Teste nu eller vente til efter omlægningen?

Når en større omlægning er på vej, virker det oplagt at vente med sikkerhedstesten, til det nye er på plads. Nogle gange er det det rigtige valg, men ikke altid. Afvejningen hviler på to spørgsmål: hvor længe virksomheden vil leve med det nuværende uden at kende tilstanden, og om et billede af det nuværende kan bruges til at stille krav til det nye. Er ventetiden lang, eller skal det gamle køre videre ved siden af det nye, er der god grund til at teste nu.

Det er en ledelsesbeslutning, fordi den handler om risiko over tid og om penge. IT kan vurdere, hvad der teknisk giver mening. Ledelsen skal tage stilling til, om det er acceptabelt ikke at vide noget i den periode, omlægningen tager.

Hvad tæller som en omlægning?

Omlægninger kan have forskellige former, og de påvirker afvejningen forskelligt.

Skift af driftsleverandør · ansvaret for systemerne flytter til en ny part.
Flytning til cloud · systemerne er de samme, men de står et andet sted, og ansvaret fordeles på en ny måde.
Nyt forretningssystem · ERP, økonomi eller kundestyring udskiftes eller samles.
Ny organisering · afdelinger lægges sammen, eller IT flyttes ud eller ind.
Ny måde at arbejde på · hjemmearbejde, nye samarbejdsværktøjer eller nye adgange for partnere.

Fælles for dem er, at det billede, en test giver af det nuværende, kan blive forældet. Det er argumentet for at vente. Men de har også det til fælles, at de kan tage længere tid end planlagt, og at det gamle derfor kan blive stående længere, end nogen regnede med.

Tag et tænkt eksempel. En revisionsvirksomhed har besluttet at flytte sit dokumentarkiv og sit økonomisystem til en ny driftsleverandør. Flytningen er planlagt til efter næste sæson, men den nye leverandør er endnu ikke valgt. IT foreslår at vente med testen, til flytningen er sket. Ledelsen spørger, hvor længe det gamle så kører uden at være undersøgt, og om fund i dag kunne bruges, når kravene til den nye leverandør skal skrives. Svarene ændrer beslutningen: en afgrænset test af det, der vender ud mod internettet, nu, og en bredere test efter flytningen.

Argumenterne for at vente

At vente er rimeligt, når omlægningen er tæt på, når det gamle forsvinder helt, og når testen af det nye er planlagt og budgetteret. Så ville en test nu bruge penge på et billede, der kun gælder kort, og fund i det gamle ville måske aldrig blive rettet, fordi systemet alligevel skal udskiftes.

Det er også rimeligt at vente, hvis organisationen ikke har kræfter til både omlægning og test. En test kræver tid fra IT og fra leverandøren, og hvis den tid tages fra omlægningen, kan det forsinke det hele.

Argumenterne for at teste nu

At teste nu er relevant, når der er lang tid til, at det nye er på plads, eller når datoen er usikker. I hele den periode kører virksomheden videre på det gamle uden at kende tilstanden. Det er en risiko, ledelsen tager, og den bør være bevidst. Skriv den gerne ned i referatet, så det står klart, at ventetiden er valgt og ikke bare er sket. Så kan beslutningen tages op igen, hvis datoen for omlægningen flytter sig.

Det er også relevant, hvis dele af det gamle skal fortsætte efter omlægningen. Systemer, der flytter med, tager deres svagheder med sig. En test nu kan vise, hvad der skal ryddes op i, før flytningen, så problemerne ikke bliver bygget ind i den nye løsning.

En test nu kan endelig give et udgangspunkt. Når det nye er på plads og testet, kan ledelsen se, om omlægningen har gjort sikkerheden bedre eller dårligere. Uden et billede af det gamle er det svært at sige.

Brug testen til at stille krav til det nye

En af de mest nyttige grunde til at teste før en omlægning er, at resultatet kan bruges i forhandlingen med den nye leverandør eller i kravene til det nye system. Hvis testen viser, at adgangen til kundedata er for bred i dag, kan det skrives ind som et krav til den nye løsning. → Krav til IT-kontrakten

Den praktiske side af, hvad der skal testes før og efter et leverandørskifte eller en flytning til cloud, er beskrevet på penetrationtest.dk. Ledelsens del er at beslutte, om virksomheden har brug for begge billeder, eller om ét er nok.

Hvis der kun er råd til én test

Når en omlægning presser budgettet, kan valget blive enten nu eller efter. Som udgangspunkt er testen efter omlægningen den vigtigste, fordi det er den løsning, virksomheden skal leve med fremover. Men hvis omlægningen trækker ud, eller hvis det gamle fortsætter i lang tid ved siden af det nye, kan en mindre test nu være bedre end ingen viden i en lang periode.

En mulighed er at dele indsatsen: en afgrænset test nu af det, der er mest udsat, og en bredere test af det nye, når det er klar. → Én stor test eller flere mindre?

Uanset valget skal der være afsat penge til rettelser. En test før omlægningen uden budget til at rette noget giver kun en liste over kendte problemer. → Budget til rettelser

Det skal I lade være med

At vente uden at sætte en dato · en omlægning kan trække ud, og ventetiden kan blive længere end planlagt.
At antage, at det nye automatisk er mere sikkert · nye løsninger har deres egne svagheder.
At teste det gamle uden at bruge resultatet · brug fundene til at stille krav til det nye.
At glemme det, der flytter med · gamle systemer og adgange tager deres svagheder med.
At lade IT afgøre det alene · ventetidens risiko er ledelsens at tage.

Hvad kan og ikke kan konkluderes

En test før omlægningen viser, hvordan det gamle stod på testtidspunktet. Den kan bruges til at rydde op og stille krav, men den siger intet om, hvordan det nye bliver. En test efter omlægningen viser, hvordan det nye står, men den kan ikke vise, om omlægningen har forbedret noget, hvis der ikke er et billede at sammenligne med. Valget handler derfor om, hvilke spørgsmål ledelsen vil kunne svare på, og hvornår. → Hvad vil vi vide?