Sikkerhedstest som en del af virksomhedens strategi

En sikkerhedstest, der bestilles, fordi det er længe siden sidst, svarer på et spørgsmål, ingen har stillet. En test, der er knyttet til virksomhedens strategi, svarer på noget, ledelsen faktisk skal beslutte. Forskellen ligger i, hvor testen tager sit udgangspunkt: i kalenderen eller i de mål og ændringer, som strategien lægger op til.

Strategien fortæller, hvor virksomheden er på vej hen: nye markeder, nye kanaler, nye partnere, nye systemer. Hver af disse retninger ændrer, hvad der skal beskyttes, og hvor det kan gå galt. Når testen følger strategien, bliver den et redskab til at gennemføre den sikkert og ikke et særskilt projekt, der konkurrerer om opmærksomheden.

Fra kalender til retning

Nogle virksomheder har en vane med at teste med jævne mellemrum, måske de samme systemer på samme måde. Det er bedre end ingenting, men det giver ikke nødvendigvis ledelsen svar, den kan bruge. Testen bliver en rutine, og rapporten bekræfter det, alle vidste i forvejen. Samtidig kan de områder, strategien netop har ændret, ligge helt uden for det, der bliver undersøgt.

Den britiske myndighed NCSC anbefaler i sin vejledning om ledelse af cyberrisici, at bestyrelsen sikrer sig, at der findes en strategi for cybersikkerhed, som hænger sammen med og er indlejret i virksomhedens samlede strategi, og at ressourcerne fordeles efter de risici, ledelsen har vedkendt sig. Vejledningen er britisk og ikke bindende i Danmark, men den peger på en enkel pointe: sikkerheden skal følge forretningens retning, ikke køre ved siden af den.

Hvad strategien kan fortælle om testen

Når ledelsen gennemgår strategien, kan den stille et enkelt spørgsmål til hvert strategisk initiativ: hvad ville det betyde, hvis dette blev ramt af et angreb? Svarene peger på, hvor testen bør sættes ind.

Ny digital kanal · en webshop, en portal eller en app til kunderne bør testes, før den åbner. → Ny digital forretning
Vækst i nye markeder · nye kunder kan stille nye krav til dokumentation af sikkerheden.
Øget brug af partnere · flere forbindelser ind i virksomheden ændrer, hvor sårbar den er.
Effektivisering og automatisering · systemer, der overtager manuelle opgaver, bliver mere kritiske, hvis de svigter.
Det, der ikke må gå tabt · de data og systemer, strategien hviler på, bør være kendt og prioriteret. → Kronjuvelerne

Det er ikke sikkert, at alle initiativer kræver en test. Men et initiativ, der aldrig er vurderet for sikkerhed, er en risiko, ledelsen har taget uden at vide det.

Et tænkt eksempel

En familieejet producent af byggematerialer vedtager en strategi for de kommende år med tre spor: salg direkte til håndværkere via en webshop, et nyt fælles lagersystem med en logistikpartner og overgang til digitale tegninger, som kunderne kan hente selv. Ingen af sporene handler om sikkerhed, men alle tre ændrer den.

Webshoppen åbner for betalinger og kundekonti. Lagersystemet giver en partner adgang ind i virksomheden. De digitale tegninger er måske forretningens vigtigste viden, og nu ligger de tilgængeligt udefra. Ledelsen kan på strategiseminaret beslutte, at hvert spor får en sikkerhedstest som en del af projektet, at tegningerne prioriteres først, fordi de er sværest at erstatte, og at bestyrelsen orienteres om resultatet sammen med status på strategien. Så er testene ikke længere en løsrevet udgift, men en del af planen.

Strategiens risikovillighed sætter rammen

En strategi indeholder altid valg om, hvor meget risiko virksomheden vil leve med for at nå sine mål. Det gælder også sikkerheden. En virksomhed, der vil vokse hurtigt med nye digitale ydelser, accepterer måske en vis risiko i en opstartsfase. En virksomhed, hvis forretning bygger på kundernes tillid til, at deres data er i sikre hænder, har mindre plads.

Når ledelsen har gjort sig klart, hvor grænsen går, bliver det lettere at afgøre, hvor grundigt der skal testes, og hvad der skal ske med fundene. Testen bliver en måde at kontrollere, at virksomheden holder sig inden for den ramme, ledelsen har sat. → Risikovillighed

Fra strategi til plan

En strategi kan strække sig over flere år. Det giver mulighed for at lægge en plan for, hvornår forskellige dele af virksomheden undersøges, knyttet til de ændringer, der er planlagt. Planen behøver ikke være detaljeret. Den skal vise, hvilke initiativer der skal testes, i hvilken rækkefølge, og hvem der har ansvaret.

Planen skal også kunne ændres. Strategier justeres, projekter forsinkes, og nye muligheder opstår. Testplanen skal følge med, så den ikke bliver en liste over test, der ikke længere passer til virksomheden. → Flerårig testplan

Det samme gælder budgettet. Hvis testen er en del af strategien, hører den med i de strategiske budgetter og ikke kun i IT-budgettet, hvor den let må vige for driftsopgaver. → Budgettering af sikkerhedstest

Hvem holder sammenhængen?

Strategien ejes af ledelsen, og det gør sammenhængen mellem strategi og sikkerhed også. I praksis kræver det, at nogen i ledelsen har til opgave at spørge til sikkerheden, når strategiske initiativer besluttes, og at resultaterne af test bliver taget op, når strategien evalueres.

Det behøver ikke være en stor ekstra opgave, og det kræver ingen teknisk baggrund. Det kræver, at spørgsmålet bliver stillet hver gang, også når initiativet virker uskyldigt, og at svaret bliver skrevet ned. Et fast punkt, når strategien gennemgås, og en kort status fra den, der har ansvaret for testplanen, kan være nok til at holde sammenhængen. → Fra engangstest til fast praksis

Det skal I lade være med

At teste efter kalenderen alene · en test uden et spørgsmål fra forretningen giver ikke nødvendigvis noget at handle på.
At lade sikkerheden være IT’s strategi · den skal følge virksomhedens strategi, ikke køre parallelt.
At tage sikkerheden op, når initiativet er sat i gang · så er budget og tidsplan allerede lagt.
At låse testplanen fast for flere år · den skal følge strategiens justeringer.
At glemme resultaterne, når strategien evalueres · de fortæller noget om, hvor sikkert målene er nået.

Hvad kan og ikke kan konkluderes

En sikkerhedstest, der er knyttet til strategien, giver ledelsen svar på spørgsmål, der betyder noget for forretningen. Den kan vise, hvordan de undersøgte dele står på et givet tidspunkt, og bruges til at justere, hvordan initiativerne gennemføres. Den kan ikke vise, at strategien er sikker som helhed, og den kan ikke erstatte ledelsens egen vurdering af, hvilke risici der er værd at løbe.

Tjekliste til strategiseminaret

☐ Er hvert strategisk initiativ vurderet for, hvad et angreb ville betyde?
☐ Er det besluttet, hvor meget sikkerhedsrisiko strategien kan bære?
☐ Findes der en plan for, hvornår initiativerne testes?
☐ Står testene i de strategiske budgetter?
☐ Er det aftalt, hvem i ledelsen holder sammenhængen?
☐ Bliver resultaterne taget op, når strategien evalueres?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: princip B om en cyberstrategi, der er indlejret i den samlede strategi og afstemt med risikovilligheden og ressourcerne.

Senest gennemgået: oktober 2026.