmæssigt, eller slet ikke nævne det. Det giver ingen vejledning, når spørgsmålet opstår. Svaret på, hvad politikken bør sige, hviler på ledelsens rolle: politikken skal ikke beskrive, hvordan der testes, men fastlægge de principper, ledelsen står inde for. Det drejer sig om fem spørgsmål: hvorfor der testes, hvornår, hvem der bestiller og godkender, hvordan resultatet behandles, og hvem der følger op. Detaljerne hører til i procedurer, som IT kan ændre uden at gå til ledelsen.

Politik og procedure er to forskellige ting

Sikkerdigital.dk beskriver formålet med en IT-sikkerhedspolitik som at beskrive virksomhedens mål og holdning til IT-sikkerhed. Siden peger på, at omfanget kan variere fra en side eller to i mindre virksomheder til mere udførlige dokumenter i større, og at politikken skal være kendt af både ledelsen og medarbejderne.

Den skelnen er nyttig for test. Politikken siger, at virksomheden tester, og hvem der har ansvaret. Proceduren siger, hvordan en test bestilles, hvilke oplysninger testeren skal have, og hvordan fund registreres. Når de to blandes, bliver politikken enten for teknisk til, at ledelsen kan godkende den, eller for løs til, at nogen kan bruge den.

Et praktisk kriterium: alt, hvad ledelsen skal kunne stå inde for over for bestyrelse, kunder eller en myndighed, hører til i politikken. Alt, hvad der skal tilpasses fra test til test, hører til i proceduren. Proceduren bør henvise til politikken, så det er tydeligt, hvilke principper den udfylder.

Fem principper, ledelsen kan godkende

Afsnittet om test i politikken kan være kort. Det kan bygges op om fem principper:

Formål · virksomheden tester for at få et uafhængigt billede af, om sikringerne virker, og bruger resultatet til at prioritere.
Anledninger · der testes efter en plan og ved bestemte begivenheder, som ledelsen har besluttet, for eksempel nye systemer, der vender ud mod internettet, eller skifte af leverandør. → Fra engangstest til fast praksis
Bestilling og godkendelse · hvem der må bestille en test, og hvem der skal godkende den, før den går i gang. Det gælder også test, som leverandører eller kunder ønsker at udføre på virksomhedens systemer. → Ledelsens godkendelse af testen
Behandling af resultatet · rapporten er fortrolig, og det er besluttet, hvem der må se den. → Hvem skal kende resultatet?
Opfølgning · alvorlige fund har en ejer og en frist, accept af et fund kræver en begrundet beslutning, og ledelsen får status, indtil opfølgningen er afsluttet.

Politikken bør ikke indeholde faste frister for rettelser eller en fast hyppighed, medmindre virksomheden er bundet af et krav udefra. Frister og hyppighed afhænger af risikoen og ændrer sig over tid. Det er bedre, at politikken siger, hvem der fastsætter dem. → Hvem bestemmer, hvor ofte der testes?

Hvem der bestemmer hvad

En politik skal gøre det tydeligt, hvor beslutningerne ligger. For test kan det for eksempel være:

Ledelsen · godkender principperne, planen for test og accept af alvorlige fund.
Ejeren af testene · bestiller inden for planen og følger op på resultatet.
IT eller leverandøren · forbereder testen og retter fundene.
Bestyrelsen · ser, at principperne følges, og får resultatet forelagt i kort form.

Rollerne skal stå som roller, ikke som navne, så politikken ikke skal ændres, hver gang en person skifter stilling. I en lille virksomhed kan flere roller ligge hos samme person. Så bør politikken sige, hvem der kontrollerer, når direktøren både bestiller testen og accepterer fundene. Grænsen for, hvilke fund ledelsen selv skal acceptere, følger af den ramme for risikovilje, ledelsen har sat. → Risikovillighed

Personoplysninger og politikker

Behandler virksomheden personoplysninger, er der også et formelt spor. Databeskyttelsesforordningens artikel 24, stk. 1, siger, at den dataansvarlige skal gennemføre passende tekniske og organisatoriske foranstaltninger og om nødvendigt revidere og ajourføre dem. Efter stk. 2 skal foranstaltningerne omfatte passende databeskyttelsespolitikker, hvis det står i rimeligt forhold til behandlingsaktiviteterne.

Forordningen nævner ikke sikkerhedstest i artikel 24. Et afsnit om test i sikkerhedspolitikken kan være en måde at vise, at virksomheden kontrollerer sine foranstaltninger, men det er ikke i sig selv opfyldelse af et krav. Teksten er ikke juridisk rådgivning. → GDPR og sikkerhedstest

En politik, der bliver brugt

Sikkerdigital.dk understreger, at politikken ikke skal arkiveres og gemmes væk, men løbende tages frem og revideres. For afsnittet om test er der to naturlige anledninger: når ledelsen evaluerer en gennemført test, og når virksomheden ændrer sig væsentligt. Bliver det tydeligt under en test, at et princip ikke kan følges, er det enten politikken eller praksis, der skal ændres, og valget skal træffes åbent af ledelsen.

Politikken skal også kendes af dem, den gælder. Den, der bestiller en test, og den, der tager imod en henvendelse fra en kunde om test, bør vide, at der findes principper, og hvor de står. Ellers bliver politikken kun læst, når den skal godkendes.

Et tænkt eksempel

En ingeniørrådgiver har en sikkerhedspolitik på to sider, som nævner, at sikkerheden kontrolleres regelmæssigt. Da en kunde beder om at måtte teste rådgiverens projektportal, ved ingen, hvem der kan sige ja.

Direktionen beslutter at tilføje et kort afsnit om test. Det siger, at portalen og de systemer, der vender ud mod internettet, testes efter en plan, som direktionen godkender, at kun den udpegede ejer må bestille eller tillade test, at rapporter er fortrolige og deles efter direktionens beslutning, og at alvorlige fund rapporteres til direktionen, indtil de er lukket. Bestyrelsen godkender den reviderede politik. Kundens ønske behandles derefter af ejeren efter politikken, og kunden får et klart svar om, hvad der kan tillades, og på hvilke betingelser.

Det skal I lade være med

At skrive proceduren ind i politikken · politikken fastlægger principper, ikke fremgangsmåder.
At fastsætte frister uden grundlag · sig hellere, hvem der fastsætter dem.
At glemme test, som andre vil udføre · leverandørers og kunders test kræver også godkendelse.
At navngive personer · beskriv roller.
At lade politikken ligge · revidér den efter test og ved større ændringer.

Hvad kan og ikke kan konkluderes

Et klart afsnit om test i politikken gør det tydeligt, hvem der beslutter, og hvordan resultatet behandles. Det sikrer ikke, at der faktisk bliver testet eller fulgt op. Det kræver, at ledelsen spørger til det, og at politikken bliver brugt.

Tjekliste til politikkens afsnit om test

☐ Siger politikken, hvorfor virksomheden tester?
☐ Er anledningerne og ansvaret for planen beskrevet?
☐ Er det klart, hvem der må bestille og godkende test, også fra andre?
☐ Er behandlingen af rapporten og opfølgningen beskrevet?
☐ Er det besluttet, hvornår afsnittet revideres?

Kilder

sikkerdigital.dk, IT-sikkerhedspolitik og beredskabsplan: formålet med politikken er at beskrive virksomhedens mål og holdning til IT-sikkerhed; omfanget varierer; den skal kendes af ledelse og medarbejdere og løbende revideres.
Databeskyttelsesforordningen (EU) 2016/679: artikel 24, stk. 1 og 2, om passende foranstaltninger, der om nødvendigt revideres og ajourføres, og om passende databeskyttelsespolitikker.

Senest gennemgået: oktober 2026.