Det meste, der skrives om sikkerhedstest, handler om, hvad ledelsen skal spørge IT, leverandøren og testeren om. Men en test kan også gå galt, fordi ledelsen ikke har stillet sig selv de rigtige spørgsmål. Er vi klar til at høre, at det står værre til end ventet? Har vi folk og penge til at rette? Og hvem følger op, når rapporten er læst? Svarene hviler ikke på teknik, men på ledelsens egen parathed. Hvis de er uklare, er det bedre at afklare dem nu end at bestille en test, hvis resultat bliver liggende.
Spørgsmålene om, hvad testen skal svare på, står for sig. → Ledelsens spørgsmål, før testen bestilles
Er vi klar til svaret?
En test kan vise, at sikkerheden er bedre end frygtet. Den kan også vise det modsatte. Ledelsen bør på forhånd gøre sig klart, at begge udfald er mulige, og at det ikke er en fiasko, hvis testen finder noget. Det er netop det, den er bestilt til.
Spørg jer selv ærligt: hvordan vil vi reagere, hvis rapporten er dårlig? Vil vi lede efter en ansvarlig, eller vil vi bruge den til at blive bedre? Hvis svaret er det første, vil IT og leverandørerne have en grund til at gøre testen så lille som muligt. Ledelsens reaktion på den første rapport sætter tonen for alle de næste. → Ingen syndebukke
Det er også værd at overveje, hvem der skal kende resultatet. Bestyrelsen, ejerkredsen, en kunde? Det er lettere at beslutte, før man kender indholdet. → Hvem skal kende resultatet?
Ved vi, hvad vi ikke vil miste?
Sikkerdigital.dk skriver i sit materiale til ledere, at det er nødvendigt, at lederen selv vurderer, hvilke risici virksomheden er udsat for, og at man bør få overblik over de mest kritiske data og systemer. Det overblik er også grundlaget for en god test.
Materialet foreslår, at vurderingen tager udgangspunkt i fire spørgsmål: hvilke trusler kan ramme jer, hvor sandsynligt er det, hvad er konsekvenserne, og hvordan beskytter I jer mod de største risici? Ledelsen behøver ikke en færdig risikovurdering, før testen bestilles. Men har den ikke svaret på de fire spørgsmål, bør det mindst være klart, hvem der skal finde svarene, og testen kan være en del af det arbejde.
Hvis ledelsen ikke ved, hvilke systemer forretningen ikke kan undvære, bliver det IT eller testeren, der bestemmer, hvad der testes. Det kan godt gå, men så er det deres prioritering og ikke forretningens. → Kronjuvelerne
Hvor meget risiko accepterer vi?
Samme materiale fra sikkerdigital.dk peger på, at ledelsen bør tage stilling til, hvor stor en risiko den anser for acceptabel. Den stillingtagen bør helst ske, før testen viser, hvor risikoen ligger.
Hvis ledelsen først skal finde sin holdning, når rapporten ligger på bordet, er der en risiko for, at den bliver farvet af, hvad det koster at rette. Så bliver det prisen og ikke risikoen, der afgør, hvad der rettes. En ramme, der er besluttet på forhånd, gør det lettere at sige: dette skal rettes nu, dette kan vente, og dette accepterer vi. → Risikovillighed
Har vi ressourcer til at rette?
En test uden rettelser er en dyr måde at få en liste over svagheder på. Før testen bestilles, bør ledelsen spørge sig selv, om der er folk og penge til at handle på resultatet.
- Penge · er der afsat et beløb til rettelser, eller skal det findes bagefter?
- Tid · har IT eller leverandøren kapacitet i de kommende måneder?
- Beslutninger · er ledelsen klar til at prioritere rettelser frem for andre projekter?
Hvis svaret er nej på alle tre, kan det være klogere at udskyde testen eller gøre den mindre. En mindre test, hvis resultat bliver brugt, giver mere end en stor test, hvis resultat bliver lagt i en skuffe. Det betyder ikke, at testen skal opgives, men at den skal passe til det, virksomheden kan følge op på. → Afsæt penge til rettelserne, før testen bestilles
Hvem følger op?
Den mest oversete forudsætning er en person i ledelsen, der følger op. Ikke IT-chefen alene, men en, der har mandat til at kræve fremdrift og løfte problemer, når rettelserne går i stå.
Spørg jer selv: hvem i ledelsen vil om tre måneder spørge, hvordan det går med fundene? Hvis ingen kan svare, er det næste spørgsmål, hvem der skal. Opfølgningen kræver ikke teknisk viden. Den kræver, at nogen spørger, noterer svaret og spørger igen, til fundene er lukket. → Hvem i ledelsen skal eje sikkerhedstesten?
Til sidst skal ledelsen godkende testen og dermed tage ansvaret for den. Det indebærer at kende rammen, acceptere risikoen ved selve testen og være klar til at handle, hvis testen finder noget alvorligt undervejs. Hvis ledelsen har svaret på spørgsmålene ovenfor, er godkendelsen en formalitet. Hvis ikke, er det godkendelsen, der afslører, at forberedelsen mangler. → Ledelsens godkendelse af testen
Et tænkt eksempel
Ejerlederen af en maskinfabrik har fået et tilbud på en test og vil skrive under. Bestyrelsesformanden foreslår, at ledelsen først bruger en halv time på at gennemgå spørgsmålene til sig selv.
Det viser sig, at ingen har overblik over, hvilke systemer produktionen ikke kan undvære, og at der ikke er afsat penge til rettelser. Ejerlederen beder IT-chefen lave en kort oversigt og sætter et beløb af i budgettet. Økonomichefen udpeges til at følge op. Testen bestilles to uger senere med samme omfang, men nu med en plan for, hvad der skal ske bagefter. Ejerlederen fortæller bagefter bestyrelsen, at de to ugers forsinkelse var godt givet ud.
Det skal I lade være med
- At bestille testen for at have gjort det · uden plan for opfølgning bliver resultatet liggende.
- At vente med at tage stilling til risiko · den holdning bør ligge fast før rapporten.
- At antage, at IT har styr på det hele · prioritering og ressourcer er ledelsens.
- At lede efter en skyldig · det får næste test til at blive mindre ærlig.
- At glemme opfølgningen · udpeg en, der spørger til fundene om nogle måneder.
Hvad kan og ikke kan konkluderes
En ledelse, der har stillet sig selv disse spørgsmål, er bedre forberedt på at bruge resultatet. Spørgsmålene gør ikke testen bedre, og de garanterer ikke, at fundene bliver rettet. Men de øger sandsynligheden for, at testen fører til beslutninger og ikke kun til en rapport.
Tjekliste til ledelsen selv
- ☐ Er vi klar til et dårligt resultat uden at lede efter syndebukke?
- ☐ Har vi overblik over de systemer og data, vi ikke kan undvære?
- ☐ Har vi besluttet, hvor meget risiko vi accepterer?
- ☐ Er der afsat penge og tid til rettelser?
- ☐ Er der en i ledelsen, der følger op?
Kilder
- sikkerdigital.dk: IT-risikovurdering: at lederen bør vurdere, hvilke risici virksomheden er udsat for, få overblik over de mest kritiske data og systemer, og tage stilling til, hvor stor en risiko ledelsen anser for acceptabel.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Ingen kapacitet til rettelser · Er det tid til en sikkerhedstest?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
