En sikkerhedstest kan pludselig skifte karakter, hvis testeren støder på spor af, at en uvedkommende har været eller stadig er i systemerne. Fra det øjeblik er der tale om en mulig sikkerhedshændelse, og svaret på, hvad ledelsen skal gøre, hviler på én skelnen: testen stopper, og håndteringen af hændelsen begynder. De første beslutninger handler derfor ikke om rapporten, men om ledelse, spor, adgang til hjælp, kommunikation og de pligter, virksomheden kan have over for myndigheder, kunder og forsikring.
En anden situation end et alvorligt fund
Et alvorligt fund betyder, at en dør står åben. Tegn på indbrud betyder, at nogen måske er gået ind ad den. Det første kan rettes i ro og orden efter en plan. Det andet kræver, at nogen leder et forløb, hvor der skal handles under tidspres og med ufuldstændig viden.
Testeren kan ikke altid afgøre, hvad sporene betyder. Det kan være en tidligere tester, en leverandør, der har glemt at rydde op, eller en reel angriber. Netop derfor skal sagen over til dem, der kan undersøge den, og ledelsen skal vide, at den nu står med en beslutning, der ikke kan vente til slutmødet. → Hvad ledelsen kan forvente at høre, mens testen står på
De første beslutninger
Ledelsen behøver ikke forstå sporene for at træffe de rigtige beslutninger. Den skal sørge for, at nogen har mandat til at handle.
- Hvem leder · udpeg én person med mandat til at træffe beslutninger og samle informationen. I en mindre virksomhed kan opgaven ligge hos direktøren selv.
- Stop testen · testaktivitet kan blande sig med de spor, der skal undersøges. Bed testeren om at stoppe og nedskrive, hvad der er set og hvornår.
- Hvem kaldes ind · driftsleverandøren, specialister i hændelseshåndtering, forsikringen, hvis policen har en hotline, og eventuelt en advokat.
- Hvad sker der med driften · at lukke systemer kan begrænse skaden og samtidig stoppe forretningen. Det er en forretningsbeslutning, som ikke bør overlades til den, der tilfældigvis sidder ved tastaturet.
- Hvem skal vide det · internt så få som muligt i første omgang, men nok til at handle.
Det britiske NCSC skriver i sin vejledning til bestyrelser, at roller og beslutningskompetence bør være lagt fast på forhånd, fordi en krise svækker evnen til at træffe beslutninger. Hvis det ikke er sket, er det den første opgave at gøre det nu. → Beredskabet, hvis testen viser det værste
Pligter, der kan blive aktuelle
Teksten er ikke juridisk rådgivning. Hvilke pligter der gælder, afhænger af virksomheden, dens data og dens aftaler, og det bør afklares med rådgivere, så snart der er grund til mistanke.
- Persondata · hvis personoplysninger kan være berørt, skal den dataansvarlige efter Datatilsynets vejledning anmelde bruddet uden unødig forsinkelse og om muligt inden 72 timer, medmindre det er usandsynligt, at bruddet indebærer en risiko for personerne. → Persondata og sikkerhedstest
- NIS2 · virksomheder, der er omfattet, kan have pligt til at underrette myndighederne om væsentlige hændelser. → NIS2 og ledelsen
- Forsikring · en police kan kræve hurtig anmeldelse og stille betingelser for, hvem der må inddrages.
- Kunder og samarbejdspartnere · kontrakter kan indeholde krav om varsling.
Uret begynder at gå, når virksomheden bliver opmærksom på hændelsen, ikke når den er færdigundersøgt. Det er en god grund til, at ledelsen får besked med det samme.
Kommunikation med én stemme
I de første timer er der mere usikkerhed end viden. Det er fristende at sige for meget for tidligt, eller slet ingenting. Ingen af delene hjælper. Medarbejdere, der ikke får besked, gætter, og gæt spreder sig hurtigt.
NCSC anbefaler at udpege navngivne personer til at føre virksomhedens budskab internt og eksternt. Det betyder i praksis, at én person godkender, hvad der siges, og at alle andre henviser til den person. Budskabet kan være kort: vi undersøger et muligt sikkerhedsproblem, vi har sat hjælp i gang, og vi vender tilbage. Det, der ikke vides endnu, skal ikke formuleres, som om det vides. → Kundernes tillid efter en sikkerhedshændelse
Testerens rolle fra nu af
Testeren har set noget vigtigt, men er ikke hyret til at undersøge en hændelse. Testerens bidrag er en præcis beskrivelse af, hvad der blev observeret, hvornår og i hvilke systemer. Det skal overleveres til dem, der overtager, og testeren skal ikke selv forfølge sporene.
Hvad der sker med resten af testen, beslutter ledelsen, når hændelsen er afklaret. Nogle gange giver det mening at genoptage den senere med et ændret formål. Hvordan selve forløbet håndteres, når en tester møder spor af en fremmed, er beskrevet på opslagsværket penetrationtest.dk.
Et tænkt eksempel
En møbelproducent med webshop og eget lager får testet sin kundeportal. På andendagen ringer testeren til direktøren: på en af serverne ligger der filer og en brugerkonto, som ingen i IT kan forklare. Testeren stopper arbejdet.
Direktøren udpeger økonomichefen til at lede forløbet, ringer til forsikringens hotline og beder driftsleverandøren om at bevare logfiler uden at slette noget. Der tages stilling til, om webshoppen skal lukkes. Ledelsen vælger at holde den åben under skærpet opsyn, indtil specialisterne har set på sagen. Der skrives et kort notat om hver beslutning og tidspunktet for den.
To dage senere viser det sig, at kontoen stammer fra en tidligere leverandør, som aldrig fik lukket sin adgang. Det var ikke et angreb, men det kunne have været. Testen genoptages ugen efter, og spørgsmålet om leverandøradgange kommer på bestyrelsens næste dagsorden.
Det skal I lade være med
- At lade testeren fortsætte for at finde ud af mere · det er en anden opgave, og spor kan gå tabt.
- At vente på vished, før ledelsen informeres · frister og beslutninger kan begynde at løbe med det samme.
- At lade IT eller leverandøren træffe forretningsbeslutninger alene · at lukke eller holde systemer åbne er ledelsens valg.
- At slette eller rydde op i ren refleks · det, der fjernes, kan være det, undersøgelsen har brug for.
- At sige mere udadtil, end der vides · det kan skulle trækkes tilbage senere.
- At glemme at skrive beslutningerne ned · ledelsen skal senere kunne forklare, hvad der skete og hvorfor.
Hvad kan og ikke kan konkluderes
Tegn på en fremmed i systemerne betyder, at der skal undersøges, ikke at virksomheden er ramt af et alvorligt angreb. Testen kan ikke sige, hvad der er sket, hvor længe det har stået på, eller hvad der er taget. Det kan kun en undersøgelse af hændelsen. Ledelsen kan derimod sikre, at de rigtige beslutninger bliver truffet hurtigt og af de rigtige personer. → Ledelsens godkendelse af testen
Tjekliste: de første timer
- ☐ Er der udpeget én person med mandat til at lede forløbet?
- ☐ Er testen stoppet, og har testeren beskrevet det observerede?
- ☐ Er driftsleverandør, forsikring og eventuelle specialister kontaktet?
- ☐ Er det afklaret, om personoplysninger kan være berørt?
- ☐ Er der truffet en beslutning om driften, og er den skrevet ned?
- ☐ Er det besluttet, hvem der taler internt og eksternt?
Kilder
- NCSC, Cyber Security Toolkit for Boards: Planning your response to cyber incidents: roller og beslutningskompetence lagt fast på forhånd; navngivne personer til kommunikation.
- Datatilsynet, Anmeld sikkerhedsbrud: den dataansvarliges anmeldelse uden unødig forsinkelse og om muligt inden 72 timer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Hvad ledelsen kan forvente at høre, mens testen står på · Leverandørrisiko
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
