Hvad får ledelsen ud af at teste igen år efter år?

Efter den tredje eller fjerde sikkerhedstest begynder nogle ledelser at spørge, hvad de egentlig får for pengene, når rapporten ligner den forrige. Svaret hviler på, hvad ledelsen bruger testene til. Ses de som enkeltstående målinger, falder værdien, fordi tallene ikke kan sammenlignes. Ses de som et redskab til at styre, prioritere og følge op, vokser værdien over tid, fordi ledelsen får et stadig bedre grundlag for sine beslutninger.

Værdien ligger altså mindre i den enkelte rapport og mere i den praksis, der opstår omkring testene: hvem der ejer resultatet, hvordan der følges op, og hvordan næste test vælges.

Hvorfor de første test føles mest værdifulde

Den første test kan give et billede, ingen havde før. Den finder forhold, der har ligget i årevis, og den sætter sikkerheden på ledelsens dagsorden. Det er let at se værdien.

De næste test giver mindre overraskelser, hvis fundene er rettet. Det er et godt tegn, men det kan føles som om, testen giver mindre. I virkeligheden har værdien flyttet sig: fra at opdage til at bekræfte, og fra at reagere til at styre.

Det er samme bevægelse, ledelsen kender fra andre områder. Den første revision af et nyt lager kan finde en række afvigelser. De følgende revisioner kan finde færre, men ingen ville af den grund stoppe med at tælle lageret. Værdien ligger i, at nogen kigger efter, og i at alle ved, at der bliver kigget efter. → Fra engangstest til fast praksis

Fire former for værdi, der vokser over tid

Når testene indgår i en fast praksis, kan ledelsen få udbytte, som en enkelt test ikke giver.

Kontrol af egne beslutninger · bekræfter næste test, at de alvorlige fund faktisk er rettet, og at rettelserne holder?
Tidlig advarsel om gentagelser · dukker samme slags svaghed op igen, peger det på et forhold i driften eller organisationen, som ikke er løst, og det kan ledelsen gøre noget ved.
Bedre fordeling af pengene · med flere års erfaring kan ledelsen se, hvilke dele af virksomheden der kræver mest opmærksomhed, og planlægge efter det.
Dokumentation over tid · en række test med opfølgning viser kunder, forsikring og bestyrelse, at sikkerheden behandles løbende og ikke kun, når nogen spørger.

Det britiske NCSC’s kodeks for ledelse af cyberrisici, som er frivilligt, peger på, at risikovurderinger skal ske regelmæssigt og afspejle ændringer, og at ledelsen skal sikre sig, at strategien faktisk når sine mål. Gentagne test kan være et af redskaberne til begge dele.

Sammenligning kræver omtanke

Det er fristende at sammenligne antal fund fra år til år. Det giver ikke nødvendigvis mening, fordi opgaven, systemerne og testeren skifter. Hvordan resultater kan sammenlignes, er beskrevet på opslagsværket penetrationtest.dk.

For ledelsen er det mere frugtbart at følge sin egen opfølgning: hvor hurtigt alvorlige fund rettes, om accepterede risici bliver genovervejet, og om de vigtigste systemer bliver testet med passende mellemrum. → Måler testen vores sikkerhedsniveau?

Tegn på, at værdien er ved at forsvinde

Gentagne test kan også stivne. Ledelsen kan være opmærksom på nogle tegn.

Opgavebeskrivelsen er den samme som sidste år, selv om virksomheden har ændret sig.
De samme fund går igen, uden at nogen har spurgt hvorfor.
Rapporten bliver sendt videre til kunden uden at have været drøftet i ledelsen.
Ingen kan forklare, hvorfor netop disse systemer er valgt.
Budgettet dækker testen, men ikke rettelserne.

Hvis flere af tegnene passer, er det ikke testen, der har mistet værdi, men styringen omkring den. Det kan rettes uden at skifte tester eller bruge flere penge, blot ved at ledelsen igen tager stilling til formålet. → Samme problemer igen

Sådan holder ledelsen værdien oppe

Ledelsen kan gøre meget med enkle midler. Før hver bestilling bør ledelsen stille spørgsmålet: hvad har ændret sig siden sidst, og hvad vil vi vide nu? Nye systemer, nye leverandører, nye kunder og nye trusler kan alle pege på, at næste test skal se på noget andet.

En plan, der rækker over flere år, gør det lettere. Den kan fordele de vigtigste systemer over årene, så alt det væsentlige bliver afprøvet med jævne mellemrum, og den giver plads til en uventet test, når der sker noget stort. → Flerårig testplan

Omfanget og dermed udgiften hvert år afhænger af, hvor mange systemer der er med, hvor dybt der testes, og hvor meget der skal forberedes. Hvordan opgaverne prissættes, kan I læse om under pris og tilbud.

Et tænkt eksempel

En familieejet producent af køkkenelementer har testet sine systemer hvert år i fem år. Den nye direktør undrer sig over, at rapporterne ligner hinanden, og overvejer at stoppe.

Ved et møde med IT gennemgår direktøren de seneste rapporter og opdager, at de alvorlige fund er rettet hvert år, men at der hvert år også dukker svagheder op i nye systemer, som er indført uden, at nogen har tænkt sikkerhed ind. Direktøren beslutter at fortsætte testene, men også at indføre en regel om, at nye systemer skal vurderes, før de tages i brug. Testene viste noget, som ingen enkelt rapport viste alene.

Bestyrelsen får samtidig en kort oversigt over de fem år: hvilke systemer der er testet, hvor hurtigt de alvorlige fund blev rettet, og hvilke nye systemer der gav nye fund. Oversigten erstatter den samlede vurdering, bestyrelsen tidligere fik, og gør det lettere at tage stilling til, hvor næste års indsats skal ligge.

Det skal I lade være med

At bestille samme test hvert år af vane · spørg, hvad der har ændret sig.
At måle værdien på antal fund · antal falder og stiger af forskellige grunde.
At stoppe, fordi rapporterne ligner hinanden · se først på, om fundene bliver rettet.
At lade testen køre uden en plan for flere år · så bliver vigtige systemer overset.
At glemme at evaluere selve testen · fik ledelsen svar på det, den spurgte om?

Hvad kan og ikke kan konkluderes

Gentagne test kan vise, om ledelsens beslutninger bliver ført ud i livet, og om de samme svagheder kommer igen. De kan ikke vise, at sikkerheden er blevet bedre målt på en skala, fordi testene ikke nødvendigvis er ens. Værdien over flere år afhænger mere af styringen omkring testene end af testene selv. → Evaluering af testen

Tjekliste før årets test

☐ Har ledelsen spurgt, hvad der har ændret sig siden sidst?
☐ Er de alvorlige fund fra sidste test rettet og kontrolleret?
☐ Er der en plan, der fordeler de vigtigste systemer over årene?
☐ Er der afsat budget til rettelser og ikke kun til testen?
☐ Har ledelsen evalueret, om sidste test svarede på det, den skulle?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: princip A5 om regelmæssige risikovurderinger, der afspejler ændringer, og B4 om at sikre, at strategien gennemføres og når sine mål.

Senest gennemgået: oktober 2026.