Virker de sikkerhedsinvesteringer, vi allerede har gjort?

Ledelsen har måske over årene godkendt en række udgifter til sikkerhed: nye løsninger, en aftale om overvågning med driftsleverandøren, et projekt om adgangsstyring, kurser til medarbejderne. Hver beslutning blev truffet med en forventning om, at den gjorde virksomheden mere sikker. Det er langt fra altid, at nogen bagefter har efterprøvet, om forventningen holdt. En sikkerhedstest kan bruges som netop den kontrol: den afprøver, om det, ledelsen har betalt for, også virker, når nogen forsøger at komme forbi det.

Godkendt er ikke det samme som virksomt

Når en investering er godkendt og gennemført, bliver den let til en afkrydsning i ledelsens bevidsthed. Løsningen er købt, aftalen er underskrevet, projektet er afsluttet. Men mellem beslutningen og virkningen ligger flere led: opsætningen, vedligeholdelsen, ændringer i systemerne og den måde, medarbejderne bruger løsningen på.

Hvert led kan svigte, uden at nogen bemærker det. En løsning kan være installeret, men kun dække en del af systemerne. En aftale om overvågning kan være indgået, men alarmerne går til en postkasse, ingen læser. En regel om adgange kan være vedtaget, men undtagelserne er blevet flere end reglerne. Ingen af delene er synlige i et budget eller en statusrapport. Derfor kan en ledelse i god tro antage, at et problem er løst, fordi den har betalt for løsningen, mens problemet i praksis stadig står åbent.

Testen som kontrol af beslutningerne

Den britiske myndighed NCSC beskriver penetrationstest som en måde at få sikkerhed for, at virksomhedens processer for at finde og håndtere svagheder virker. Det er præcis det, ledelsen har brug for her: ikke endnu en beskrivelse af, hvad der er indkøbt, men en afprøvning af, om det holder.

Den britiske kodeks for ledelse af cyberrisici peger i samme retning, når den lægger op til, at ledelsen sikrer sig, at sikkerhedsstrategien bliver gennemført effektivt og opnår de tilsigtede resultater. En plan, der er gennemført, er ikke det samme som en plan, der virker. → Sikkerhedstest som en del af virksomhedens strategi

Hvad ledelsen kan få efterprøvet

Ledelsen behøver ikke kende de tekniske detaljer for at bede om en kontrol. Det er nok at beskrive de beslutninger, der skal efterprøves, og hvad de skulle opnå.

Beskyttelse udadtil · holder det, der skal forhindre uvedkommende i at komme ind fra internettet?
Adgangsstyring · har medarbejdere og leverandører kun den adgang, de skal have, efter det projekt, ledelsen godkendte?
Overvågning · bliver det opdaget og fulgt op, når nogen gør noget usædvanligt i systemerne?
Opdateringer · bliver systemerne holdt ved lige, som aftalen med driftsleverandøren siger?
Adskillelse · er de vigtigste systemer adskilt fra resten, som det blev besluttet?

Formulér hvert punkt som et spørgsmål om virkning, ikke om eksistens. “Har vi overvågning?” er et spørgsmål, IT kan svare ja til. “Bliver det opdaget, hvis en konto bruges på en usædvanlig måde?” kræver en afprøvning. Overvågning og opdagelse kan i øvrigt kræve en anden form for test end den almindelige. → Penetrationstest eller angrebssimulering

Et tænkt eksempel

En ingeniørvirksomhed har i løbet af tre år godkendt en ny løsning til at beskytte mails, et projekt om tofaktorlogin og en aftale med driftsleverandøren om løbende opdateringer. Bestyrelsen spørger, hvad pengene har givet.

Direktøren bestiller en test med de tre investeringer som udgangspunkt. Testen viser, at mailbeskyttelsen og tofaktorlogin fungerer, som de skal, for de almindelige brugere, men at en gruppe ældre konti til fjernadgang er undtaget fra tofaktorlogin. Opdateringerne er gennemført på de servere, IT kendte til, men to ældre systemer, som ingen vidste stadig var i brug, er ikke med.

Direktøren kan nu svare bestyrelsen konkret: to af tre investeringer virker som forventet, og den tredje har huller, som ledelsen har besluttet at lukke. Det er et langt bedre svar end en liste over indkøb. → Hvad bør IT rapportere til ledelsen?

Når resultatet viser, at noget ikke virker

Det kan være ubehageligt at få at vide, at en investering ikke har givet det, ledelsen forventede. Reaktionen kan let blive at lede efter den, der traf beslutningen, eller den leverandør, der leverede.

En mere nyttig reaktion er at spørge, hvorfor investeringen ikke virker, som den skulle. Er løsningen forkert valgt, er den sat forkert op, eller har forudsætningerne ændret sig? Svaret afgør, om der skal investeres mere, justeres eller vælges noget andet. Måske er det sidste ikke nødvendigt. → Når to leverandører peger på hinanden

NCSC påpeger også, at en planlagt penetrationstest ikke betyder, at den løbende kontrol kan stoppe. Testen er et supplement til det daglige arbejde, ikke en erstatning for det.

Gør kontrollen til en vane

Den bedste tid til at tænke på kontrollen er, når investeringen bliver godkendt. Hvis ledelsen allerede da skriver ned, hvad investeringen skal opnå, og hvornår det skal efterprøves, bliver kontrollen en naturlig del af forløbet i stedet for noget, der opstår, når bestyrelsen spørger.

Det kan være så enkelt som en linje i beslutningsoplægget: hvad forventer vi, at løsningen forhindrer, og hvordan vil vi vide, om den gør det? Den linje gør det lettere for IT at planlægge, lettere for leverandøren at forstå forventningerne og lettere for ledelsen at følge op.

Over tid giver det ledelsen et billede af, hvilke typer beslutninger der virker, og hvilke der har det med at skuffe. Det er viden, der kan bruges, næste gang en leverandør præsenterer en ny løsning. → Test før I investerer i ny sikkerhed

Det skal I lade være med

At måle investeringer på, at de er gennemført · spørg, om de virker.
At spørge, om løsningen findes · spørg, hvad der sker, når nogen forsøger at komme forbi den.
At lade leverandøren af løsningen dokumentere effekten · bed om en uafhængig afprøvning.
At lede efter syndebukke, når noget ikke virker · find årsagen, og beslut, hvad der skal ske.
At holde op med den daglige kontrol, fordi der testes · testen supplerer, den erstatter ikke.

Hvad kan og ikke kan konkluderes

En test kan vise, om de investeringer, der blev afprøvet, virkede i de situationer, testen undersøgte. Den kan ikke vise, om pengene kunne have været brugt bedre et andet sted, og den kan ikke måle værdien af investeringer, der ikke indgik. En investering, der holdt i testen, kan stadig svigte, hvis forudsætningerne ændrer sig.

Tjekliste: kontrol af tidligere investeringer

☐ Har vi en liste over de vigtigste sikkerhedsbeslutninger fra de seneste år?
☐ Ved vi, hvad hver af dem skulle opnå?
☐ Er de formuleret som spørgsmål om virkning, ikke om eksistens?
☐ Er det en uafhængig part, der afprøver dem?
☐ Har vi aftalt, hvad der sker, hvis noget ikke virker?

Kilder

NCSC, Penetration testing: penetrationstest som en måde at få sikkerhed for, at håndteringen af svagheder virker, og at en planlagt test ikke erstatter den løbende kontrol.
NCSC og UK Government, Cyber Governance Code of Practice: B4 om at sikre, at strategien gennemføres effektivt og opnår de tilsigtede resultater.

Senest gennemgået: oktober 2026.