Har vi testet én gang, er vi dækket

Når en sikkerhedstest er gennemført og fundene rettet, kan der opstå en stille antagelse i ledelsen: det område er klaret. Næste gang emnet kommer op, henviser nogen til testen, og diskussionen er slut. Men en test besvarer et spørgsmål om et bestemt sted på et bestemt tidspunkt. Når virksomheden ændrer sig, ændrer svaret sig også, uden at nogen siger det højt. Problemet er ikke testen. Det er, at beslutninger fortsat bygger på den, efter at forudsætningerne er væk. Ledelsens opgave er at opdage, hvornår det sker.

Hvorfor antagelsen er så fristende

Antagelsen giver mening set fra ledelsens stol. Testen var en investering, der blev besluttet, betalt og fulgt op. Der kom en rapport, fundene blev rettet, og der blev måske meldt tilbage til bestyrelsen eller en kunde. Det har karakter af et afsluttet projekt.

Hertil kommer, at der altid er nye emner på dagsordenen. Når et område er håndteret, er det naturligt at gå videre. Ingen i ledelsen har gjort noget forkert ved at regne testen for afsluttet. Det er bare ikke det samme som at regne virksomheden for dækket. Testen var et svar på et spørgsmål, og spørgsmålet bliver ved med at være relevant, også når svaret er gemt i en mappe.

Hvor det gamle svar bliver brugt

Det gamle testresultat kan leve videre i ledelsens beslutninger på flere måder, også uden at nogen tænker over det:

I svar til kunder · rapporten bliver nævnt som dokumentation, også efter at systemet er ændret.
I budgettet · en ny test bliver fravalgt, fordi området blev testet for nylig, selv om det var længe siden.
I risikovurderingen · et område bliver vurderet lavt, fordi testen ikke fandt meget dengang.
I forsikringsskemaet · spørgsmål om test bliver besvaret ud fra den gamle rapport.
I bestyrelsens billede · bestyrelsen husker, at det var i orden, og spørger ikke igen.

I hvert tilfælde træffes en beslutning nu på grundlag af et svar fra dengang. Spørgsmålet er, om forholdene stadig er de samme. → Ledelsen underskriver forsikringsskemaet

Hvad der ændrer sig efter testen

Det, der gjorde testens svar rigtigt, kan forsvinde på flere måder. Ledelsen behøver ikke kende detaljerne, men den bør kende typerne:

Virksomheden ændrer sig · nye systemer, nye leverandører, nye adgange for kunder og samarbejdspartnere.
Folkene skifter · den, der kendte systemet og rettede fundene, er ikke længere i virksomheden.
Omverdenen ændrer sig · nye måder at angribe på gør det, der var godt nok, mindre godt.
Rettelserne glider · noget, der blev rettet, bliver ændret tilbage eller glemt ved en senere opdatering.

Ingen af de fire ting kræver, at nogen har gjort noget forkert. De sker i en virksomhed, der lever, og jo mere virksomheden udvikler sig, jo hurtigere kan et testresultat miste sin værdi som beslutningsgrundlag. Hvordan tidspunktet påvirker en rapports holdbarhed, er beskrevet på penetrationtest.dk. → Organisationsændringer

Fra et svar til løbende viden

NIST, det amerikanske institut for standarder og teknologi, beskriver i en vejledning om løbende overvågning af informationssikkerhed, at et sådant program skal give vedvarende sikkerhed for, at planlagte og indførte sikkerhedsforanstaltninger passer til organisationens risikotolerance. Tanken er, at viden om sikkerheden skal holdes ved lige, ikke indsamles én gang.

For ledelsen betyder det ikke, at alt skal testes hele tiden. Det betyder, at ledelsen skal vide, hvornår et gammelt svar ikke længere kan bruges. Hvordan en enkeltstående test bliver til en fast praksis med budget og anledninger, er beskrevet for sig. Her er pointen, at ledelsen skal holde op med at behandle testen som et afsluttet projekt. En test er en målrettet afprøvning på et bestemt tidspunkt, og den får mest værdi, når ledelsen ved, hvornår den skal følges af den næste. Det kræver ikke en stor organisation, men en vane: at spørge til testens alder og til ændringerne, hver gang den bliver brugt. → Fra engangstest til fast praksis

Spørgsmål, der viser, om svaret stadig holder

Ledelsen kan med få spørgsmål finde ud af, om den stadig kan bygge på en tidligere test. Spørgsmålene kan stilles, hver gang testen bliver brugt som argument:

Hvornår blev det testet? · og hvad var med i testen?
Hvad er ændret siden? · systemer, leverandører, adgange og folk.
Er rettelserne stadig på plads? · og hvem har kontrolleret det?
Hvem bruger vi svaret over for? · kunder, forsikring eller bestyrelse, og ved de, hvor gammelt det er?

Hvis svarene viser væsentlige ændringer, er det et tegn på, at testen ikke længere bør bære beslutningen alene. Det betyder ikke nødvendigvis, at alt skal testes forfra. Det kan være nok at afprøve det, der er ændret. → Risikovurderingen året efter

Et tænkt eksempel

En virksomhed, der leverer IT-systemer til tandlægeklinikker, fik testet sin kundeportal for nogle år siden. Testen gik godt, og rapporten er siden brugt i svar til nye kunder og i forsikringsskemaet.

Da en ny økonomidirektør skal underskrive forsikringsskemaet, spørger direktøren, om testen stadig dækker. Det viser sig, at portalen er flyttet til en ny hostingleverandør, at der er kommet en integration til klinikkernes bookingsystemer, og at den udvikler, der rettede fundene, er stoppet. Ingen havde skjult noget; ændringerne var blot sket ét ad gangen, uden at nogen havde koblet dem til testen. Ledelsen beslutter at bestille en ny test, at svare forsikringen med oplysning om, hvornår den forrige test blev udført, og at rapporter fremover skal stå med dato i alle svar til kunder.

Det skal I lade være med

At henvise til en gammel test uden at nævne tidspunktet · datoen er en del af svaret.
At fravælge en ny test, fordi området blev testet engang · spørg, hvad der er ændret.
At gå ud fra, at rettelserne stadig er på plads · få det kontrolleret.
At lade bestyrelsens billede stå uændret · fortæl, når forudsætningerne skifter.
At behandle testen som et afsluttet projekt · behandl den som viden, der skal holdes ved lige.

Hvad kan og ikke kan konkluderes

En sikkerhedstest giver et svar, der gælder det, der blev testet, på det tidspunkt, den blev udført. Hvor længe svaret kan bruges, afhænger af, hvad der er ændret siden, og der findes ikke en fast holdbarhed, der gælder alle. Ledelsen kan ikke regne sig dækket af en gammel test, men den kan bruge den som udgangspunkt, så længe den ved, hvad der er ændret. → Hvem bestemmer, hvor ofte vi tester?

Tjekliste til ledelsen

☐ Ved ledelsen, hvornår de vigtigste systemer sidst blev testet?
☐ Er det kendt, hvad der er ændret siden?
☐ Er det kontrolleret, at rettelserne stadig er på plads?
☐ Står testens dato i alle svar til kunder, forsikring og bestyrelse?
☐ Er der en anledning, der udløser en ny vurdering, når meget ændrer sig?

Kilder

SP 800-137, Information Security Continuous Monitoring (september 2011): løbende overvågning, der giver vedvarende sikkerhed for, at planlagte og indførte sikkerhedsforanstaltninger passer til organisationens risikotolerance.

Senest gennemgået: oktober 2026.