Når virksomheden kun har én IT-person, lander hele testen på samme skrivebord: forberedelsen, telefonen under testen, rettelserne og samtalen med ledelsen om rapporten. Det kan godt lade sig gøre, men det kræver, at forløbet bliver tilrettelagt efter én persons kalender og kapacitet, og ikke efter en IT-afdeling, der ikke findes. Svaret hviler på tre greb: et smalt og klart opdrag, en navngiven stedfortræder til de få beslutninger, der ikke kan vente, og en rettelsesplan, der tager højde for, at du også skal passe den daglige drift.
Opdraget skal passe til én person
En bred test giver en lang rapport. For en afdeling med flere hænder er det en arbejdsliste. For én person kan det blive en bunke, der aldrig bliver færdig. Vælg derfor sammen med ledelsen de områder, hvor svaret betyder mest, fx det, der vender ud mod internettet, Microsoft 365 eller det interne net, og lad resten vente til næste runde.
Sig tydeligt til testeren, at virksomheden har én IT-ressource. Det er ikke en undskyldning, men en oplysning, der påvirker planlægningen: hvornår testen kan ligge, hvor hurtigt du kan svare, og hvor meget forberedelse der er realistisk. Arbejdslisten i en større organisation er beskrevet i → Forberedelse i IT-afdelingen. Brug den som tjekliste, men skær den til.
Forberedelse uden kolleger
Det, en afdeling fordeler på flere personer, skal du klare i den rigtige rækkefølge:
- Overblik først · en opdateret liste over systemer, adresser og leverandører. Den skal du alligevel bruge i hverdagen.
- Testkonti og adgang · opret dem i god tid, og afprøv dem selv, før testeren skal bruge dem.
- Leverandører · hosting, driftsleverandør og systemleverandører skal kende testperioden. Svar udefra er det, der tager længst tid.
- Backup · kontrollér, at der er en frisk og gendannelig backup af de systemer, testen berører.
- Kalender · læg testen i en periode uden ferie, flytning, opgradering eller årsafslutning.
Den offentlige kampagne “9 råd om digital sikkerhed” på sikkerdigital.dk starter med overblik over systemer, data og leverandører. Har du ikke det overblik, er det et godt sted at begynde, uanset testen.
Stedfortræderen og de beslutninger, der ikke kan vente
Under testen kan der opstå situationer, hvor nogen skal svare inden for kort tid: et system holder op med at svare, testeren finder følsomme data, eller overvågningen ser noget, der ikke ligner testen. Er du syg eller til et møde, skal der være en anden.
Stedfortræderen behøver ikke være tekniker. Det kan være en leder, der må sige stop, og som ved, hvem der kan genstarte et system, fx driftsleverandøren. Skriv tre ting ned til personen: hvem testeren er, hvem der må stoppe testen, og hvem der ringes til ved driftsforstyrrelser. Rollen er beskrevet mere fagligt i → Kontaktpersonen i IT under testen.
Aftal med testeren, hvornår du er til at træffe, og hvordan en henvendelse uden for den tid håndteres. Det kan fx aftales, at alvorlige fund meldes til både dig og stedfortræderen, og at testen sættes på pause, hvis ingen af jer kan nås.
Det, du kan bede testeren om
Når der kun er én person til at tage imod, kan det betale sig at aftale formen på forhånd. Spørg, om det er muligt at få:
- En kort status undervejs · fx ved dagens afslutning, så alvorlige fund ikke venter til rapporten.
- Fundene sorteret efter indsats · hvad der kan rettes med en indstilling, og hvad der kræver et projekt.
- En gennemgang af rapporten · hvor du kan stille spørgsmål, før ledelsen læser den.
Hvad der kan leveres, afhænger af testeren og af opdraget. Det vigtige er, at det står i aftalen og ikke kun er en forventning.
Når rapporten handler om dit eget arbejde
Det er næppe til at undgå, at en rapport føles personlig, når du selv har bygget og passet miljøet. Hvert fund kan læses som en karakter. Det er ikke det, rapporten er. Den beskriver tilstanden på et tidspunkt, set af en, der har haft tid til at lede efter svagheder, mens du har haft drift, brugere og projekter at passe.
Læs rapporten med ledelsen som en beskrivelse af prioriteringer. Bag et fund kan der ligge et valg, der blev truffet med de ressourcer, der var. Hvis det er rigtigt, så sig det, sagligt og med eksempler: hvad der blev valgt fra, og hvorfor. Det giver ledelsen et bedre grundlag end en forsvarstale. Læs om, hvordan IT kan lægge et oplæg frem i → IT-afdelingen og ledelsens beslutning. Ledelsens side af afhængigheden af én person er beskrevet på sikkerhedstesten.dk.
Rettelser med én persons kapacitet
Del fundene i tre bunker, før du begynder:
- Hurtige rettelser · indstillinger og opdateringer, der kan klares uden nedetid. → Hurtige rettelser efter testen
- Rettelser, der kræver et vindue · ændringer, brugerne vil mærke, eller som kræver en leverandør.
- Beslutninger · fund, der kræver budget, ny licens eller ekstern hjælp. De hører hjemme hos ledelsen.
Det, der ikke kan rettes med det samme, kan i nogle tilfælde afhjælpes midlertidigt. → Midlertidige afhjælpninger
Skal du vælge mellem rettelser af samme alvor, kan CIS Controls hjælpe. CIS har samlet en grundpakke, Implementation Group 1, til organisationer med begrænset IT- og sikkerhedsbemanding, og den kan bruges som rettesnor for, hvad der bør være på plads først.
Sæt en dato på hver rettelse, som du kan holde ved siden af den daglige drift. En plan, der forudsætter, at alt andet står stille i en måned, holder ikke. Kan rettelserne ikke nås inden for en rimelig tid, er det et ressourcespørgsmål, som ledelsen skal tage stilling til, fx ved at købe hjælp hos driftsleverandøren til en afgrænset del.
Det skal I lade være med
- At bestille en test af alt på én gang. Rapporten bliver større end din kapacitet.
- At være eneste kontakt uden stedfortræder. Sygdom på første testdag standser forløbet.
- At rette i løbet af testen uden aftale. Testeren afprøver så noget andet end det bestilte.
- At skjule kendte svagheder for at få et pænere resultat. Testen bliver mindre brugbar for dig.
- At gå direkte i forsvar over for ledelsen. Forklar valgene, og fremlæg en plan.
Hvad kan og ikke kan konkluderes
Testen viser, hvad testeren fandt i de valgte områder på testtidspunktet. Den siger ikke noget om, hvor dygtig IT-personen er, og et kort fundsæt betyder ikke, at miljøet er uden svagheder uden for opdraget. Hvad testen kan vise, er, hvilke rettelser der giver mest sikkerhed for den kapacitet, virksomheden har.
Tjekliste for den eneste IT-person
- ☐ Er opdraget afgrænset til de områder, der betyder mest?
- ☐ Ved testeren, at der kun er én IT-ressource?
- ☐ Er stedfortræderen udpeget og orienteret?
- ☐ Er det aftalt, hvem der må stoppe testen?
- ☐ Kender leverandørerne testperioden?
- ☐ Er formen på status og rapportgennemgang aftalt?
- ☐ Er der afsat tid til rettelser i kalenderen efter testen?
Kilder
- Sikkerdigital.dk: 9 råd om digital sikkerhed: kampagne fra Styrelsen for Samfundssikkerhed og Cybersikkerhedspagten; første råd er overblik over systemer, data og leverandører.
- CIS Controls v8.1: Implementation Group 1: grundlæggende sikkerhedsforanstaltninger beregnet til organisationer med begrænset IT- og sikkerhedsbemanding.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Læring i driften efter testen · Status til ledelsen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
