Status på rettelserne: hvad ledelsen bør få at se

Efter en sikkerhedstest får ledelsen en status på rettelserne, men formatet er ikke altid besluttet. Resultatet kan blive en lang liste, som kun IT forstår, eller en enkelt grøn markering, som ikke siger noget. Svaret på, hvad ledelsen bør se, hviler på en enkel tanke: status skal give ledelsen grundlag for at træffe beslutninger, ikke kun fortælle, at der bliver arbejdet. Det kræver, at ledelsen selv bestiller formatet, holder det ens fra gang til gang og aftaler på forhånd, hvad der er acceptabelt.

Status er et beslutningsgrundlag

En statusrapport har to formål. Den skal vise, om planen bliver fulgt, og den skal bringe de spørgsmål frem, som kun ledelsen kan afgøre: penge, prioritering mellem projekter, accept af en risiko eller pres på en leverandør. Hvis status ikke fører til en beslutning, når der er behov for det, er den kun til orientering.

Det betyder også, at status skal skrives til ledelsen og ikke til teknikerne. Fundenes tekniske betegnelser kan stå i et bilag, men selve status bør bruge rapportens resumé som udgangspunkt og beskrive hvert alvorligt fund med det system eller den forretningsfunktion, det berører. Så kan et medlem af direktionen uden IT-baggrund følge med fra gang til gang og stille de rigtige spørgsmål.

Det britiske National Cyber Security Centre (NCSC) skriver i sit materiale til bestyrelser, at rapporteringen om sikkerhed bør understøtte gode beslutninger, og at ledelsen kan forvente at se målepunkter med et aftalt spænd for, hvad der er acceptabelt. Som eksempler nævnes blandt andet tiden fra en svaghed opdages, til den er håndteret. Pointen for en direktion er ikke det enkelte tal, men at grænsen er aftalt, før status bliver læst. → Kan sikkerhed måles?

Fem spørgsmål, status skal besvare

En kort status efter en test kan bygges op om fem spørgsmål, som går igen hver gang:

Hvad er håndteret siden sidst? · med angivelse af, om fundene er efterprøvet eller kun meldt rettet.
Hvad er forsinket? · med årsag og en ny dato.
Hvad står fortsat åbent? · med ejer og frist for hvert af de alvorlige fund.
Hvad er accepteret? · fund, der bevidst ikke rettes, og hvem der har besluttet det.
Hvad skal ledelsen tage stilling til? · konkrete beslutninger, formuleret som spørgsmål.

Det sidste punkt er det, der adskiller en ledelsesstatus fra en driftsoversigt. Står der intet under det, bør ledelsen spørge, om det virkelig er sandt.

Punktet om accepterede fund fortjener særlig opmærksomhed. Et fund, der flyttes fra listen over åbne fund til listen over accepterede, forsvinder let af syne. Bed om, at accepten står med navnet på den, der har besluttet den, og en dato for, hvornår den skal vurderes igen. Ledelsen bør selv have godkendt de accepter, der rækker ud over den ramme, den har givet IT. → Bliver fundene rettet?

Samme format hver gang

Når opbygningen skifter fra møde til møde, kan ledelsen ikke se udviklingen. Et fund, der var rødt sidst, kan være forsvundet fra listen, uden at nogen har forklaret hvorfor. Beslut derfor formatet én gang og hold fast i det, indtil opfølgningen er afsluttet.

Et fast format gør det også lettere for den, der skriver status. IT-chefen eller leverandøren ved, hvad der forventes, og bruger ikke tid på at finde en ny form. Hvordan IT-chefen selv kan bygge rapporteringen op, er beskrevet fra IT-afdelingens side på penetration-test.dk. Ledelsens opgave er at sige, hvad den har brug for. → IT rapporterer til ledelsen

Hvor ofte, og hvor detaljeret?

Der er ingen fast regel for, hvor ofte status skal komme. Det afhænger af, hvor alvorligt resultatet var, hvor mange parter der skal rette, og hvor hurtigt ledelsen har besluttet, at de alvorlige fund skal håndteres. Efter et alvorligt resultat kan status høre til hvert direktionsmøde. Når de alvorlige fund er lukket, kan den indgå i den almindelige risikorapportering.

Detaljeringen bør følge modtageren. Direktionen har brug for at kende de alvorlige fund ved navn. Bestyrelsen har brug for et samlet billede og de beslutninger, der ligger hos den. Det kan være en fordel, at bestyrelsens opsummering bygger direkte på direktionens status, så de to versioner ikke kan fortælle forskellige historier. → Sikkerhed som punkt på direktionsmødet

Farver og procenter kræver en forklaring

En status med grøn, gul og rød kan være nyttig, hvis det er aftalt, hvad farverne betyder. Uden en aftale bliver farven et udtryk for den skrivendes fornemmelse. Det samme gælder en procent for, hvor meget der er rettet. Ti rettede fund ud af tolv lyder godt, men det siger intet, hvis de to åbne er de alvorligste.

Bed derfor om, at de alvorlige fund altid står enkeltvis, også når resten opsummeres. Og spørg, hvem der har sat farven. Den, der skal rette, er ikke den bedste til at vurdere, om rettelsen er gået godt nok. → Farvekoder og scorer

Et tænkt eksempel

Et rederi med kontor og bookingsystem har fået testet sine systemer. Direktionen beslutter, at status skal bestå af én side med de fem faste spørgsmål og komme før hvert direktionsmøde.

Første status viser fire alvorlige fund: to er efterprøvet, ét er meldt rettet, og ét er forsinket, fordi bookingsystemets leverandør først kan rette ved næste opdatering. Under spørgsmålet om beslutninger står, om direktionen vil acceptere forsinkelsen eller bede leverandøren om en midlertidig løsning. Direktionen vælger den midlertidige løsning og beder om, at det meldt rettede fund efterprøves inden næste møde. Bestyrelsen får en kort opsummering med de samme fire fund og beslutningen om leverandøren.

Det skal I lade være med

At lade IT vælge formatet alene · ledelsen bestiller den status, den har brug for.
At skifte opbygning undervejs · så forsvinder udviklingen.
At acceptere en status uden beslutningspunkter · spørg, om der virkelig intet er at afgøre.
At læse farver uden en aftalt betydning · grænserne skal være besluttet på forhånd.
At lade de alvorlige fund forsvinde i en samlet procent · de skal stå enkeltvis.

Hvad kan og ikke kan konkluderes

En god status viser, om opfølgningen skrider frem, og hvor ledelsen skal handle. Den viser ikke, om rettelserne virker, medmindre den skelner mellem efterprøvede og meldte rettelser. Og den siger intet om svagheder, som testen ikke undersøgte.

Tjekliste til statusformatet

☐ Er formatet besluttet af ledelsen og ens fra gang til gang?
☐ Besvarer status de fem faste spørgsmål?
☐ Står de alvorlige fund enkeltvis med ejer og frist?
☐ Er det aftalt, hvad der er acceptabelt, før status bliver læst?
☐ Er det besluttet, hvornår status flyttes til den almindelige risikorapportering?