Nogle investeringer i sikkerhed bliver besluttet på baggrund af en leverandørs præsentation, en nyhed om et angreb eller en fornemmelse af, at noget bør gøres. Det er ikke nødvendigvis forkerte investeringer, men ledelsen ved ikke altid, om pengene går til det, der betyder mest. En sikkerhedstest før investeringen giver et grundlag: den viser, hvor svaghederne faktisk er, og gør det muligt at vælge det, der løser et dokumenteret problem, frem for det, der lyder bedst på et salgsmøde.
Når investeringen kommer før spørgsmålet
Et forløb kan se sådan ud: en leverandør præsenterer en ny løsning, der lover at beskytte mod en bestemt type angreb. IT synes, det lyder fornuftigt. Ledelsen godkender købet, fordi det er svært at sige nej til mere sikkerhed. Et år senere er løsningen installeret, men ingen kan sige, om den har gjort virksomheden mere sikker, eller om pengene burde have været brugt et andet sted.
Problemet er ikke løsningen. Problemet er, at ingen spurgte, hvilken svaghed den skulle løse, og om det var den vigtigste. Investeringen kom før spørgsmålet. Det gør det også svært at vurdere bagefter, om købet var en succes, fordi der aldrig blev formuleret et mål, det kunne måles imod. → Nye sikkerhedsprodukter gør testen overflødig
Hvad en test kan sige om behovet
En sikkerhedstest kan vise, hvor angriberen faktisk kan komme ind, og hvad der kan nås derfra. Det giver ledelsen tre slags viden, der er nyttige før en investering.
- Hvor er hullerne? · de konkrete svagheder i de systemer, der betyder mest for forretningen.
- Hvad er årsagen? · om fundene skyldes manglende teknologi, mangelfuld opsætning af det, I har, eller arbejdsgange.
- Hvad virker allerede? · hvilke dele af det eksisterende forsvar holdt, da de blev afprøvet.
Den anden type viden kan være den mest værdifulde. Nogle fund handler ikke om manglende produkter, men om at de eksisterende løsninger ikke er sat op eller vedligeholdt, som de skulle. Her er den rigtige investering måske tid og kompetencer, ikke en ny licens. → Virker de investeringer, vi allerede har gjort?
Ressourcerne skal følge risikoen
Den britiske kodeks for ledelse af cyberrisici, som er udgivet af den britiske regering og NCSC, lægger op til, at ledelsen sikrer sig, at ressourcer bliver fordelt effektivt til at håndtere de risici, ledelsen har taget stilling til. Kodeksen er britisk og frivillig, men tanken er almindelig god styring: penge til sikkerhed skal bruges, hvor de gør mest gavn, og det kræver, at ledelsen ved, hvor det er.
En test er en af de mest direkte måder at få den viden på. Den giver ikke et svar på, hvad der skal købes, men den giver et grundlag for at stille de rigtige krav til den, der skal sælge eller levere løsningen. → Sikkerhedstest eller nye sikkerhedsløsninger
Sådan bruger ledelsen testen før købet
Hvis en større investering er på vej, kan ledelsen gøre testen til en del af beslutningsprocessen. Det kræver ikke, at investeringen udskydes længe, men at rækkefølgen bliver vendt om. Hvis købet haster, kan ledelsen i stedet aftale, at testen sker kort efter installationen, og at en del af betalingen afhænger af, at løsningen virker efter hensigten.
- Beskriv problemet · hvad er det, investeringen skal løse? Skriv det ned i forretningstermer.
- Test det område · bestil en test, der belyser netop det problem og de systemer, det handler om.
- Sammenlign · passer testens fund til det, investeringen lover at løse?
- Beslut · køb, juster eller vælg en anden løsning ud fra det, testen viste.
- Test igen · når løsningen er på plads, kan en senere test vise, om den virker som forventet.
Den sidste del er let at glemme, men den er vigtig. Den giver også ledelsen et argument over for bestyrelsen, når investeringen skal begrundes: her var problemet, her er det, vi gjorde, og her er dokumentationen for, at det virker. En investering, der ikke bliver efterprøvet, er en investering, ledelsen må tage på tro.
Et tænkt eksempel
En virksomhed, der driver en række tandlægeklinikker, overvejer at købe en ny løsning til at beskytte medarbejdernes computere. En leverandør har vist en overbevisende præsentation. Økonomidirektøren foreslår at teste kontornettet først.
Testen viser, at de alvorligste svagheder ikke ligger på computerne, men i den måde, adgangen til patientsystemet er sat op på, og i gamle konti, som aldrig er lukket. Ledelsen udskyder købet, bruger pengene på at rydde op i adgangene og beder leverandøren af patientsystemet om en plan. Et år senere viser en ny test, at de vigtigste forhold er rettet. Spørgsmålet om den nye løsning kan nu tages op igen, på et bedre grundlag. Måske er den stadig relevant, men nu ved ledelsen, hvad den skal løse, og kan stille krav til leverandøren ud fra det. → Økonomidirektøren og sikkerhedstesten
Hvad testen selv koster
En test er også en udgift, og ledelsen skal kunne begrunde den. Omfanget afhænger af, hvor mange systemer der skal med, hvor komplekse de er, og hvilket spørgsmål testen skal besvare. Et afgrænset spørgsmål om det område, investeringen skal dække, holder omfanget nede. Sammenlign testens omfang med investeringens størrelse: jo større og mere langvarig investeringen er, jo mere taler for at have et grundlag, før pengene bindes. Hvordan opgaverne vurderes, fremgår af Nielco IT’s side om pris og tilbud. → Sådan budgetterer ledelsen med sikkerhedstest
Det skal I lade være med
- At købe ud fra en præsentation alene · spørg, hvilken dokumenteret svaghed løsningen løser.
- At antage, at problemet er manglende teknologi · det kan lige så vel være opsætning, vedligeholdelse eller arbejdsgange.
- At teste alt før en enkelt investering · test det område, investeringen handler om.
- At springe testen efter installationen over · ellers ved ingen, om løsningen virker.
- At lade leverandøren af løsningen udføre testen · den, der sælger, bør ikke vurdere behovet.
Hvad kan og ikke kan konkluderes
En test før investeringen giver ledelsen et bedre grundlag for at vælge, men den peger ikke på et bestemt produkt. Den viser, hvor problemet er, ikke hvordan det bedst løses. Og en test kan ikke sige noget om trusler, der ikke handler om de systemer, der blev testet. Investeringen er stadig ledelsens beslutning. Testen gør den bare lettere at træffe og lettere at forklare, både internt og over for dem, der skal godkende budgettet.
Tjekliste før en større sikkerhedsinvestering
- ☐ Har vi beskrevet det problem, investeringen skal løse?
- ☐ Ved vi fra en test eller anden kontrol, at problemet findes?
- ☐ Har vi undersøgt, om eksisterende løsninger kan løse det bedre?
- ☐ Er det en uafhængig part, der har vurderet behovet?
- ☐ Har vi planlagt en test, når løsningen er på plads?
Kilder
- NCSC og UK Government, Cyber Governance Code of Practice: B3 om at ledelsen sikrer, at ressourcer fordeles effektivt til at håndtere de aftalte cyberrisici.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Er testen pengene værd? · Uvildighed
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
