En sikkerhedstest kan let komme til at ligne en eksamen. Der er en udefrakommende, der vurderer, en rapport med en dom, og en ledelse, der venter på resultatet. Så er det naturligt at tale om at bestå eller dumpe. Men en sikkerhedstest er bygget til at finde svagheder, så de kan rettes, ikke til at give en karakter. Når nogen i organisationen føler, at testen skal bestås, ændrer det adfærden omkring den, og det gør resultatet mindre værd for ledelsen. Det er derfor værd at rydde misforståelsen af vejen, før testen bestilles.
Hvor eksamensbilledet kommer fra
Der er flere gode grunde til, at billedet opstår. Kunder beder om en rapport og kan finde på at spørge, om testen gik godt. Revisioner og certificeringer har en afslutning, hvor noget godkendes. Og i andre sammenhænge i en virksomhed bliver præstationer målt og vurderet.
Hertil kommer, at den, der har ansvaret for systemerne, kan opleve testen som en vurdering af sit eget arbejde. Det er en helt menneskelig reaktion. En rapport med fund kan føles som kritik, selv når den ikke er ment sådan. Ingen behøver have gjort noget forkert, for at billedet opstår. Men ledelsen kan gøre meget for at ændre det. → Ingen syndebukke
Hvad der sker, når testen skal bestås
Når der er noget at bestå, opstår der et pres for at klare sig godt. Det pres kan vise sig på flere måder, som hver især svækker testen:
- Omfanget bliver mindre · de systemer, man er usikker på, holdes ude af testen.
- Forberedelsen bliver kosmetisk · der ryddes op lige før testen, så billedet bliver pænere end hverdagen.
- Resultatet bliver forhandlet · der lægges pres på at nedgradere fund eller skrive dem mildere.
- Fund bliver holdt tilbage · rapporten deles ikke, eller kun et udvalg af den når ledelsen.
- Testeren bliver valgt efter mildhed · den, der finder mindst, bliver foretrukket næste gang.
Hver af de fem ting gør det lettere at bestå og sværere for ledelsen at vide, hvor virksomheden står. Til sidst har virksomheden betalt for en test, der fortæller ledelsen det, den gerne ville høre. Det farlige er, at ingen af de fem ting behøver være bevidste. De kan ske i god tro, fordi alle gerne vil levere et godt resultat til ledelsen. → Ledelsens valg og omfanget
Hvorfor en test uden fund ikke er en succes
Hvis formålet er at bestå, ser en rapport uden fund ud som det bedst tænkelige resultat. Men en rapport uden fund kan betyde flere ting. Det kan betyde, at det afprøvede er i god stand. Det kan også betyde, at omfanget var snævert, at tiden var kort, eller at testen ikke ramte det, der betyder mest.
En rapport med fund er omvendt ikke et nederlag. Den giver ledelsen noget at handle på, før nogen andre finder det samme. Fund, der bliver rettet, er det, virksomheden faktisk får for pengene. Ledelsen kan derfor med god grund spørge mere til en rapport uden fund end til en med. Spørgsmålene kan være enkle: hvad var med i testen, hvad var ikke, og hvor lang tid havde testeren? Svarene viser, om den rene rapport er et udtryk for god sikkerhed eller for en smal opgave. → Hvad testen kan svare på
Fra eksamen til læring
Ledelsen sætter tonen. Hvis ledelsen spørger, om testen gik godt, hører organisationen et spørgsmål om at bestå. Hvis ledelsen spørger, hvad vi lærte, og hvad vi gør nu, hører organisationen noget andet.
Ledelsen kan flytte fokus med nogle få valg:
- Formålet skrives ned før testen · hvad vil ledelsen vide, og hvad skal resultatet bruges til?
- Omfanget besluttes af ledelsen · så usikre systemer ikke holdes ude for at gøre resultatet pænere.
- Hele rapporten når de relevante personer · ikke kun et udvalg.
- Opfølgningen måles · på, om fundene bliver rettet, ikke på, hvor få der var.
- Den ansvarlige bliver anerkendt · for at finde og rette, ikke for at undgå fund.
Det sidste punkt er måske det vigtigste. Den, der har fået systemerne testet og fundene rettet, har gjort det, ledelsen bad om. → Det første testresultat
Kunder kan stadig spørge, om testen gik godt, også når ledelsen selv har lagt eksamensbilledet fra sig. Her er det fristende at vende tilbage til eksamensbilledet. Et bedre svar beskriver, hvad der er testet, hvornår, og hvordan fundene er håndteret. Det giver kunden noget at forholde sig til, og det kræver ikke, at virksomheden lader, som om der ikke var noget at finde. → Én test, flere modtagere
Et tænkt eksempel
En virksomhed, der driver et kundeloyalitetsprogram for detailbutikker, skal have testet sin platform. Udviklingschefen foreslår at holde det ældste modul ude, fordi det skal udskiftes, og fordi det sikkert vil give mange fund.
Direktøren spørger, hvor længe modulet skal køre endnu, og hvilke kundeoplysninger det rummer. Svaret er, at det vil være i drift et stykke tid endnu og rummer medlemmernes kontaktoplysninger. Ledelsen beslutter at tage modulet med i testen og siger tydeligt, at fund i det ikke vil blive holdt mod nogen. Rapporten viser flere fund i modulet end i resten af platformen. Fundene får en plan, og udskiftningen fremrykkes. Ved næste ledelsesmøde nævner direktøren udviklingsteamet for at have fået det gamle modul afprøvet.
Det skal I lade være med
- At spørge, om testen gik godt · spørg, hvad I lærte, og hvad der skal ske nu.
- At lade omfanget skrumpe for at gøre resultatet pænere · ledelsen beslutter omfanget.
- At måle på antallet af fund · mål på, om fundene bliver rettet.
- At forhandle om alvoren af fund for at pynte på rapporten · spørg til begrundelsen i stedet.
- At vælge testeren efter, hvem der finder mindst · vælg efter, hvem der svarer på jeres spørgsmål.
Hvad kan og ikke kan konkluderes
En sikkerhedstest siger noget om, hvordan det afprøvede holdt på det tidspunkt, testen blev udført. Den giver ikke en karakter, og et resultat uden fund er ikke et bevis på, at alt er i orden. Når testen bruges til læring frem for eksamen, får ledelsen et mere ærligt billede og et bedre grundlag for at prioritere. → Kan testresultatet bruges imod os?
Tjekliste før næste test
- ☐ Er formålet med testen skrevet ned af ledelsen?
- ☐ Er omfanget besluttet ud fra risiko og ikke ud fra ønsket om et pænt resultat?
- ☐ Har ledelsen sagt tydeligt, at fund ikke bliver holdt mod nogen?
- ☐ Når hele rapporten de personer, der skal handle på den?
- ☐ Bliver opfølgningen målt på rettelser og ikke på antallet af fund?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Det er tryggere ikke at vide det · Ledelsen behøver kun at vide, om det er godt eller skidt
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
