Hvad får ledelsen ud af en penetrationstest?

Nogle ledelser betaler for en penetrationstest uden at have gjort sig klart, hvad de selv skal have ud af den. Udbyttet for ledelsen er tre ting: et faktuelt grundlag for beslutninger om sikkerhed, en prioritering af, hvor indsatsen skal sættes ind, og dokumentation for, at ledelsen har undersøgt sagen og handlet på det, den fandt. Hvor meget af det, ledelsen faktisk får, afhænger mere af bestillingen og opfølgningen end af selve testen.

IT og leverandører får en liste over svagheder, de kan rette. Det er nyttigt, men det er ikke ledelsens udbytte. Ledelsen skal bruge testen til at styre, ikke til at reparere.

Et grundlag for at beslutte

Uden en test hviler ledelsens beslutninger om sikkerhed på forsikringer fra IT, oplysninger fra leverandører og en generel fornemmelse. Det er ikke nødvendigvis forkert, men det er svært at efterprøve.

Den britiske myndighed NCSC beskriver penetrationstest som en måde at opnå sikkerhed for, at virksomhedens egen håndtering af svagheder virker. Med andre ord: testen er en kontrol af det, IT og leverandører i forvejen siger, de gør. For ledelsen betyder det, at påstande bliver til konstaterede forhold.

Det giver især værdi, når ledelsen står over for en beslutning, der koster noget: et nyt system, en ny leverandør, en udvidelse af IT-budgettet eller et svar til en vigtig kunde. Her kan testresultatet afgøre, om pengene skal bruges, og hvor. → Hvad en sikkerhedstest kan svare på

En prioritering, ledelsen kan forsvare

Sikkerhed konkurrerer med alt andet om tid og penge. En test giver ledelsen mulighed for at prioritere på et konkret grundlag. Et alvorligt fund i det system, der håndterer kundernes betalinger, kan forsvare en ekstra bevilling. Et mindre forhold i et internt system kan vente til næste budgetår.

Prioriteringen bliver kun god, hvis ledelsen selv har sagt, hvilke systemer og data der betyder mest. Det er et forretningsspørgsmål, ikke et teknisk. IT kan fortælle, hvilke systemer der er komplicerede eller gamle, men kun ledelsen kan sige, hvilke af dem virksomheden ikke kan undvære en uge. Den britiske kodeks for ledelse af cyberrisici lægger netop op til, at ledelsen sikrer sig, at de teknologier og tjenester, der er kritiske for virksomhedens mål, er identificeret og prioriteret. → Hvad skal testes først?

Dokumentation for ledelsens handlinger

Når en kunde, en forsikring, en bank eller bestyrelsen spørger, hvad virksomheden gør for sikkerheden, er en gennemført test med en plan for opfølgning et konkret svar. Det viser, at ledelsen har undersøgt forholdene og truffet beslutninger på et oplyst grundlag.

Dokumentationen er ikke en garanti for, at alt er i orden. Den viser, at ledelsen har handlet. Det er en væsentlig forskel, og den skal holdes i alle udsagn udadtil. Værdien vokser, når testen kan kobles til et referat, hvor ledelsen har drøftet resultatet og besluttet, hvad der skal ske. → Testen som dokumentation for ledelsens handlinger

Et tænkt eksempel

En virksomhed, der fremstiller reservedele, har aldrig fået testet sin ordreportal. Direktøren beslutter en test, fordi en stor kunde har stillet spørgsmål. Direktøren beder samtidig om, at resultatet skal kunne bruges til tre ting: at svare kunden, at beslutte, om portalen skal udskiftes næste år, og at give bestyrelsen et billede af sikkerheden.

Rapporten viser nogle alvorlige forhold, som kan rettes inden for den eksisterende løsning. Direktøren kan nu svare kunden med en konkret plan, udskyde beslutningen om en ny portal og give bestyrelsen et oplæg med tre beslutningspunkter. Testen gav udbytte, fordi formålet var aftalt, før den blev bestilt. → Kunderne spørger til vores sikkerhed

Hvad der skal til for at få udbyttet

Udbyttet kommer ikke af sig selv. Det kræver, at ledelsen gør nogle få ting, før og efter testen.

Formål · beslut, hvilket spørgsmål testen skal besvare, og hvilken beslutning svaret skal bruges til.
Resumé · bestil et resumé skrevet til ledelsen, ikke kun en teknisk rapport. → Ledelsesresuméet
Oversættelse · få fundene forklaret som konsekvenser for drift, kunder og data.
Budget · sørg for, at der er penge og tid til rettelserne. → Afsæt penge til rettelserne
Opfølgning · aftal, hvem der følger op, og hvornår ledelsen hører om status igen.

Uden disse elementer ender testen let som en rapport, IT læser, og ledelsen hører om i en sætning på et møde. Ingen af punkterne kræver teknisk viden. De kræver, at en person i ledelsen tager ansvar for, at de bliver gjort, og at punkterne står på dagsordenen, indtil de er klaret.

Udbyttet over tid

Den første test giver et udgangspunkt. Senere test viser, om indsatsen virker. Over flere år kan ledelsen se, om de samme slags fund går igen, om rettelserne holder, og om nye systemer bliver bygget bedre end de gamle. Det er en form for styringsinformation, som kun opstår, hvis testene bestilles med en sammenhæng for øje.

Sammenhængen kræver ikke, at hver test er ens. Det kræver, at ledelsen husker, hvad den spurgte om sidst, og bevidst vælger, hvad den vil spørge om næste gang. En virksomhed, der skifter tester, omfang og formål hver gang uden at notere hvorfor, får en række enkeltstående billeder, som er svære at sammenligne. En virksomhed, der fører en kort oversigt over formål, resultater og beslutninger fra test til test, får et forløb, som både direktion og bestyrelse kan følge. → Værdien over flere år

Det skal I lade være med

At bestille testen uden et formål · så ved ingen, hvad svaret skal bruges til.
At lade rapporten blive hos IT · ledelsens udbytte forudsætter, at ledelsen får et svar, den kan bruge.
At måle udbyttet på antallet af fund · det vigtige er, hvad fundene betyder for forretningen.
At bruge testen som bevis for, at alt er sikkert · den dokumenterer ledelsens handling, ikke fravær af risiko.
At glemme budgettet til rettelser · en test uden opfølgning giver viden, men ingen forbedring.

Hvad kan og ikke kan konkluderes

En penetrationstest giver ledelsen konstaterede forhold om de systemer, der blev testet, i den periode, testen fandt sted. Den kan ikke sige noget om det, der ikke var med, og den kan ikke forudsige, hvad der sker i morgen. Udbyttet er et bedre grundlag for beslutninger. Det erstatter ikke beslutningerne. → Fra teknisk fund til forretningsrisiko

Tjekliste: får ledelsen sit udbytte?

☐ Har vi besluttet, hvad testen skal svare på?
☐ Er det aftalt, hvilken beslutning resultatet skal indgå i?
☐ Har vi bestilt et resumé til ledelsen?
☐ Er der afsat budget og tid til rettelser?
☐ Er der en ejer af opfølgningen i ledelsen?
☐ Ved vi, hvem der skal have resultatet, og i hvilken form?

Kilder

NCSC, Penetration testing: penetrationstest som en måde at opnå sikkerhed for, at virksomhedens håndtering af svagheder virker.
NCSC og UK Government, Cyber Governance Code of Practice: A1 om at kritiske teknologier og tjenester er identificeret og prioriteret.

Senest gennemgået: oktober 2026.