En sikkerhedstest betyder, at ledelsen giver en udefrakommende lov til at gøre det, virksomheden ellers bruger penge på at forhindre: at forsøge at komme ind i systemerne. Det er en tillidserklæring, og den bør gives på et oplyst grundlag. Ledelsen behøver ikke kunne vurdere testerens tekniske færdigheder. Den skal kunne svare på fire enklere spørgsmål: Har testeren erfaring med noget, der ligner vores? Hvordan passer testeren på det, der bliver set? Hvem bærer ansvaret, hvis noget går galt? Og hvad får vi, når det er slut? Svarene kan ledelsen få på et kort møde, før den skriver under.
Krav til testerens metode og certificeringer i detaljer er IT’s og indkøbets bord. Spørgsmålene her er dem, ledelsen selv bør have hørt svaret på.
Ledelsen giver tilladelsen
Straffeloven § 263, stk. 1, retter sig mod den, der uberettiget skaffer sig adgang til en andens datasystem. Det er virksomhedens tilladelse, der gør testerens arbejde berettiget. Derfor er godkendelsen en ledelsesbeslutning og ikke en indkøbsformalitet. Det har også en praktisk side. Den, der underskriver, bør have kompetence til at give adgang til alle de systemer, der indgår, og bør vide, hvad der er sagt ja til. En underskrift fra en mellemleder, der ikke ejer systemerne, kan efterlade tvivl, hvis noget senere skal forklares.
Tilladelsen skal være skriftlig og afgrænset, så det er klart, hvad der må testes, hvornår og af hvem. Hvis systemerne drives af en leverandør eller ligger i en cloudtjeneste, kan der være behov for at inddrage leverandøren. Hvordan tilladelsen udformes i praksis, forklarer penetrationtest.dk. Teksten er ikke juridisk rådgivning. → Ledelsens godkendelse af testen
Spørgsmål om erfaring
Det britiske NCSC skriver i sin vejledning om penetrationstest, at tredjeparts test kun bør udføres af kvalificerede og erfarne folk. Ledelsen kan ikke selv måle kvalifikationerne, men den kan spørge, så den hører, hvordan testeren beskriver sig selv.
- Hvem udfører arbejdet? · navngivne personer, ikke kun et firmanavn.
- Har I testet noget, der ligner vores? · i generelle vendinger, uden navne på andre kunder.
- Hvad ville I have brug for at vide om os? · et godt svar viser, at testeren tænker på forretningen.
- Hvad gør I, hvis I støder på noget uden for jeres erfaring? · ærlighed om grænser er et godt tegn.
En tester, der fortæller om andre kunder ved navn, fortæller også om jer en dag. Diskretion om tidligere opgaver er en kvalitet, ikke en mangel. Det samme gælder testerens tavshed om det, der bliver set hos jer. Ledelsen kan roligt spørge, hvordan testeren omtaler sine opgaver over for andre, og lytte efter, om svaret er afslappet eller indøvet. → En tester, ledelsen kan stole på
Spørgsmål om fortrolighed
Testeren kommer til at se svagheder, som ingen udenfor bør kende, og måske også data, som kunder og medarbejdere har betroet virksomheden.
- Hvordan opbevares det, I finder? · og hvornår slettes det?
- Hvem hos jer kan se resultatet? · og bruger I underleverandører?
- Vil I underskrive en fortrolighedsaftale? · og hvad dækker den?
- Hvordan sender I rapporten? · en rapport med svagheder bør ikke ligge åbent i en mail.
Det er rimeligt at forvente klare svar. Nielco IT underskriver fx en fortrolighedsaftale på forespørgsel. Er svarene vage, er det et signal om, at testeren ikke har tænkt over, hvad det betyder at holde andres svagheder i hånden. → Hvem i virksomheden skal kende resultatet?
Spørgsmål om ansvar
En test kan i visse tilfælde forstyrre driften. Ledelsen bør vide, hvordan det håndteres, før det sker.
- Hvad sker der, hvis et system går ned under testen? · hvem stopper, og hvem får besked?
- Hvem er vores kontaktperson undervejs? · og kan vi få fat i vedkommende?
- Hvad gør I, hvis I finder tegn på, at nogen allerede har været inde? · stopper I og ringer, eller skriver I det i rapporten?
- Har I en ansvarsforsikring? · og hvad står der i aftalen om ansvar?
Det sidste spørgsmål handler om vilkår, som ledelsen bør have set, før den skriver under. Svaret om tegn på indbrud er særlig vigtigt, fordi det er en situation, hvor ledelsen skal kunne handle hurtigt. → Testens egne risici
Spørgsmål om leverancen
Den sidste gruppe handler om, hvad ledelsen sidder med bagefter.
- Hvad indeholder rapporten? · er der et resumé, ledelsen kan læse uden IT?
- Får vi en gennemgang? · og kan ledelsen deltage?
- Er der mulighed for at få kontrolleret rettelserne? · og hvad kræver det?
- Kan vi se et eksempel? · en anonymiseret prøve siger mere end en beskrivelse.
Et eksempel på et resumé viser hurtigt, om testeren kan skrive til en ledelse, eller om alt bliver i det tekniske. → Leverancen set fra ledelsen
Et tænkt eksempel
Bestyrelsen i en mellemstor ingeniørvirksomhed har bedt direktionen om en test af tegningsarkivet, som indeholder kundernes projekter. IT-chefen har fundet en tester og lagt et tilbud frem. Direktøren beder om et møde på en halv time, før tilbuddet godkendes.
På mødet spørger direktøren, hvem der skal udføre arbejdet, hvordan tegningerne beskyttes, hvis testeren får adgang til dem, og hvad der sker, hvis testeren finder spor efter en uvedkommende. Testeren svarer klart på de to første. På det tredje er svaret, at det vil stå i rapporten. Direktøren beder om, at det i stedet skrives ind i aftalen, at testeren stopper og ringer til IT-chefen med det samme. Først derefter godkendes tilbuddet. Hele mødet tager under en halv time, og direktøren kan bagefter forklare bestyrelsen, hvem der har fået adgang til arkivet, og på hvilke vilkår.
Det skal I lade være med
- At overlade godkendelsen til indkøb alene · tilladelsen er ledelsens.
- At acceptere et firmanavn uden personer · spørg, hvem der faktisk tester.
- At se bort fra fortroligheden · rapporten er et af virksomhedens mest følsomme dokumenter.
- At springe spørgsmålet om indbrudsspor over · det er dér, ledelsen skal kunne handle.
- At imponeres af lange lister over kunder · diskretion er et bedre tegn.
Hvad kan og ikke kan konkluderes
Svarene giver ledelsen et indtryk af testerens erfaring, omhu og evne til at kommunikere, og de afklarer, hvem der gør hvad, hvis noget går skævt. De kan ikke garantere, at testeren finder det vigtigste, og de erstatter ikke IT’s faglige vurdering af metoden. Ledelsen godkender på et bedre grundlag, men ikke på et sikkert.
Tjekliste før ledelsen siger ja
- ☐ Ved vi, hvilke personer der udfører testen?
- ☐ Er det klart, hvordan resultatet opbevares, sendes og slettes?
- ☐ Er der aftalt, hvad der sker ved driftsforstyrrelser og tegn på indbrud?
- ☐ Har vi set et eksempel på et resumé?
- ☐ Er tilladelsen skriftlig og afgrænset?
Kilder
- Straffeloven (LBK nr. 1294 af 2025), § 263, stk. 1: uberettiget adgang til en andens datasystem.
- NCSC (UK): Penetration testing: tredjeparts test bør kun udføres af kvalificerede og erfarne folk.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Uvildighed · Skal ledelsen deltage i møderne med testeren?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
