Tilbuddet forklaret for ledere uden teknisk baggrund

Et tilbud på en sikkerhedstest kan være skrevet af en tekniker til en tekniker. For en direktør, der skal skrive under, kan det ligne en liste af fagudtryk med en pris nederst. Alligevel er det ledelsen, der forpligter virksomheden. Svaret er, at ledelsen ikke behøver forstå alle ordene. Den skal kunne finde fire ting i tilbuddet: formålet, afgrænsningen, leverancen og ansvaret. Står de fire klart, kan ledelsen vurdere tilbuddet. Mangler en af dem, er det det første, der skal spørges om.

Hvordan flere tilbud sammenlignes, og hvilke spørgsmål der afslører forskellen på et billigt og et dyrt tilbud, står for sig. → Det billigste tilbud

En sikkerhedstest er ikke en vare med en fast beskrivelse. Det samme ord kan dække meget forskelligt arbejde, og tilbuddet skal derfor beskrive, hvad netop denne opgave består af. Det kan ske i et sprog, som IT forstår, men ledelsen ikke gør.

Det er ikke nødvendigvis et problem. Den tekniske del er skrevet til IT-chefen eller leverandøren, som skal hjælpe med testen. Men tilbuddet bør også have en del, som ledelsen kan læse. Hvis det ikke har det, er det rimeligt at bede om en kort sammenfatning i almindeligt sprog. En tester, der ikke kan skrive den, vil sandsynligvis også have svært ved at skrive en rapport, ledelsen kan bruge. → Leverancen set fra ledelsen

Første del: formålet

Et godt tilbud gentager, hvorfor I har bedt om testen. Det kan være et krav fra en kunde, et ønske fra bestyrelsen eller en ny løsning, der skal afprøves, før den tages i brug.

Formålet er vigtigt, fordi det styrer resten. Hvis tilbuddet ikke nævner det, eller hvis formålet er beskrevet anderledes, end I forventede, er der en risiko for, at testeren har forstået opgaven forkert. Det er lettere at rette nu end bagefter. Et formål, der er skrevet med testerens egne ord, viser også, at testeren har lyttet og ikke blot har sendt et standardtilbud. → Ledelsens spørgsmål, før testen bestilles

Anden del: afgrænsningen

Afgrænsningen beskriver, hvad testen dækker. Den kan være den mest tekniske del, med navne på systemer, adresser og typer af test. Ledelsen skal ikke kontrollere detaljerne, men den skal kunne svare på tre spørgsmål:

Er det vigtigste med? · de systemer og oplysninger, forretningen ikke kan undvære.
Hvad er bevidst holdt ude? · og er det et valg, ledelsen kan stå inde for?
Hvilket udgangspunkt har testeren? · tester den udefra som en fremmed, eller med adgang som en medarbejder?

Bed IT-chefen om at forklare afgrænsningen med egne ord. Hvis forklaringen ikke passer til det, ledelsen troede, den bestilte, skal tilbuddet justeres. → Kronjuvelerne

Den britiske non-profitorganisation CREST har en vejledning til købere om, hvordan en penetrationstest bør afgrænses, gennemføres og godkendes. Den kan bruges af IT-chefen som tjekliste, mens ledelsen holder sig til de tre spørgsmål. Vejledningen er britisk og ikke et krav i Danmark, men den giver et indtryk af, hvad købere andre steder forventer at se.

Tredje del: leverancen

Leverancen er det, virksomheden får til sidst. Det kan være en rapport, men tilbuddet bør sige mere end det. Kig efter:

Et resumé til ledelsen · skrevet til læsere uden teknisk baggrund.
Et møde om resultatet · hvor fundene forklares, og spørgsmål kan stilles.
En efterprøvning · om rettelserne kontrolleres, og om det er med i prisen eller købes for sig.
Et tidspunkt · hvornår rapporten forventes at foreligge.

Hvis resuméet til ledelsen mangler, er det ikke sikkert, at rapporten kan bruges i ledelsen eller over for bestyrelsen. Det er et rimeligt krav at stille, før tilbuddet accepteres. Spørg også, hvem rapporten sendes til, og i hvilken form. En rapport om virksomhedens svagheder bør ikke ligge i en almindelig mail, som andre kan videresende. → Hvad ledelsen bør kræve af resuméet

Fjerde del: ansvaret

Den sidste del er let at overse. Hvem har ansvaret, hvis noget går galt under testen? Hvordan beskyttes de oplysninger, testeren får adgang til? Hvad sker der, hvis testeren finder noget alvorligt undervejs?

Tilbuddet skal ikke indeholde hele kontrakten, men det bør henvise til vilkårene, eller vedlægge dem. Kig efter fortrolighed, hvem der udfører arbejdet, og om testeren bruger underleverandører. Hvis tilbuddet er tavst om disse forhold, skal de afklares, før ledelsen skriver under. Teksten er ikke juridisk rådgivning; ved større opgaver kan en rådgiver se vilkårene igennem. → En tester, ledelsen kan stole på

Prisen og det, der påvirker den

Prisen står nederst, men den er resultatet af de fire dele ovenfor. Jo flere systemer, jo mere komplekse forudsætninger, og jo flere leverancer, desto større bliver opgaven. Hastværk påvirker også prisen. Hvis prisen virker høj eller lav, er det derfor afgrænsningen og leverancen, der skal spørges til, ikke tallet i sig selv. Det samme gælder forbehold i tilbuddet. Står der, at prisen forudsætter bestemte ting, fx at testeren får adgang på et bestemt tidspunkt, bør ledelsen vide, hvad der sker med prisen, hvis forudsætningen ikke holder. Hvordan opgaver hos Nielco IT prissættes, står under pris og tilbud.

Et tænkt eksempel

Direktøren for en grossist i elartikler får et tilbud på fire sider. Tre af dem er tekniske. Direktøren beder IT-chefen pege på formål, afgrænsning, leverance og ansvar.

Formålet og afgrænsningen er der, men tilbuddet nævner ikke et resumé til ledelsen og intet om fortrolighed. Direktøren beder testeren tilføje begge dele. Testeren sender et opdateret tilbud med et kort resumé, et afslutningsmøde og en henvisning til en fortrolighedsaftale. Først da skriver direktøren under, og den korte opstilling af de fire dele gemmes sammen med tilbuddet.

Det skal I lade være med

At læse kun prisen · den siger intet uden de fire dele.
At skrive under på noget, I ikke forstår · bed om en sammenfatning i almindeligt sprog.
At overlade afgrænsningen helt til IT · ledelsen skal kunne stå inde for, hvad der er holdt ude.
At antage, at resuméet er med · tjek, at det står i tilbuddet.
At springe ansvaret over · fortrolighed og ansvar skal være afklaret før start.

Hvad kan og ikke kan konkluderes

Når ledelsen kan finde formål, afgrænsning, leverance og ansvar i tilbuddet, ved den, hvad den køber. Den kan ikke ud fra tilbuddet vurdere, om testen bliver udført godt. Det afhænger af testeren og af samarbejdet undervejs.

Tjekliste til tilbuddet

☐ Står formålet, og passer det til jeres ønske?
☐ Kan IT-chefen forklare afgrænsningen med egne ord?
☐ Er de vigtigste systemer med?
☐ Er der et resumé til ledelsen og et møde om resultatet?
☐ Er fortrolighed og ansvar afklaret?

Kilder

CREST: Implementation and procurement guides: oversigt over vejledninger til købere, herunder vejledning om, hvordan penetrationstest bør afgrænses, leveres og godkendes. CREST er en britisk non-profitorganisation.

Senest gennemgået: oktober 2026.