Kort efter en sikkerhedstest kan der komme et tilbud fra IT-leverandøren på at rette fundene. Det kan være helt rimeligt, men ledelsen bør ikke godkende det uden at vide, hvad der allerede er betalt for i driftsaftalen. Vurderingen hviler på tre spørgsmål: hvilke fund dækker tilbuddet, hvad af arbejdet hører under den aftalte drift, og hvordan skal det kontrolleres, at rettelserne virker?
Det er ikke et spørgsmål om at mistænke leverandøren. Nogle driftsaftaler er uklare på netop dette punkt, og det er ledelsens opgave at få det afklaret, før beløbet godkendes.
En sikkerhedstest kan afsløre forhold, der ligger i grænselandet mellem drift og nyt arbejde. En manglende opdatering kan være noget, leverandøren allerede har påtaget sig at holde styr på. En forældet opsætning kan være en del af den løbende vedligeholdelse. En ny løsning, der skal erstatte et system, der ikke længere kan sikres, kan derimod være en ny opgave.
Hvis ledelsen godkender et samlet tilbud uden at skelne, risikerer virksomheden at betale to gange for noget af arbejdet. Omvendt kan en leverandør, der skal rette meget inden for den faste aftale, have svært ved at prioritere det. Begge dele kalder på en klar opdeling. → Kontrakten med IT-leverandøren
Bed om et tilbud, der følger rapporten
Et tilbud, der kun har én samlet linje, er svært at vurdere. Bed leverandøren om at opdele det, så det kan sammenholdes med testens rapport.
- Fund for fund · hvilke fund dækker hver linje i tilbuddet?
- Drift eller ekstra · hvilket arbejde mener leverandøren ligger uden for den aftalte drift, og hvorfor?
- Tidsplan · hvornår kan de alvorligste fund være rettet?
- Afhængigheder · kræver nogle rettelser, at andre leverandører eller jeres egne folk gør noget først?
- Kontrol · hvordan vil leverandøren vise, at rettelsen virker?
Med den opdeling kan ledelsen se, hvad der koster ekstra, og hvad der burde være dækket. Den kan også prioritere, hvis budgettet ikke rækker til alt på én gang. → Leverandøren skal rette: hvilke svar ledelsen kan kræve
Drift eller ekstraarbejde
Hvor grænsen går, afhænger af den konkrete aftale. Nogle aftaler beskriver tydeligt, at leverandøren holder systemerne opdaterede og sikkert opsat. Andre er mere åbne. Læs aftalen, eller bed en medarbejder, der kender den, om at gøre det, før drøftelsen med leverandøren.
Relevante spørgsmål kan være, om leverandøren har påtaget sig at installere opdateringer, at følge bestemte standarder for opsætning eller at rette fejl i det, leverandøren selv har sat op. Hvis et fund skyldes en opsætning, leverandøren har lavet og har ansvaret for, er det rimeligt at spørge, om rettelsen er omfattet af aftalen. Er aftalen uklar, kan svaret være en forhandling. Teksten er ikke juridisk rådgivning, og ved større beløb eller uenighed kan det være klogt at inddrage en rådgiver.
Uanset hvordan den aktuelle drøftelse ender, er det værd at notere, hvad den viste om aftalen. Var grænsen mellem drift og ekstraarbejde uklar denne gang, bliver den det også næste gang. Skriv punkterne ned, og tag dem med, når aftalen skal genforhandles eller fornyes. Så kan det næste tilbud på rettelser vurderes ud fra en aftale, der faktisk siger noget om sikkerhed, i stedet for ud fra en fortolkning, som begge parter kan have ret i.
Når fundene peger på flere leverandører
Nogle virksomheder har mere end én leverandør: en til driften, en til forretningssystemet og en til hjemmesiden. Fundene kan fordele sig på dem alle, og det er ikke altid klart, hvem der skal rette hvad. Hver leverandør kan pege på den anden.
Ledelsen kan løse det ved at udpege én person, der fordeler fundene og samler tilbuddene, og ved at kræve, at uenighed om ansvaret bliver løftet til ledelsen hurtigt og ikke får lov at stå hen. → Når to leverandører peger på hinanden
Testeren bør ikke stå bag tilbuddet
Det er en fordel, hvis den, der har testet, ikke også er den, der sælger rettelserne. Ellers kan der opstå tvivl om, hvorvidt fundene er vurderet uafhængigt. Det samme gælder, hvis IT-leverandøren selv har udført testen og nu tilbyder at rette det, den har fundet i sine egne systemer.
Testerens rolle kan i stedet være at forklare fundene, så ledelsen og leverandøren har samme forståelse af, hvad der skal rettes. Det gør tilbuddet lettere at vurdere. → Uvildighed: hvorfor testeren ikke bør sælge løsningerne bagefter
Følg op på det, der er godkendt
Når tilbuddet er godkendt, skal ledelsen kunne se, at arbejdet bliver udført. Bed om en kort status, der følger samme opdeling som tilbuddet: hvilke fund er rettet, hvilke er i gang, og hvilke venter. Når de alvorlige fund er rettet, bør det efterprøves, gerne af den, der testede.
En status, der kun siger, at “arbejdet er i gang”, er ikke nok. Ledelsen skal kunne se fremdriften fund for fund. Det gør det også let at opdage, hvis et fund er rettet uden at være kontrolleret, eller hvis et fund stille og roligt er gledet ud af planen. → Status på rettelserne
Et tænkt eksempel
En entreprenørvirksomhed får en sikkerhedstest af kontornettet og adgangen hjemmefra. Kort efter kommer et tilbud fra driftsleverandøren på at rette alle fund under ét.
Økonomichefen beder om en opdeling. Den viser, at en del af fundene handler om manglende opdateringer, som driftsaftalen ifølge økonomichefens læsning dækker. Leverandøren accepterer at rette dem inden for aftalen. De resterende fund handler om en gammel løsning til fjernadgang, som skal udskiftes, og den del godkendes som ekstraarbejde med en tidsplan og en efterprøvning.
Det skal I lade være med
- At godkende et samlet tilbud uden opdeling · så kan ingen se, hvad der allerede er betalt.
- At springe aftalen over · læs, hvad leverandøren har påtaget sig, før I forhandler.
- At lade testeren sælge rettelserne · det svækker tilliden til fundene.
- At glemme efterprøvningen · rettelser, der ikke er kontrolleret, er en antagelse.
- At lade uenighed om ansvar stå hen · fundene bliver liggende, mens leverandørerne diskuterer.
Hvad kan og ikke kan konkluderes
Et opdelt tilbud og en klar aftale om, hvad der er drift, giver ledelsen kontrol over udgiften og fremdriften. De kan ikke afgøre en reel uenighed om, hvad aftalen dækker, og de garanterer ikke, at rettelserne virker. Det kræver en efterprøvning og i nogle tilfælde en drøftelse med en rådgiver.
Tjekliste til tilbuddet på rettelser
- ☐ Er tilbuddet opdelt fund for fund?
- ☐ Har nogen læst driftsaftalen og vurderet, hvad den dækker?
- ☐ Er der en tidsplan for de alvorlige fund?
- ☐ Er testeren uafhængig af den, der retter?
- ☐ Er det aftalt, hvordan rettelserne efterprøves?
- ☐ Får ledelsen status i samme opdeling som tilbuddet?
Senest gennemgået: oktober 2026.
Næste skridt
- Afsæt penge til rettelserne, før testen bestilles
- Hvordan ved ledelsen, at fundene faktisk bliver rettet?
Del af: Artikler til ledelsen
Læs også: Spørgsmål til IT-leverandøren · Ansvaret kan ikke outsources
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
