Sikkerhedssprog for ledere: ord, I møder i rapporten og på mødet

En ledelse behøver ikke kende sikkerhedsfagets ordforråd for at træffe gode beslutninger om en test. Men nogle få ord har en betydning, der direkte påvirker, hvad ledelsen siger ja til, hvad den accepterer, og hvornår den kan betragte sagen som lukket. Misforstås de, kan ledelsen tro, at den har fået et andet svar, end den har. Ordene her er valgt, fordi de dukker op i rapporten og på mødet, og fordi de hver især hænger sammen med en beslutning. Forklaringerne er skrevet til direktion og bestyrelse, ikke til teknikere.

En fuld ordbog over begreberne omkring en penetrationstest findes på penetrationtest.dk. Her er kun de ord, hvor misforståelser koster noget for ledelsen.

Ord om, hvad der blev testet

Afgrænsning · den aftalte liste over, hvad testen omfattede. Alt uden for afgrænsningen er ikke undersøgt, uanset hvad resultatet ellers siger. Det første spørgsmål til enhver rapport er derfor, hvad der var med.
Udgangspunkt · hvorfra testeren begyndte, fx som en udefrakommende uden adgang eller som en medarbejder med en almindelig konto. Udgangspunktet afgør, hvilket spørgsmål testen svarer på.
Test og scanning · en test betyder, at en person aktivt afprøver systemerne. En scanning er en automatisk gennemgang. Begge kan kaldes en sikkerhedstest, men de giver svar af forskellig dybde.

Ordene er vigtige, fordi et pænt resultat kun gælder det, der faktisk blev undersøgt, og på den måde, det blev undersøgt. → Penetrationstest, scanning eller gennemgang

Ord om fundene

Fund · noget, testeren har observeret og vurderer som en svaghed. Et fund er ikke en hændelse. Det betyder, at noget kunne udnyttes, ikke at nogen har gjort det.
Sårbarhed · en svaghed i et system, en opsætning eller en arbejdsgang. Ordet kan bruges om det samme som et fund.
Alvorlighed · testerens vurdering af, hvor slemt et fund er. Nogle rapporter bruger en fælles skala, CVSS, som giver en score fra 0 til 10 og kan oversættes til betegnelser som lav, middel, høj og kritisk.
Falsk positiv · noget, der lignede en svaghed, men viste sig ikke at være det. En god rapport skelner tydeligt.

Det vigtigste at vide om alvorlighed er, at den ikke er det samme som risiko for jeres forretning. Organisationen bag CVSS, FIRST, skriver selv, at skalaen beskriver sårbarheders karakteristika og alvor, og at brugerne bør tilføje oplysninger om trusler og eget miljø for at få et bedre grundlag for en risikovurdering i deres egen organisation. Et fund med høj score i et system uden betydning kan vente. Et fund med middel score i det system, forretningen lever af, kan ikke. → Fra teknisk fund til forretningsrisiko

Ord om risiko

Risiko · sandsynligheden for, at noget sker, holdt op mod konsekvensen, hvis det sker. Risiko vurderes for virksomheden, ikke for systemet.
Risikoaccept · en bevidst beslutning om at leve med en kendt svaghed for en periode. Den bør træffes af en, der har ret til det, og skrives ned med en dato for, hvornår den tages op igen.
Kompenserende tiltag · en anden foranstaltning, der mindsker risikoen, når selve svagheden ikke kan rettes med det samme, fx at en adgang lukkes, mens et system udskiftes.
Risikovillighed · hvor meget risiko ledelsen generelt vil leve med. Den sætter rammen for de enkelte accepter.

Ordene markerer de steder, hvor IT ikke bør beslutte alene. Når et af dem dukker op i en tilbagemelding, er det et signal om, at ledelsen skal tage stilling. → Risikovillighed

Ord om opfølgning

Rettelse · den ændring, der skal fjerne eller mindske svagheden.
Kontrol af rettelsen · en ny undersøgelse af, om rettelsen virker. Kaldes også retest. En rettelse, ingen har kontrolleret, er en antagelse.
Lukket · et fund er lukket, når det er rettet og kontrolleret, eller når risikoen er accepteret af den rette person. Ordet bruges nogle gange løst om fund, der blot er “sat i gang”.

Når IT melder, at alt er lukket, er det rimeligt at spørge, hvilken af de to betydninger der menes. → Hvornår kan ledelsen betragte testen som afsluttet?

Ord med juridisk vægt

To ord fortjener særlig omhu, fordi de kan udløse forpligtelser.

Sikkerhedshændelse · noget, der faktisk er sket og har påvirket sikkerheden. Et fund i en test er som udgangspunkt ikke en hændelse, men en test kan finde spor af en.
Brud på persondatasikkerheden · databeskyttelsesforordningen definerer det i artikel 4, nr. 12, som et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger.

Hvis en test finder tegn på, at nogen uvedkommende har været inde, kan situationen ændre sig fra et testresultat til en sag, der skal vurderes efter reglerne. Den vurdering bør ledelsen få hjælp til. Teksten er ikke juridisk rådgivning. → Tegn på indbrud: ledelsens første beslutninger

Et tænkt eksempel

På et ledelsesmøde i en mellemstor auktionsvirksomhed præsenterer IT-chefen resultatet af en test. Der er ét kritisk fund og fire middel. Salgsdirektøren foreslår at rette det kritiske og lade resten vente.

Direktøren spørger, hvilke systemer fundene ligger i. Det kritiske ligger i et internt testmiljø uden rigtige data. To af de middel ligger i budsystemet, som kunderne bruger under auktionerne. Med det i hånden ændrer ledelsen rækkefølgen: budsystemet først, testmiljøet lukkes ned, indtil det er rettet. Ingen af ordene i rapporten var forkerte. De skulle bare oversættes. Efter mødet beder direktøren om, at næste rapport til ledelsen viser, hvilket system hvert fund ligger i, ved siden af alvorligheden.

Det skal I lade være med

At sortere efter alvorlighed alene · spørg, hvor fundet ligger, og hvad det betyder for forretningen.
At læse et pænt resultat uden at kende afgrænsningen · det gælder kun det, der blev testet.
At tage “lukket” for gode varer · spørg, om rettelsen er kontrolleret.
At kalde et fund for en hændelse · eller omvendt.
At lade risikoaccepter ligge hos IT · de hører til ledelsen.

Hvad kan og ikke kan konkluderes

Ordene giver ledelsen et fælles sprog med IT og testeren og gør det lettere at se, hvor en beslutning skal træffes. De gør ikke ledelsen til teknikere, og de erstatter ikke en forklaring fra dem, der kender systemerne. Er et ord uklart på mødet, er det altid rimeligt at bede om at få det sagt på en anden måde. → Er svarene fra IT gode nok?

Tjekliste til næste rapport

☐ Ved vi, hvad afgrænsningen og udgangspunktet var?
☐ Er fundene vurderet ud fra vores forretning og ikke kun ud fra scoren?
☐ Er hver risikoaccept truffet af en, der har ret til det, og dateret?
☐ Betyder “lukket” rettet og kontrolleret?
☐ Har nogen vurderet, om et fund kan være tegn på en hændelse?

Kilder

FIRST: CVSS v4.0 Specification Document: CVSS beskriver sårbarheders karakteristika og alvor; brugerne bør tilføje trussels- og miljøoplysninger som grundlag for en risikovurdering i egen organisation; de kvalitative betegnelser fra ingen til kritisk.
Databeskyttelsesforordningen (EU) 2016/679, artikel 4, nr. 12: definitionen af brud på persondatasikkerheden.

Senest gennemgået: oktober 2026.