Tegn på, at det er tid til en sikkerhedstest

Nogle af de signaler, der viser, at virksomhedens sikkerhed bør efterprøves, dukker ikke op i IT-afdelingen. De viser sig på ledelsesmøder, i budgetter, i kontrakter og i samtaler med kunder. Ledelsen kan derfor være den første, der ser, at det er tid til en test, hvis den ved, hvad den skal kigge efter.

Det fælles kendetegn er forandring. Når virksomheden ændrer sig hurtigere, end dens billede af sikkerheden bliver opdateret, opstår der et hul mellem det, ledelsen tror, og det, der faktisk gælder. Det hul er tegnet på, at et nyt billede kan være nødvendigt.

Forretningen har ændret sig

Den mest oversete anledning er en ændring i selve forretningen. Virksomheden er begyndt at sælge direkte til forbrugere, har åbnet for selvbetjening, har fået en ny type kunder eller er gået ind på et nyt marked. Hver af disse ændringer kan betyde nye systemer, nye oplysninger og nye forventninger fra omverdenen.

Spørg derfor ved større strategiske beslutninger: hvad betyder det for vores systemer og data? Hvis svaret er, at nye oplysninger skal behandles, eller at flere skal have adgang udefra, er det et naturligt tidspunkt at bede om en vurdering af, om sikkerheden følger med. → Ny digital forretning

Virksomheden vokser

Vækst betyder flere medarbejdere, flere systemer, flere adgange og flere leverandører. Det, der var overskueligt med en lille medarbejderstab, kan blive uoverskueligt, når virksomheden fordobles, eller når der åbnes nye afdelinger. Gamle løsninger lever videre ved siden af nye, og ingen har nødvendigvis det fulde overblik.

Et signal er, at ingen kan svare præcist på, hvem der har adgang til hvad. Et andet er, at nye medarbejdere får adgang hurtigt, mens fratrådte bliver fjernet langsomt. Når ledelsen hører den slags, er det tid til at få undersøgt, om adgangene stadig er under kontrol. Et tredje signal er, at sikkerheden hviler på én eller to personer, som alle spørger, men som ingen kontrollerer. → Når virksomheden vokser hurtigere end sikkerheden

Nye systemer og nye leverandører

Når virksomheden køber et nyt ERP-system, flytter til skyen, skifter driftsleverandør eller lader en ny partner få adgang til sine systemer, ændres grundlaget for sikkerheden. Nye løsninger er ikke nødvendigvis mindre sikre end de gamle, men de er ikke blevet afprøvet i jeres miljø, og ansvarsfordelingen er ny.

Når ledelsen godkender disse beslutninger og budgetterne bag dem, er det et oplagt sted at spørge: er sikkerheden afprøvet, før vi går i drift, og hvem har ansvaret for at kontrollere den? En test kan med fordel tænkes ind i projektet, så den ikke kommer som en overraskelse til sidst. → Sikkerhedstest i projektbudgettet

Krav udefra

En kunde sender et sikkerhedsspørgeskema, hvor der spørges til uafhængig afprøvning. Forsikringsselskabet stiller nye spørgsmål ved fornyelsen. En samarbejdspartner vil se dokumentation, før den deler data. Banken spørger til, hvordan IT-sikkerheden styres. Hver af disse henvendelser er et signal, ikke kun om et krav, men om at omverdenen forventer et svar, ledelsen kan stå inde for.

Hvis ledelsen ikke kan svare på et sådant spørgsmål uden at gætte, er det et tegn på, at det rette grundlag mangler. Men lad ikke kravet alene bestemme, hvad der testes. Brug anledningen til også at få svar på jeres egne vigtigste spørgsmål. → Kundekrav eller egne behov

Uro i omgivelserne

Nogle signaler kommer udefra uden at være krav. En virksomhed i samme branche bliver ramt af et angreb, en leverandør melder om en hændelse, eller en udbredt svaghed i et system, I bruger, bliver kendt. Det skaber spørgsmål i ledelsen og bestyrelsen. Spørgsmålene er rimelige, og de bør ikke afvises med en beroligende bemærkning. Men de bør heller ikke føre til en beslutning, før ledelsen ved, om den samme risiko overhovedet findes hos jer, og om den allerede er håndteret.

Den rigtige reaktion er ikke nødvendigvis at bestille en test i hast. Først bør ledelsen spørge IT, om det berører os, og hvad der allerede er gjort. Hvis svarene er uklare, eller hvis hændelsen viser en type risiko, ingen har tænkt på, kan en test være en fornuftig opfølgning. → En samarbejdspartner er blevet ramt

Tiden er gået

Endelig er der den simple anledning: det er længe siden, sikkerheden sidst blev afprøvet, eller den er aldrig blevet det. Systemerne har ændret sig, medarbejdere er kommet og gået, og nye svagheder er blevet kendt i den mellemliggende tid. Et gammelt resultat beskriver en virksomhed, der ikke længere findes på samme måde.

Der findes ingen fast regel for, hvor ofte en test skal gentages. Det afhænger af, hvor meget virksomheden ændrer sig, og af eventuelle krav fra kunder eller regler. Det vigtige er, at ledelsen har taget stilling og ikke bare lader tiden gå.

Også ændringer i ledelsen selv kan være en anledning. En ny direktør, en ny bestyrelsesformand eller nye ejere har brug for at vide, hvad de har overtaget, og et frisk og uafhængigt billede kan være et godt udgangspunkt for de første beslutninger. → Ny direktør → Hvem bestemmer, hvor ofte vi tester? Anledninger beskrives enkeltvis på opslagsværket penetrationtest.dk.

Det skal I lade være med

At vente på, at IT foreslår det · nogle signaler ses først i ledelsen.
At teste i panik efter en nyhed · spørg først, om det berører jer.
At lade projekter gå i drift uden at spørge til sikkerheden · tænk testen ind i planen.
At lade et gammelt resultat stå som svar · det beskriver en tidligere udgave af virksomheden.
At lade kundens krav bestemme alt · brug anledningen til også at få svar på jeres egne spørgsmål.

Hvad kan og ikke kan konkluderes

Signalerne her kan hjælpe ledelsen med at se, hvornår billedet af sikkerheden sandsynligvis er forældet, og hvornår det er naturligt at tage spørgsmålet om en test op. De gør det lettere at begrunde beslutningen over for bestyrelse og budget.

De kan ikke afgøre, hvilken type test der er brug for, eller hvor stor den skal være. Og fraværet af signaler betyder ikke, at sikkerheden er i orden. Det betyder blot, at anledningen til at spørge ikke er synlig. → Skal vi have lavet en penetrationstest?

Tjekliste til ledelsesmødet

☐ Har forretningen ændret sig, så nye data eller kunder er kommet til?
☐ Er virksomheden vokset, så ingen har det fulde overblik over adgange?
☐ Er nye systemer, leverandører eller partnere kommet ind?
☐ Har en kunde, forsikring eller bank stillet spørgsmål, vi ikke kan dokumentere svaret på?
☐ Har en hændelse hos andre rejst spørgsmål, som IT ikke kan besvare klart?
☐ Ved vi, hvornår sikkerheden sidst blev afprøvet?

Senest gennemgået: oktober 2026.