Efter de første travle uger bliver rettelserne fra en penetrationstest let til baggrundsstøj, fordi driftens almindelige sager altid føles mere presserende. Opfølgningen holder kun, hvis den har en fast rytme, en person, der driver den, og en status, der siger noget om, hvor langt hvert fund reelt er. Det er IT-afdelingens interne styring af arbejdet, og den er forudsætningen for, at IT-chefen kan rapportere troværdigt opad.
En fast rytme med en driver
Vælg et fast tidspunkt hver uge eller hver anden uge, hvor de åbne fund gennemgås. Tidspunktet er mindre vigtigt end, at det ligger fast og ikke flyttes, når driften har travlt. Det er netop i travle perioder, at rettelserne glider.
- Driver · én person, der indkalder, opdaterer listen og følger op på det, der ikke rykker sig. Driveren behøver ikke selv at rette noget.
- Deltagere · ejerne af de fund, der er åbne, og ikke hele afdelingen.
- Varighed · kort. Mødet er en statusgennemgang og ikke det sted, hvor problemerne løses.
- Materiale · opgavesystemet, ikke rapporten. → Fra fund til opgave
Har I en driftsleverandør, skal leverandørens ejere af fund være med, eller levere deres status skriftligt før mødet. Ellers ser listen bedre ud, end den er.
En status, der siger noget
Statusværdierne afgør, om opfølgningen bliver brugbar. Åben og lukket er for lidt, fordi de skjuler det, der sker imellem. Brug i stedet en håndfuld trin, som alle forstår på samme måde.
- Ikke påbegyndt · fundet har en ejer, men arbejdet er ikke startet.
- Under afklaring · ejeren undersøger afhængigheder, påvirkede systemer eller behov for leverandør.
- Planlagt · rettelsen har en dato og et servicevindue. → Rettelser uden at stoppe driften
- Afhjulpet midlertidigt · risikoen er dæmpet, men årsagen er ikke fjernet.
- Rettet, ikke kontrolleret · ændringen er gennemført, men ingen har efterprøvet den.
- Rettet og kontrolleret · nogen anden end den, der rettede, har set efter.
Trin fire og fem er dem, der kan blive hængende, uden at nogen opdager det. En midlertidig afskærmning, der står som næsten færdig, er stadig en åben sag. → Midlertidige afhjælpninger
Spørgsmålene på mødet
Gennemgå ikke hver sag fra en ende af. Stil i stedet de samme få spørgsmål hver gang, så det, der ikke bevæger sig, bliver synligt.
- Hvad er flyttet siden sidst? Ændringer i status, ikke beskrivelser af arbejdet.
- Hvad står stille? Fund, der har haft samme status i flere gennemgange.
- Hvad venter på andre? Leverandører, forretningen eller en beslutning fra ledelsen.
- Hvilke frister er ved at blive overskredet? Og hvad der skal til for at holde dem.
- Er der kommet noget nyt? Fund fra scanningen eller fra driften, der hører til samme indsats.
Et fund, der har stået stille tre gange i træk, skal have en beslutning: en ny ejer, flere ressourcer, en midlertidig afhjælpning eller en sag til ledelsen. At lade det stå en fjerde gang er også en beslutning, bare en, ingen har truffet åbent.
Udeståender og eskalering
Nogle fund går i stå af grunde, IT ikke selv kan løse. Leverandøren af et forretningssystem har ikke en opdatering klar, en afdeling vil ikke have nedetid i sin højsæson, eller rettelsen kræver penge, der ikke er afsat. De sager hører ikke hjemme i den ugentlige gennemgang i længden.
Aftal på forhånd, hvornår et fund løftes ud af IT’s egen opfølgning. Det kan være, når en frist for et alvorligt fund er overskredet, når rettelsen kræver en beslutning uden for IT, eller når fundet skal afvises eller accepteres som en risiko. NCSC beskriver beslutningen om ikke at opdatere som en risikobeslutning, der hører hjemme på ledelsesniveau, og det samme gælder i praksis for andre fund, der ikke rettes. → Status til ledelsen om rettelserne
Skriv eskaleringen ind i sagen, så det fremgår, hvem der har fået den, hvornår og med hvilket svar. Når svaret kommer, flyttes sagen tilbage til den ugentlige gennemgang med en ny frist, en midlertidig afhjælpning eller en dokumenteret accept. Et fund må ikke forsvinde ud af opfølgningen, bare fordi det er sendt videre til nogen, der endnu ikke har taget stilling.
Fra rettet til kontrolleret
Skridtet fra rettet til kontrolleret er let at springe over, fordi den, der har lavet ændringen, er overbevist om, at den virker. Lad derfor en anden person efterprøve rettelsen, og skriv i sagen, hvad der blev set efter, og hvornår. Det kan være en kollega i driften, en anden leverandør eller den ansvarlige for scanningen. Kontrollen behøver ikke være stor, men den skal svare på, om det forhold, rapporten beskrev, ikke længere findes, og om rettelsen også gælder de tilsvarende systemer, der ikke var nævnt. → Klar til retest
Hvad tallene kan vise
En opgørelse over åbne og lukkede fund er nyttig, men den kan snyde. Ti lukkede fund med lav alvorlighed kan dække over, at det ene alvorlige står stille. Hold derfor de alvorlige fund for sig i opgørelsen, og vis status pr. fund for dem.
- Pr. alvorlighed · hvor mange er åbne inden for hvert niveau.
- Alder · hvor længe de åbne fund har været åbne.
- Overskredne frister · hvilke fund er forbi den frist, I selv har sat.
- Midlertidige løsninger · hvor mange fund hviler på en afhjælpning, og hvornår den udløber.
Opgørelsen er et redskab til at styre arbejdet. Den skal ikke pyntes, og den skal kunne bruges uændret, når nogen udefra spørger.
Det skal I lade være med
- At følge op direkte i rapporten. Status hører til i opgavesystemet, hvor arbejdet foregår.
- At lade mødet blive problemløsning. Tag de tekniske drøftelser bagefter med de relevante.
- At bruge åben og lukket som eneste status. Det skjuler afhjælpninger og ukontrollerede rettelser.
- At lade et fund stå stille uden beslutning. Stilstand er også et valg.
- At slå alle fund sammen i ét tal. De alvorlige drukner.
- At stoppe opfølgningen efter retesten. Fund, der ikke var med i retesten, er stadig åbne.
Hvad kan og ikke kan konkluderes
En fast opfølgning viser, om rettelserne bevæger sig, hvor de står stille, og hvilke beslutninger der mangler. Den viser ikke, at rettelserne virker, før de er kontrolleret, og den siger intet om svagheder, testen ikke fandt. En pæn kurve over lukkede fund er et mål for arbejdsindsats, ikke for sikkerhed.
Tjekliste til opfølgningen
- ☐ Er der et fast tidspunkt for gennemgangen og en navngiven driver?
- ☐ Har hvert åbent fund en ejer og en status med mere end to trin?
- ☐ Er leverandørens fund med i gennemgangen?
- ☐ Bliver fund, der står stille, løftet til en beslutning?
- ☐ Er det aftalt, hvornår et fund eskaleres ud af IT?
- ☐ Vises de alvorlige fund for sig i opgørelsen?
- ☐ Fortsætter opfølgningen efter retesten?
Kilder
- NCSC: Vulnerability management: beslutningen om ikke at opdatere er en risikobeslutning på ledelsesniveau, og handlinger skal prioriteres.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Hurtige rettelser og større projekter · Rapporten i næste års driftsplan
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
