Overvågningskameraet ved porten, skærmen i mødelokalet og styringen til ventilationen er koblet på det samme net som resten af virksomheden, men ingen i IT har sat dem op. Når en intern test finder dem, er den sværeste del af fundet ikke nødvendigvis teknikken. Den sværeste del er at svare på, hvem der ejer enheden, og hvem der skal rette den. Svaret hviler på en intern aftale om ejerskab, som måske ikke findes, før testen tvinger spørgsmålet frem.
IT-afdelingen kan ikke nødvendigvis overtage ansvaret for alt udstyr med et netværksstik. Men IT kan sørge for, at hver enhed har en navngiven ejer, og at nettet er bygget, så en svag enhed ikke kan nå resten.
Sådan ender udstyret på nettet
Enhederne kommer ind ad mange døre. Facility bestiller kameraer hos sikringsfirmaet. Ledelsen køber mødelokaleudstyr hos en AV-leverandør. Driften af bygningen hører under udlejeren, og produktionen har sensorer, som maskinleverandøren har installeret. Fælles for dem er, at installatøren har brug for en netværksforbindelse, og at den hurtigste vej er et ledigt stik på kontornettet.
Det betyder ikke, at nogen har gjort noget forkert. Det betyder, at beslutningen om at koble en computer på nettet blev truffet uden for IT, og at ingen bagefter registrerede den. Enhederne lever derfor uden opdateringer, uden ændret standardopsætning og uden plads i nogen oversigt.
CISA og NSA nævner i deres fælles vejledning om typiske fejlopsætninger sikkerhedskameraer, udstyr til mødelokaler og telefoner blandt de enheder, der ofte leveres med standardlogin. Printerne hører til samme familie og er behandlet for sig. → Printere og multifunktionsmaskiner
Hvad testen kan vise
Fundene på enheder uden ejer ligner hinanden, uanset hvilket udstyr det drejer sig om.
- Ukendte enheder · testen finder enheder, som ikke står i nogen oversigt, og som ingen umiddelbart kan forklare.
- Standardopsætning · administrationssiden åbner med fabrikkens login eller helt uden.
- Forældet software · enheden har kørt uændret siden installationen.
- Fælles net · enheden står på samme net som klienter og servere.
- Forbindelser udadtil · enheden har en forbindelse til leverandørens cloud eller en åbning, så den kan styres fra en app.
Det første punkt kan være det mest nyttige. En liste over det, der faktisk svarede på nettet, holdt op mod jeres egen oversigt, viser, hvor stort hullet i overblikket er. Spørgsmålet om, hvem der kan koble en enhed på nettet i første omgang, hører til netværksadgangskontrollen. → Ukendte enheder på nettet
Ejerskab er rettelsen
Før et fund kan rettes, skal nogen tage imod det. For enheder uden ejer betyder det, at fundet først skal bruges til at placere ansvaret. Del ejerskabet op i to roller, så ingen bliver bedt om at påtage sig noget, de ikke kan løfte.
- Forretningsejer · den afdeling, der har købt og bruger udstyret, fx facility for kameraerne. Ejeren beslutter, om enheden skal beholdes, udskiftes eller fjernes, og har aftalen med leverandøren.
- Teknisk ansvarlig · den, der sørger for opdatering og opsætning. Det kan være IT, leverandøren eller en kombination, men det skal stå et sted.
IT har en tredje rolle, som ikke kan lægges ud: at bestemme, hvor på nettet enheden må stå, og hvad den må nå. Den rolle gør det muligt at begrænse risikoen, også når ejeren ikke kan rette selve enheden.
Skriv fordelingen ned i en kort oversigt pr. enhedstype frem for pr. enhed. Det er lettere at aftale, at facility ejer alle kameraer, og at sikringsfirmaet opdaterer dem, end at forhandle hver enkelt. Oversigten bør også sige, hvem der får besked, når en ny test finder noget på udstyret, og hvem der må godkende, at en enhed tages af nettet i en kritisk situation. Uden den sidste aftale kan IT stå med en åben svaghed og ingen, der vil sige ja til at slukke.
Adskillelse begrænser skaden
Mange af enhederne kan ikke hærdes særlig meget. Producenten udgiver måske ikke opdateringer, og indstillingerne er få. Derfor kan placeringen på nettet være den vigtigste rettelse. Et net for kameraer og et for bygningens styringer, hvor kun de nødvendige forbindelser er tilladt, gør, at en svag enhed ikke bliver et trinbræt til fildeling og servere. → Segmentering i dybden
For styringer i produktionen og bygningsdriften gælder særlige hensyn, fordi en fejl kan få fysiske følger. Der hører grænsen mellem kontornet og anlæg med i vurderingen. → OT-grænsen
Når en enhed hverken kan opdateres eller udskiftes lige nu, skal beslutningen om at beholde den træffes bevidst og skrives ned. → Et system, der ikke kan opdateres
Fra fund til fordeling
Rapporten nævner typisk enheden med adresse og fundtype. Det er ikke nok til at fordele opgaven. Supplér hvert fund med, hvad enheden er, hvor den står, og hvem der ejer den. Brug gerne en kort runde i afdelingerne, når listen er lavet; receptionen og lageret kan vide mere om udstyret end nogen i IT.
Opret derefter opgaverne med ejer og frist, også når arbejdet ligger hos en ekstern leverandør. Notér, hvis en leverandør skal ændre en aftale for at kunne rette. → Fra fund til opgave
Aftal til sidst en regel for fremtiden: nyt udstyr med netværksforbindelse meldes til IT, før det tilsluttes, og leverandøren ændrer standardlogin ved installationen. Reglen er lettere at få accepteret, når den kommer sammen med et konkret fund.
Det skal I lade være med
- At lade IT overtage alt udstyr uden aftale. Ansvaret bliver uklart, og IT får opgaver uden budget.
- At afvise fundet, fordi enheden ikke er IT’s. Nettet er IT’s, og placeringen kan rettes.
- At rette enhederne uden at lave en liste. Næste test finder de samme huller i overblikket.
- At give leverandøren fri adgang til at koble udstyr på. Tilslutninger skal gå gennem en aftalt vej.
- At glemme forbindelser til leverandørens cloud. De hører med i vurderingen af enheden.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke enheder der svarede på de net, testeren nåede, og hvordan de var sat op. Den kan ikke vise udstyr på net, testeren ikke kom ind på, eller enheder, der var slukket. Testen siger heller intet om, hvem der ejer enhederne. Det er en intern beslutning, som rapporten kun kan give anledning til.
Tjekliste til enheder uden ejer
- ☐ Er alle enheder fra testen ført ind i en oversigt med placering?
- ☐ Har hver enhed en forretningsejer og en teknisk ansvarlig?
- ☐ Står kameraer, skærme og styringer på net for sig?
- ☐ Er standardlogin ændret, hvor det er muligt?
- ☐ Er beslutninger om enheder, der ikke kan opdateres, skrevet ned?
- ☐ Findes der en regel for, hvordan nyt udstyr kommer på nettet?
Kilder
- CISA og NSA: Top Ten Cybersecurity Misconfigurations (AA23-278A): standardlogin på kameraer, mødelokaleudstyr, telefoner og andre forbundne enheder.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: OT-grænsen · Segmentering i dybden
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
