Selv den dygtigste IT-afdeling har svært ved at kontrollere sit eget arbejde. Det handler ikke om evner eller vilje, men om at den, der har bygget og driver systemerne, ser dem med de samme antagelser, som lå bag opsætningen. Et uafhængigt blik giver ledelsen noget, IT ikke kan levere selv: en vurdering fra en, der ikke har et forhold til de valg, der blev truffet, og ikke har noget at forsvare. For ledelsen er det et styringsredskab på linje med den eksterne revision af regnskabet.
Hvorfor egen kontrol ikke er nok
IT-afdelingen og driftsleverandøren kan have gode grunde til at mene, at sikkerheden er i orden. De har gjort et stykke arbejde, de kender systemerne, og de ved, hvilke valg der blev truffet og hvorfor. Netop derfor er det svært for dem at se det, de ikke har tænkt på.
Dertil kommer, at den, der rapporterer om sin egen indsats, altid vil være i en vanskelig position. En IT-chef, der skal fortælle ledelsen om alvorlige svagheder i en løsning, chefen selv har anbefalet, har en interessekonflikt, uanset hvor ærlig chefen er. Det gælder i endnu højere grad en leverandør, der har solgt løsningen og tjener på at drive den.
Ledelsen kan derfor ikke uden videre bruge IT’s egen vurdering som dokumentation over for bestyrelse, kunder eller forsikring. Det er ikke et udtryk for mistillid. Det er den samme logik, som gør, at virksomheden ikke selv reviderer sit regnskab. → IT siger, at alt er i orden
Kontrol udefra som ledelsesredskab
Den britiske myndighed NCSC beskriver penetrationstest som en ekstern efterprøvning af det arbejde, de interne folk udfører med at finde og håndtere svagheder. Den britiske kodeks for ledelse af cyberrisici lægger samtidig op til, at ledelsen sikrer, at cybersikkerhed indgår i de interne og eksterne mekanismer for revision og kontrol, virksomheden i forvejen har.
For en dansk ledelse er pointen den samme, selv om vejledningerne er britiske og frivillige: sikkerhed bør være genstand for den samme slags uafhængige kontrol som andre væsentlige områder. En sikkerhedstest udført af en udefrakommende er en af de mest direkte måder at få den kontrol på. → Sikkerhedstest og intern kontrol
Hvad det uafhængige blik giver ledelsen
- Et svar uden interesse · vurderingen kommer fra en, der hverken har bygget, solgt eller driver løsningen.
- Nye vinkler · en udefrakommende stiller spørgsmål, som ingen internt har tænkt på at stille.
- Et grundlag for samtalen med IT · ledelsen kan drøfte konkrete fund i stedet for generelle forsikringer.
- Troværdighed udadtil · kunder, forsikring og bestyrelse lægger mere vægt på en uafhængig vurdering end på en intern.
- Støtte til IT · en ekstern bekræftelse kan give IT de argumenter og ressourcer, som afdelingen har bedt om længe.
Det sidste punkt er let at overse. Et uafhængigt blik er ikke kun en kontrol af IT. Det kan også være IT’s bedste allierede, når der skal prioriteres penge til sikkerhed. → IT-chefen ønsker en test, og ledelsen tøver
Hvad uafhængighed kræver
Et blik er kun uafhængigt, hvis den, der ser, ikke har bundet sig til det, der bliver set på. Ledelsen bør derfor sikre sig, at testeren ikke har bygget eller driver de systemer, der testes, og ikke tjener på de løsninger, rapporten måtte anbefale. Hvorfor testeren ikke bør sælge løsningerne bagefter, er uddybet i → Uvildighed.
Hos Nielco IT er der hverken produktsalg eller partnerskaber med leverandører at tage hensyn til. Men uanset hvem ledelsen vælger, er det et spørgsmål, der bør stilles direkte, og svaret bør stå i tilbuddet. Hvordan testeren bør være uafhængig af driftsleverandøren, er forklaret generelt på penetrationtest.dk.
Et tænkt eksempel
En familieejet virksomhed inden for fødevarer har i mange år haft den samme driftsleverandør. Leverandøren tilbyder selv at gennemføre en sikkerhedstest som en del af den årlige aftale. Direktøren overvejer det, fordi det er nemt og billigt.
Bestyrelsesformanden spørger, hvem der så vil opdage, hvis leverandøren har lavet fejl i sin egen opsætning. Direktøren vælger i stedet en ekstern tester og aftaler, at leverandøren deltager i forberedelsen og i gennemgangen af fundene. Leverandøren bliver ikke sat uden for. Den bliver bare ikke dommer i egen sag. Bagefter oplever direktøren, at samtalen med leverandøren om rettelserne bliver mere konkret, fordi begge parter forholder sig til de samme dokumenterede fund. → IT-leverandøren tilbyder selv at teste
Hvordan ledelsen bruger blikket bedst
Et uafhængigt resultat er mest værd, når ledelsen bruger det til at stille bedre spørgsmål, ikke til at afsige en dom. Når rapporten ligger klar, bør IT og driftsleverandøren først have lejlighed til at kommentere fundene. Måske er nogle forhold allerede kendt og planlagt, måske er andre en overraskelse. Begge dele er nyttig viden for ledelsen.
Derefter kan ledelsen se på forskellen mellem det, IT forventede, og det, testen viste. Er forskellen lille, er det et godt tegn for den interne styring. Er den stor, er det ikke nødvendigvis et tegn på dårligt arbejde, men på at ledelsen har manglet et uafhængigt billede for længe.
Ledelsen kan også bruge blikket til at kalibrere sine egne spørgsmål. Hvis testen viser forhold, ledelsen aldrig havde tænkt på at spørge til, er det en god anledning til at overveje, hvad ledelsen fremover skal have rapporteret, og hvor ofte.
Det skal I lade være med
- At lade leverandøren kontrollere sig selv · og bagefter omtale resultatet som en uafhængig vurdering.
- At se den eksterne test som mistillid til IT · forklar den som en kontrol, der også beskytter IT.
- At glemme at spørge om bindinger · spørg om salg, partnerskaber og drift, før testeren vælges.
- At holde IT uden for forløbet · uafhængighed betyder ikke, at de interne folk ikke skal inddrages.
- At lade et uafhængigt resultat stå alene · det skal stadig omsættes til beslutninger i ledelsen.
Hvad kan og ikke kan konkluderes
Et uafhængigt blik giver ledelsen en vurdering, der ikke er farvet af de valg, der blev truffet internt. Det giver ikke en fuldstændig vurdering, og det erstatter ikke IT’s daglige arbejde. Uafhængigheden siger noget om afsenderen af vurderingen, ikke om, at vurderingen er fejlfri. Ledelsen bør stadig stille spørgsmål til resultatet og lade IT kommentere det, før der træffes beslutninger.
Tjekliste: får vi et uafhængigt blik?
- ☐ Har testeren hverken bygget, solgt eller drevet de systemer, der testes?
- ☐ Tjener testeren på de løsninger, rapporten kan anbefale?
- ☐ Er IT og driftsleverandøren inddraget i forberedelse og gennemgang?
- ☐ Har vi forklaret organisationen, hvorfor testen udføres udefra?
- ☐ Bruger vi resultatet som grundlag for en samtale med IT, ikke som en dom?
Kilder
- NCSC, Penetration testing: penetrationstest sammenlignet med en ekstern revision af det interne arbejde med svagheder.
- NCSC og UK Government, Cyber Governance Code of Practice: E4 om at cybersikkerhed indgår i virksomhedens interne og eksterne revisions- og kontrolmekanismer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: En tester, ledelsen kan stole på · Tre forsvarslinjer
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
