Skal vi have lavet en penetrationstest? Det skal ledelsen kunne svare på

Når nogen spørger, om virksomheden skal have en penetrationstest, er det ikke IT alene, der skal give det endelige svar. Beslutningen hviler på fire forhold, som ledelsen selv kender bedst: hvad testen skal bruges til, hvor meget der står på spil, om andre stiller krav, og om virksomheden kan handle på resultatet.

Kort sagt: Ja, hvis I har et spørgsmål, som kun en afprøvning kan besvare, og hvis der er vilje og ressourcer til at rette det, testen finder. Mangler en af de to dele, bør ledelsen først få den på plads.

En beslutning, ikke en teknisk formalitet

En penetrationstest er en kontrolleret afprøvning, hvor en specialist med tilladelse forsøger at bryde ind i udvalgte systemer for at vise, hvad der faktisk kan lade sig gøre. Det lyder teknisk, men valget om at teste er en ledelsessag. Testen koster tid og penge, den giver viden, som kan forpligte, og den rører ved systemer, forretningen er afhængig af.

Derfor er spørgsmålet ikke, om testen er god i sig selv. Spørgsmålet er, om den hjælper ledelsen med en konkret beslutning. Hvordan en test foregår, og hvilke typer der findes, er beskrevet på opslagsværket penetrationtest.dk. Her handler det om, hvad ledelsen skal kunne svare på, før der bestilles noget. → Sikkerhedstest forklaret for direktionen

Første spørgsmål: hvad skal svaret bruges til?

En test uden formål kan ende som en rapport, ingen ved, hvad de skal stille op med. Begynd derfor med den beslutning, testen skal understøtte. Det kan være, om en ny kundeportal er klar til at åbne, om de penge, der er brugt på sikkerhed, har virket, eller om bestyrelsen kan få et ærligt billede af, hvor sårbar virksomheden er udefra.

Formålet bestemmer, hvad der skal testes, og hvordan resultatet skal præsenteres. Et vagt ønske om at blive tjekket giver et vagt svar. Et præcist spørgsmål giver et svar, ledelsen kan handle på. → Ledelsens spørgsmål til testen

Andet spørgsmål: hvad står på spil?

Det næste er at vurdere, hvad et angreb ville ramme. Tænk på de systemer og oplysninger, virksomheden ikke kan undvære: ordrer, produktion, bogføring, kundernes data og de aftaler, I har med samarbejdspartnere. Jo mere forretningen hviler på dem, og jo mere de kan nås udefra, desto stærkere er argumentet for at få dem afprøvet.

Risikoen handler også om tillid. Kunder, ansatte og samarbejdspartnere går ud fra, at oplysningerne er beskyttet. Hvis virksomheden behandler personoplysninger, nævner databeskyttelsesforordningens artikel 32 blandt mulige foranstaltninger en procedure for regelmæssig afprøvning, vurdering og evaluering af, om sikkerhedsforanstaltningerne virker. Forordningen kræver ikke en bestemt testform, men den viser, at det at efterprøve sikkerheden er en del af ansvaret. Teksten er ikke juridisk rådgivning. → Hvad risikerer vi ved ikke at teste?

Tredje spørgsmål: kommer kravet udefra?

Nogle virksomheder overvejer en test, fordi andre beder om det. En vigtig kunde vil se dokumentation, forsikringen stiller spørgsmål, eller en samarbejdspartner kræver en rapport. Det er legitime grunde, men de ændrer ikke på, at virksomheden selv skal kunne stå inde for, hvad testen dækkede.

Spørg derfor, hvad den, der stiller kravet, egentlig vil vide. Nogle vil se, at der testes jævnligt. Andre vil have svar om et bestemt system. Lad ikke kundens formulering alene bestemme indholdet, hvis jeres egne risici ligger et andet sted. En test kan tjene begge formål, når det er tænkt ind fra starten.

Vær også opmærksom på, hvem der skal underskrive svaret. Når direktøren bekræfter over for en kunde eller et forsikringsselskab, at sikkerheden er afprøvet, er det ledelsen, der står inde for udsagnet. Det er endnu en grund til, at beslutningen om omfang og formål ikke bør træffes alene i IT-afdelingen eller hos driftsleverandøren. Ledelsen skal kunne forklare, hvad der blev testet, og hvad der ikke gjorde. → Kunderne spørger til vores sikkerhed

Fjerde spørgsmål: kan vi følge op?

Det kan overses, at en test skaber en forpligtelse. Når ledelsen først kender en alvorlig svaghed, er det svært at forsvare ikke at gøre noget ved den. Før testen bestilles, bør det være klart, hvem der ejer opfølgningen, og at der er tid og penge til de rettelser, der med stor sandsynlighed følger.

Det betyder ikke, at alt skal rettes med det samme. Det betyder, at ledelsen skal være parat til at prioritere og til bevidst at acceptere nogle risici, hvis de ikke rettes. Har virksomheden ingen kapacitet til opfølgning, kan det være klogere at begynde med at skaffe den end at bestille testen nu. → Hvem i ledelsen skal eje sikkerhedstesten?

Når svaret er nej, eller ikke endnu

Nogle gange er det rigtige svar at vente. Hvis systemerne skal udskiftes om kort tid, hvis det grundlæggende overblik mangler, eller hvis I allerede ved, at mange kendte svagheder ikke er håndteret, kan en simplere gennemgang være et bedre første skridt. Så bruges testerens tid ikke på det, I allerede kunne have fundet selv.

Et nej bør dog være en aktiv beslutning med en begrundelse, ikke en udskydelse uden dato. Skriv ned, hvorfor ledelsen har valgt at vente, og hvornår spørgsmålet tages op igen. → Penetrationstest, scanning eller gennemgang?

Det skal I lade være med

At bestille, fordi andre gør det · uden et formål bliver rapporten svær at bruge.
At overlade beslutningen helt til IT · risiko og budget hører hjemme i ledelsen.
At teste uden plan for rettelser · viden uden handling kan blive en belastning.
At lade kundens krav stå alene · jeres egne risici skal også med i overvejelsen.
At udskyde uden dato · et nej skal begrundes og tages op igen.

Hvad kan og ikke kan konkluderes

De fire spørgsmål kan give ledelsen et grundlag for at sige ja, nej eller ikke endnu, og for at forklare valget over for bestyrelse, kunder og forsikring. De kan også afsløre, at virksomheden mangler et formål eller en ejer, før den mangler en test.

Spørgsmålene kan ikke afgøre, hvilken type test der passer bedst, eller hvor stor opgaven bør være. Det kræver en samtale med en tester, der kender systemerne. Og ingen beslutning om at teste kan i sig selv vise, at virksomheden er sikker.

Tjekliste til ledelsens beslutning

☐ Har vi formuleret, hvilken beslutning testen skal understøtte?
☐ Ved vi, hvilke systemer og oplysninger forretningen ikke kan undvære?
☐ Er det afklaret, om kunder, forsikring eller partnere stiller krav?
☐ Er der en navngiven ejer i ledelsen?
☐ Er der afsat tid og penge til rettelser bagefter?
☐ Er et eventuelt nej begrundet og sat til ny drøftelse?

Kilder

Databeskyttelsesforordningen (EU) 2016/679, artikel 32, stk. 1, litra d: procedure for regelmæssig afprøvning, vurdering og evaluering af sikkerhedsforanstaltningernes effektivitet.

Senest gennemgået: oktober 2026.