Kundernes tillid efter en sikkerhedshændelse: hvad kan en test bruges til?

Når virksomheden har været ramt af en sikkerhedshændelse, er det første spørgsmål fra kunderne, hvad der skete. Det næste er, om det kan ske igen. Det andet spørgsmål er sværere at svare på, og her kan en sikkerhedstest have en plads. Svaret på, hvad testen kan bruges til, hviler på en skelnen: testen kan dokumentere, at virksomheden har undersøgt, om svaghederne er lukket, men den kan ikke i sig selv genskabe tilliden. Tillid kommer af, hvad ledelsen gør og siger, og af om det holder. Teksten er ikke juridisk rådgivning.

Hvad kunderne har brug for at høre

Kunder, der har været berørt af en hændelse, vurderer virksomheden ud fra, hvordan den håndterer situationen. De har brug for at vide, hvad der er sket med deres data eller leverancer, hvad virksomheden har gjort for at begrænse skaden, og hvad den gør for at undgå en gentagelse.

Det amerikanske standardiseringsinstitut NIST anbefaler i sin vejledning om håndtering af hændelser, at offentlige opdateringer om genopretningen deles med godkendte metoder og budskaber, og at virksomheden forklarer, hvilke skridt den tager for at komme sig over hændelsen og forhindre en gentagelse. Det sidste er netop det sted, hvor en sikkerhedstest kan indgå som en del af forklaringen. → Sikkerhedstest og virksomhedens omdømme

Hvad der kan være pligt til at fortælle

Hvis hændelsen har ramt personoplysninger, har databeskyttelsesforordningen regler om, hvad der skal gøres. Efter artikel 34 skal den dataansvarlige underrette de registrerede uden unødig forsinkelse, når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for deres rettigheder. Underretningen skal i et klart og forståeligt sprog beskrive bruddet og blandt andet de foranstaltninger, der er truffet eller foreslået for at håndtere det.

Om der er pligt til at underrette i en konkret sag, er en vurdering, som ledelsen bør have hjælp til. Men bestemmelsen viser, hvad en ordentlig besked indeholder: hvad der skete, hvad følgerne kan være, og hvad virksomheden gør ved det. → Persondata og sikkerhedstest

Testens plads i genopretningen

En sikkerhedstest er ikke en undersøgelse af hændelsen. Den finder ikke ud af, hvordan angriberen kom ind, eller hvad der blev taget. Det er en anden opgave, som skal løses først. Hvornår en test giver mening efter en hændelse, er beskrevet på penetrationtest.dk.

Når hændelsen er håndteret, og rettelserne er gennemført, kan en test bruges til tre ting, der har betydning for tilliden:

Efterprøvning · en uafhængig afprøvning af, om de svagheder, der blev udnyttet, faktisk er lukket.
Bredde · en undersøgelse af, om der findes lignende svagheder andre steder i virksomheden.
Dokumentation · et grundlag for at fortælle kunderne, hvad der er gjort, med dato og omfang.

Det er værdien for kunderne. Testen viser, at virksomheden ikke blot har lappet det synlige hul, men har set efter, om der var flere.

Valget af tester betyder også noget for troværdigheden. Hvis den leverandør, der drev de ramte systemer, selv skal teste sine rettelser, vil en kritisk kunde spørge, hvor uafhængigt svaret er. En tester uden andre interesser i sagen, og som ikke sælger de løsninger, der skal rette fundene, giver et svar, der står stærkere over for kunderne. Det er en beslutning, ledelsen bør træffe bevidst. → Et uafhængigt blik

Når testen bliver pynt

En test kan også bruges på en måde, der svækker tilliden. Det sker, når testen bliver nævnt for at berolige kunderne, før den er gennemført, eller når dens omfang ikke passer til det, der skete. Hvis hændelsen ramte kundeportalen, og testen kun omfattede hjemmesiden, vil en kunde, der spørger ind, opdage det.

Det sker også, når testen bliver brugt som et punktum. En sætning om, at sagen er afsluttet, fordi en test ikke fandt noget, lover mere, end testen kan holde. En test viser, hvad der blev fundet i det, der blev testet, på det tidspunkt. → Hvad en sikkerhedstest ikke erstatter

Ledelsens rolle i kommunikationen

Kommunikation efter en hændelse hører til ledelsen. Det er ledelsen, der står inde for, hvad virksomheden siger, og det er ledelsen, kunderne forventer at høre fra, når sagen er alvorlig. Tre ting kan ledelsen sørge for:

Én stemme · én person i ledelsen ejer budskabet, så kunder, presse og samarbejdspartnere får det samme svar.
Kun det, der er sikkert · sig, hvad der vides, og hvornår der kommer mere. Undgå at gætte.
Opfølgning · fortæl kunderne, når rettelserne og testen er gennemført, og hvad testen viste i overordnede træk.

Det sidste punkt bliver let glemt, når den akutte fase er ovre, og hverdagen har meldt sig igen. Men det er netop opfølgningen, der viser, at virksomheden gjorde, hvad den sagde. → Kunderne spørger til vores sikkerhed

Et tænkt eksempel

En leverandør af software til foreninger har været ramt af et angreb, hvor en angriber fik adgang til en del af kundernes medlemslister. Virksomheden har underrettet de berørte kunder og fået hjælp til at undersøge og begrænse hændelsen.

Direktøren skriver til alle kunder, når den akutte fase er ovre. Brevet fortæller, hvad der skete, hvad der er rettet, og at virksomheden har bestilt en uafhængig sikkerhedstest af hele kundeløsningen, ikke kun af den del, der blev ramt. Da testen er gennemført, følger et nyt brev: testen er gennemført, de fund, den gav, er rettet, og virksomheden vil teste løsningen igen efter en fast plan. Brevet indeholder ingen tekniske detaljer, men dato og omfang for testen.

Det skal I lade være med

At nævne en test, før den er gennemført, for at berolige · fortæl, når der er noget at fortælle.
At lade testen dække mindre end det, hændelsen ramte · omfanget skal passe til det, der skete.
At forveksle testen med en undersøgelse af hændelsen · det er to forskellige opgaver.
At erklære sagen afsluttet, fordi testen ikke fandt noget · testen er ingen garanti.
At glemme at følge op over for kunderne · opfølgningen er en del af tilliden.

Hvad kan og ikke kan konkluderes

En sikkerhedstest efter en hændelse kan dokumentere, at virksomheden har efterprøvet sine rettelser og set efter lignende svagheder. Det kan ikke konkluderes, at testen genskaber kundernes tillid, eller at en gentagelse er udelukket. Tilliden afhænger af hele ledelsens håndtering af sagen. → Beredskabet og testen

Tjekliste til genopretningen

☐ Er hændelsen undersøgt og håndteret, før testen bestilles?
☐ Dækker testen det, hændelsen ramte, og lignende områder?
☐ Er det vurderet, om der er pligt til at underrette de registrerede?
☐ Ejer én person i ledelsen budskabet til kunderne?
☐ Er der planlagt en opfølgning til kunderne, når testen er gennemført?

Kilder

Databeskyttelsesforordningen (EU) 2016/679: artikel 34, stk. 1 og 2, om underretning af den registrerede ved brud på persondatasikkerheden, der sandsynligvis vil indebære en høj risiko, og om underretningens indhold.
NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: RC.CO-04 om offentlige opdateringer om genopretningen med anbefalingen om at forklare de skridt, der tages for at komme sig og forhindre en gentagelse.

Senest gennemgået: oktober 2026.