Sikkerhedstest forklaret for direktionen

Nogle direktører hører ordet sikkerhedstest første gang fra IT, en kunde eller forsikringen og får en forklaring fyldt med fagudtryk. Det, direktionen har brug for, er enklere: en forståelse af, hvilket slags svar testen giver, hvor sikkert svaret er, og hvad det kan bruges til i ledelsen.

En sikkerhedstest er en planlagt afprøvning af, om virksomhedens systemer kan modstå et forsøg på at bryde ind eller misbruge dem. Den giver et konkret svar om udvalgte systemer på et bestemt tidspunkt. Den giver ikke et samlet karakterkort for virksomhedens sikkerhed.

En revision af forsvaret

Det britiske NCSC sammenligner i sin vejledning om penetrationstest testen med en ekstern revision af regnskabet. Sammenligningen er nyttig for en direktion. Revisor kontrollerer, om de interne processer holder, men revisionen erstatter ikke bogholderiet. På samme måde kontrollerer en sikkerhedstest, om det daglige sikkerhedsarbejde har virket, uden at være selve arbejdet.

Det betyder også, at testen ikke er stedet, hvor svaghederne først skal opdages. Opdateringer, overblik over systemer og styring af adgange skal fungere i forvejen. Testen viser, om det er lykkedes, og hvor der er huller, som den daglige drift ikke har fanget.

Sammenligningen holder også på et andet punkt. En revisors påtegning siger noget om et bestemt regnskabsår og om de forhold, revisor fik adgang til. Ingen direktør ville læse en påtegning som en garanti for, at næste år går godt. Et testresultat skal læses med samme forbehold. Det er en kvalificeret udtalelse om noget afgrænset, ikke et løfte om fremtiden.

Hvad direktionen får at vide

Et godt resultat er konkret. Det fortæller, hvad testeren forsøgte, hvad der lykkedes, og hvad det kunne have ført til for forretningen. For eksempel at en udefrakommende kunne få adgang til kundernes ordrer, eller at en almindelig medarbejderkonto kunne nå oplysninger, den ikke burde se.

Den slags svar er værdifulde, fordi de er dokumenterede og ikke bygger på antagelser. De er også lettere at forklare videre til bestyrelsen end en generel vurdering af modenhed eller et pointtal, fordi de beskriver noget, der faktisk skete under testen. Direktionen får noget at tage stilling til: hvad skal rettes først, hvad koster det, og hvilke risici vælger vi at leve med? Hvis resultatet beskriver fund i forretningssprog, kan det bruges direkte i ledelsens prioritering. → Hvad får ledelsen ud af en penetrationstest?

Hvad direktionen ikke får at vide

Testen siger kun noget om det, der var med i opgaven. Systemer uden for aftalen er ikke vurderet, og det er de forhold heller ikke, testen ikke undersøgte. En rapport med få fund kan derfor betyde, at systemet er robust, eller at opgaven var smal. Direktionen bør altid vide hvilken.

Testen er også et øjebliksbillede. NCSC påpeger, at en test kun kan vise, at systemerne ikke var sårbare over for kendte problemer på det tidspunkt, testen blev udført. Nye svagheder bliver kendt, systemer ændres, og medarbejdere kommer og går. Et resultat fra sidste år beskriver sidste års virksomhed.

Endelig afhænger resultatet af testerens kompetencer og af den tid, der var til rådighed. Det er en af grundene til, at valget af tester og omfanget er en ledelsessag og ikke kun en indkøbsopgave. → Hvad en sikkerhedstest kan svare på, og hvad den ikke kan

Ord, der skaber forvirring

Ordet sikkerhedstest bruges om flere ting. Nogle mener en automatisk scanning efter kendte fejl. Andre mener en manuel afprøvning, hvor en specialist forsøger at kombinere svagheder, som en angriber ville. Atter andre mener en gennemgang af opsætning og politikker. Svarene er forskellige, og det samme er prisen og dybden.

For direktionen er det vigtigste at spørge, hvilket svar man får, frem for hvad metoden hedder. Spørg: Vil vi vide, om der findes kendte fejl? Om en bestemt situation kan føre til skade? Eller om opsætningen lever op til vores egne krav? Navnet på opgaven er mindre vigtigt end spørgsmålet, den besvarer. → Penetrationstest, scanning eller gennemgang?

Et andet ord, der giver anledning til misforståelser, er bestået. En sikkerhedstest er ikke en eksamen. Fund er det forventede udbytte og ikke en fiasko for IT. En kultur, hvor test skal bestås, risikerer at gøre opgaverne mindre og resultaterne pænere end virkeligheden. → Testen skal bestås: en misforståelse

Direktionens rolle før, under og efter

Før testen beslutter direktionen formål, omfang og hvem der ejer resultatet. Den godkender også, at testen må gennemføres, og hvilke forstyrrelser forretningen kan tåle. En test af systemer i drift indebærer en lille, men reel risiko, og den beslutning bør ikke ligge alene hos en projektleder.

Det samme gælder spørgsmålet om, hvem der skal vide, at testen finder sted. Driftsleverandøren og de systemansvarlige skal kende til den, mens en bredere orientering af medarbejderne er et valg, direktionen bør træffe bevidst.

Under testen behøver direktionen ikke at være involveret. Men der skal være en aftale om, hvem der bliver kontaktet, hvis testeren finder noget alvorligt undervejs, og hvem der kan træffe beslutninger hurtigt.

Efter testen skal direktionen have et resumé, der forklarer resultatet uden teknisk sprog, og en plan for opfølgning med ejer og tidsramme. Det er her, testen omsættes til beslutninger: hvad rettes, hvad accepteres, og hvad skal testes næste gang. → Hvem i ledelsen skal eje sikkerhedstesten?

Det skal I lade være med

At læse testen som et sikkerhedscertifikat · den dækker kun det undersøgte på et bestemt tidspunkt.
At acceptere et resultat uden at kende omfanget · få fund kan skyldes en smal opgave.
At bruge ord uden at afklare dem · scanning og manuel test giver forskellige svar.
At behandle fund som fiasko · fund er det, testen er bestilt for at finde.
At springe direktionens godkendelse over · test af systemer i drift er en forretningsbeslutning.

Hvad kan og ikke kan konkluderes

En sikkerhedstest kan give direktionen dokumenteret viden om, hvad der kunne lade sig gøre mod bestemte systemer, og et grundlag for at prioritere rettelser og budget. Den kan vise, om tidligere investeringer i sikkerhed har haft den ønskede virkning på de områder, der blev afprøvet.

Den kan ikke vise, at virksomheden som helhed er sikker, at den ikke vil blive angrebet, eller at resultatet stadig gælder om et år. Den erstatter heller ikke det løbende sikkerhedsarbejde. → Skal vi have lavet en penetrationstest?