Pentestrapporten kan pege på svagheder i et lønsystem, et HR-system, et CRM-system eller et økonomisystem, som en afdeling selv har valgt, købt og betaler for. IT-afdelingen får rapporten, men ejer ikke systemet. Svaret på, hvem der retter hvad, hviler på en enkel fordeling: IT retter det, IT driver, systemejeren beslutter det, der handler om systemets brug og indhold, og leverandøren retter sin egen kode efter aftale med systemejeren. Det svære er ikke fordelingen, men at få den til at blive til handling.
Hvem er systemejeren?
En systemejer er den person i forretningen, der har ansvaret for et system: hvad det bruges til, hvem der må bruge det, og hvilken aftale der er med leverandøren. Det kan være en leder i den afdeling, der bruger systemet mest, fx lønchefen eller økonomichefen.
Kontrolstandarden ISO/IEC 27002 har kontroller med overskrifterne roller og ansvar for informationssikkerhed og fortegnelse over information og andre tilknyttede aktiver. Tankegangen er, at hvert aktiv har en ejer, og at ansvaret er fordelt, før der opstår et problem. Har I en fortegnelse over systemer med navngivne ejere, er halvdelen af arbejdet gjort. Har I ikke, er det første fund i sig selv. → Enheder uden ejer i IT
Tre lag i samme system
Et forretningssystem består af flere lag, og fundene kan ligge i hvert af dem:
- Driftslaget · servere, netværk, login via virksomhedens konti, backup og den måde, systemet kan nås på. Her har IT som udgangspunkt hånd i hanken, også når forretningen ejer systemet.
- Brugslaget · roller, rettigheder, integrationer til andre systemer, indstillinger i systemets egen administration og de data, der ligger i det. Her bestemmer systemejeren.
- Kodelaget · selve programmet og den løsning, leverandøren driver, hvis systemet ligger hos en udbyder. Her retter leverandøren.
Rapporten siger ikke altid, hvilket lag et fund ligger i. Det første arbejde er derfor at sortere fundene sammen med systemejeren. Når det drejer sig om rettigheder i selve systemet, er fundtypen beskrevet for sig. → Roller og rettigheder i forretningssystemer
Det, IT kan rette selv
Fund i driftslaget kan IT rette inden for de rammer, der gælder for den øvrige drift: begrænse, hvem der kan nå systemet over netværket, flytte login til virksomhedens fælles login med tofaktor, opdatere den server, systemet kører på, og sikre, at backuppen er adskilt.
Også her skal systemejeren orienteres, før noget ændres. En ændring i adgangen kan ramme en lønkørsel eller en integration, som IT ikke kender til. Aftal et tidspunkt, og brug den sædvanlige ændringsproces.
Ligger systemet hos en udbyder, bliver driftslaget mindre. Serveren og netværket er så udbyderens, og IT’s del indskrænker sig til login, tofaktor, de konti, der bruges til integrationer, og de netværksforbindelser, der går fra jeres eget miljø til udbyderen. Det er stadig vigtige fund. En integrationskonto med bred adgang eller et login uden om virksomhedens fælles løsning kan være den nemmeste vej ind i systemet, uanset hvor godt udbyderen passer på resten. Gennemgå derfor de konti, der forbinder systemet med jeres øvrige miljø, sammen med systemejeren.
Det, systemejeren skal beslutte
Fund i brugslaget kræver en beslutning, som IT ikke kan træffe alene:
- Hvem skal have adgang · kun systemejeren ved, hvilke opgaver hver medarbejder har.
- Hvilke integrationer er nødvendige · en forbindelse til et andet system kan være glemt, eller den kan være kritisk for en arbejdsgang.
- Hvilke data skal ligge der · gamle oplysninger, der ikke længere bruges, kan måske slettes eller arkiveres efter afdelingens egne regler.
- Hvad må det koste i besvær · strammere rettigheder kan betyde flere henvendelser og ændrede arbejdsgange i afdelingen.
IT’s rolle er at forklare fundet, så en ikke-teknisk systemejer kan se konsekvensen, og at foreslå løsninger. Beslutningen og prioriteringen ligger hos systemejeren.
Når leverandøren skal rette
Fund i kodelaget skal sendes til leverandøren. Det er systemejeren, der har aftalen, og derfor er det systemejeren, der skal stille kravet. IT kan hjælpe med at beskrive fundet teknisk og med at vurdere leverandørens svar. → Webløsninger udviklet af andre
Send kun de dele af rapporten, der vedrører leverandørens system, og send dem på en sikker måde. Spørg, hvornår rettelsen forventes, og om der er en midlertidig foranstaltning, I kan bruge imens. Kan leverandøren ikke give en dato, er det en oplysning, systemejeren skal tage stilling til. → Midlertidige afhjælpninger
Sådan får IT rettelserne gennemført uden at eje systemet
IT kan ikke beordre en afdeling til at rette. Det, IT kan, er at gøre det let at sige ja og synligt at sige nej.
- Et fælles møde · gennemgå fundene med systemejeren, sorter dem i de tre lag, og aftal, hvem der gør hvad.
- Fund oversat til forretningens sprog · beskriv, hvad fundet kan betyde for løn, kunder eller regnskab, ikke kun den tekniske detalje.
- Opgaver med navn og dato · hvert fund får en ejer og en forventet dato i jeres opgavesystem, også dem, systemejeren eller leverandøren skal løse. → Fra fund til opgave
- En aftalt vej til ledelsen · hvis et fund ikke bliver rettet eller besluttet inden fristen, går det til den ledelse, der har sat rammerne for informationssikkerheden.
Det sidste punkt skal være aftalt på forhånd, så det ikke opleves som en klage. Det er en del af processen, ikke en konflikt. → Status til ledelsen om rettelserne
Det skal I lade være med
- At rette i systemets egne indstillinger uden systemejerens accept. Det kan stoppe en arbejdsgang, IT ikke kender.
- At sende hele rapporten til leverandøren. Den indeholder oplysninger om andre systemer.
- At lade fundene ligge, fordi IT ikke ejer systemet. IT ejer stadig opfølgningen på rapporten.
- At skrive fundene i tekniske termer til en ikke-teknisk modtager. Beslutningen bliver bedre, når konsekvensen er tydelig.
- At glemme at opdatere fortegnelsen. Viser testen et system uden kendt ejer, skal det rettes i oversigten.
Hvad kan og ikke kan konkluderes
Rapporten kan vise, at et forretningssystem har svagheder, og i hvilket lag de ligger. Den kan ikke afgøre, hvem der har ansvaret for rettelsen. Det afgøres af jeres egen fordeling af ejerskab og af aftalen med leverandøren. Hvad leverandøren er forpligtet til, er et spørgsmål om kontrakten, som systemejeren afklarer med leverandøren og eventuelt med egen rådgiver.
Tjekliste til fund hos systemejere
- ☐ Har hvert berørt system en navngiven ejer?
- ☐ Er fundene sorteret i drifts-, bruger- og kodelag?
- ☐ Er systemejeren orienteret, før IT ændrer i driftslaget?
- ☐ Har leverandøren fået de relevante fund på en sikker måde?
- ☐ Har hvert fund en ejer og en dato?
- ☐ Er vejen til ledelsen aftalt, hvis en frist ikke holder?
Kilder
- ISO/IEC 27002:2022: ISO’s side om kontrolstandarden.
- DIN, indholdsfortegnelse til ISO/IEC 27002:2022: kontrollernes overskrifter 5.2 (roller og ansvar for informationssikkerhed) og 5.9 (fortegnelse over information og andre tilknyttede aktiver).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Mindst mulig adgang i praksis · API-nøgler og integrationskonti
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
