Sikkerhedstest eller nye sikkerhedsløsninger: hvad skal pengene gå til først?

Når budgettet til sikkerhed er begrænset, kan ledelsen stå med to forslag på bordet: en test, der skal vise, hvor det står værst til, og en ny løsning, der skal lukke et hul, nogen allerede har peget på. Begge koster penge, og begge kan forsvares. Svaret afhænger af, hvor meget ledelsen allerede ved. Kender I problemet, kan pengene med fordel bruges på at løse det. Ved I ikke, hvor problemerne er, giver det mere mening at få et billede først. Det svære er at være ærlig om, hvilken af de to situationer virksomheden befinder sig i.

Hvad ved vi allerede?

Det første spørgsmål er ikke, hvad der er bedst, men hvad ledelsen allerede har viden om. Der er groft sagt tre situationer.

Kendte mangler · IT, revisor eller en tidligere test har peget på konkrete forhold, som ikke er rettet.
Formodede mangler · der er en fornemmelse af, at noget ikke er i orden, men ingen dokumentation.
Ukendt billede · ingen har set på sikkerheden udefra, og ledelsen ved ikke, hvor de største risici er.

I den første situation er en ny test ikke nødvendigvis det bedste næste skridt. Den vil formentlig finde de samme forhold igen, og pengene er bedre brugt på at rette dem. I den tredje situation er det omvendt: en investering uden grundlag risikerer at ramme ved siden af. Den midterste situation kræver en afvejning. Her kan et mindre, afgrænset testforløb af det område, mistanken handler om, være nok til at afgøre, om fornemmelsen holder, før der bruges penge på en løsning. Hvis mistanken bekræftes, ved ledelsen samtidig mere præcist, hvad løsningen skal kunne. → Har vi gjort, hvad vi kunne?

Når pengene bør gå til løsningen først

Der er situationer, hvor ledelsen ikke behøver en test for at vide, hvad der skal gøres.

Fundene fra sidste test er ikke rettet · ret dem, før der bestilles en ny.
Grundlæggende tiltag mangler, og det vides · fx hvis leverandøren har oplyst, at noget centralt ikke er sat op, eller at et system ikke længere opdateres.
En kunde eller myndighed har stillet et konkret krav · som virksomheden ved, at den ikke opfylder.
Der er sket en hændelse · og årsagen er kendt.

I disse tilfælde kan en test stadig være nyttig senere, når rettelserne er på plads. Den kan så vise, om det, der blev købt eller ændret, virker. → Virker de sikkerhedsinvesteringer, vi allerede har gjort?

Når testen bør komme først

Testen bør komme først, når ledelsen ikke kan pege på, hvor risikoen er størst, eller når flere forslag konkurrerer om de samme penge. Den er også det rigtige første skridt, når en leverandør foreslår en løsning, og ingen uafhængig har vurderet behovet. Hvordan testen bruges som grundlag for netop den investering, er beskrevet særskilt. → Test før I investerer i ny sikkerhed

NCSC i Storbritannien beskriver penetrationstest som en måde at få sikkerhed for, at virksomhedens egen håndtering af svagheder virker, ikke som den primære måde at finde svagheder på. Det er en vigtig nuance for ledelsen. Testen giver mest, når der allerede er gjort et grundlæggende arbejde, og når den bruges til at kontrollere, om arbejdet holder.

Den falske modsætning

Valget behøver ikke være enten eller. Et lille, afgrænset testforløb kan sagtens gå forud for en stor investering, og en del af budgettet kan reserveres til de rettelser, testen peger på. Det, der skal undgås, er at bruge hele budgettet på det ene, så der ikke er noget tilbage til det andet. En test uden penge til at handle på resultatet giver kun en liste. En investering uden et grundlag giver kun et håb. → Afsæt penge til rettelserne

Det er også værd at huske, at nogle af de vigtigste tiltag ikke er løsninger, der skal købes. Oprydning i adgange, bedre aftaler med leverandører og klare ansvarsforhold koster tid og ledelsesopmærksomhed, ikke licenser. En test kan pege på netop den slags forhold.

Hvem skal give ledelsen rådet?

Når ledelsen skal vælge, er det vigtigt at vide, hvem der rådgiver. En leverandør af sikkerhedsprodukter har en interesse i, at pengene går til produkter. En tester har en interesse i, at der testes. IT-afdelingen kan have sine egne ønsker, som ikke nødvendigvis er forkerte, men som også bør begrundes. Ledelsen bør derfor søge et råd fra nogen, der ikke tjener på det ene valg frem for det andet, eller i det mindste være bevidst om den interesse, rådgiveren har. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber, men det fritager ikke ledelsen for selv at stille spørgsmålene. → Uvildighed

Et tænkt eksempel

En regional rejsearrangør har afsat et beløb til sikkerhed i år. IT-chefen foreslår en ny løsning til at overvåge netværket. Bestyrelsen har samtidig bedt om en ekstern test, fordi en stor samarbejdspartner har spurgt.

Direktøren spørger, hvad der allerede er kendt. Det viser sig, at en gennemgang fra året før pegede på gamle konti og manglende opdateringer i bookingsystemet, og at intet af det er rettet. Ledelsen beslutter at bruge første halvdel af året på at rette de kendte forhold og først derefter bestille en afgrænset test af bookingsystemet. Overvågningsløsningen tages op igen, når testresultatet foreligger, og kan begrundes ud fra det.

Det skal I lade være med

At bestille en ny test, mens de gamle fund ligger urørt · ret det kendte først.
At købe en løsning uden at kunne sige, hvad den løser · så kan ingen vurdere den bagefter.
At bruge hele budgettet på det ene · test og rettelser hænger sammen.
At lade sælgeren af løsningen vurdere behovet · søg et uafhængigt råd.
At tro, at et produkt erstatter en test · det gør det ikke. → Nye sikkerhedsprodukter gør testen overflødig

Hvad kan og ikke kan konkluderes

Der findes ingen fast regel for, om testen eller løsningen kommer først. Rækkefølgen afhænger af, hvad ledelsen ved, og hvad den ikke ved. En test kan give et bedre grundlag for at vælge, men den kan ikke vælge for ledelsen. En løsning kan lukke et kendt hul, men den kan ikke vise, om der er andre. Det er ledelsens opgave at vurdere, hvor virksomheden står, og fordele pengene derefter.

Tjekliste før pengene fordeles

☐ Har vi kendte fund, der ikke er rettet?
☐ Kan vi pege på, hvor risikoen er størst, uden at gætte?
☐ Ved vi, hvilket problem den foreslåede løsning skal løse?
☐ Er der afsat penge til at handle på en test?
☐ Kommer rådet fra nogen, der ikke tjener på valget?

Kilder

NCSC, Penetration testing: penetrationstest som en måde at få sikkerhed for, at virksomhedens egen håndtering af svagheder virker, ikke som den primære måde at finde svagheder på.

Senest gennemgået: oktober 2026.