Når rapporten er gennemgået, står IT-afdelingen med en liste, hvor en indstilling på én server ligger ved siden af et fund om, at hele netværket er fladt. De to kan ikke håndteres på samme måde. Opdelingen hviler på et enkelt spørgsmål for hvert fund: kan det løses som en afgrænset ændring med kendt virkning, eller kræver det planlægning, flere parter og en ændring i, hvordan miljøet er bygget? Svaret afgør, om fundet hører til i denne uges arbejde eller i en projektplan.
To slags arbejde
Microsoft skelner i sin vejledning om sikring af Active Directory mellem taktiske tiltag, der retter sig mod bestemte dele af miljøet, og strategiske tiltag, der er bredere og kræver mere planlægning. Den samme opdeling kan bruges på hele rapporten.
- Hurtig rettelse · en ændring af en indstilling, en opdatering, en lukket port eller en fjernet konto, som én person eller ét team kan gennemføre inden for den almindelige drift.
- Projekt · en ændring af arkitektur, roller eller processer, som berører mange systemer og brugere, kræver beslutninger uden for IT og tager uger eller måneder.
Mellem de to ligger fund, der ser små ud, men har afhængigheder. De skal vurderes særskilt.
Giv dem en tredje betegnelse, fx uafklaret, og en kort frist for afklaringen. Afklaringen kan bestå i at finde ud af, hvilke systemer der bruger en funktion, om en leverandør skal involveres, eller om ændringen kan afprøves et sted uden for produktionen. Når svaret foreligger, flyttes fundet til en af de to grupper. Et fund, der står som uafklaret i flere måneder, er i realiteten et projekt uden ejer.
Kendetegn ved en hurtig rettelse
Et fund kan behandles som en hurtig rettelse, når flere af disse forhold er opfyldt.
- Én ejer · ét team kan gennemføre ændringen uden at vente på andre.
- Kendt virkning · I ved, hvilke brugere og systemer der påvirkes.
- Vej tilbage · ændringen kan rulles tilbage, hvis noget går galt.
- Ingen afhængigheder · andre ændringer skal ikke på plads først.
- Inden for driftsaftalen · hvis en leverandør skal udføre den, er den dækket. → Rettelser efter kundens test
Eksempler kan være en administrationsflade, der stadig er synlig fra internettet efter en flytning, en testkonto fra et gammelt projekt eller en server, der mangler opdateringer, som resten af serverne har fået.
Kendetegn ved et projekt
Et fund bliver et projekt, når rettelsen ændrer måden, I arbejder på, eller måden, miljøet hænger sammen på.
- Mange berørte · ændringen rammer mange brugere, afdelinger eller kunder.
- Arkitektur · rettelsen kræver ny opdeling af net, nye administrationsroller eller udskiftning af systemer. → Segmentering efter testen
- Beslutninger uden for IT · ledelsen eller forretningen skal prioritere tid eller penge.
- Flere leverandører · rettelsen kræver koordinering mellem parter.
- Ny praksis · administratorer eller brugere skal arbejde anderledes bagefter. → Lagdelt administration
Et projekt skal have en projektejer, en plan med delmål og en løbende status. Projektejeren behøver ikke sidde i IT, men skal have mandat til at træffe de beslutninger, projektet kræver, også når de berører andre afdelinger. Det hører ikke hjemme som en enkelt sag, der står åben i et halvt år.
Lille ændring er ikke det samme som lille risiko
Det er fristende at sortere efter, hvor lidt arbejde en ændring kræver. Men en ændring på én linje kan have stor rækkevidde. At slå en gammel protokol fra kan tage et minut og samtidig stoppe en printer, et lagersystem eller en integration, ingen huskede. → Gamle protokoller på netværket
Spørg derfor ikke kun, hvor længe det tager. Spørg også, hvad der kan gå i stykker, og hvordan I opdager det. Hvis svaret er uklart, er fundet ikke en hurtig rettelse, selv om selve ændringen er enkel. Så skal det først undersøges, og undersøgelsen er en opgave i sig selv. → Rettelser uden at stoppe driften
Begge dele for samme fund
Et alvorligt fund kan kalde på to spor. Det første dæmper risikoen nu, fx ved at begrænse, hvem der kan nå et system. Det andet fjerner årsagen. Et fund om, at almindelige brugere kan nå servernes administrationsflader, kan få en afskærmning i denne uge og en ny opdeling af nettet som projekt.
Registrér de to spor som hver sin opgave med hver sin frist. Hvis afskærmningen lukker sagen, forsvinder projektet ud af syne, og den midlertidige løsning bliver den permanente uden at nogen har besluttet det. → Midlertidige afhjælpninger
Den amerikanske standardorganisation NIST beskriver i sin vejledning om sikkerhedstest, at anbefalinger efter en test kan være både tekniske og rettet mod organisationens processer, fx en ændring af processen for opdateringer. Den sidste slags kræver en beslutning om, hvordan der arbejdes fremover, og den bør derfor planlægges som et projekt, selv om den udløses af et enkelt teknisk fund.
Rækkefølgen inden for hver gruppe
Opdelingen erstatter ikke prioriteringen. Inden for de hurtige rettelser kommer de alvorligste først. Et alvorligt fund skal ikke vente, fordi det tilfældigvis er et projekt. Til gengæld kan det give mening at tage en række hurtige rettelser med lav alvorlighed i ét samlet servicevindue, så driften kun forstyrres én gang.
Hold øje med, hvad de hurtige rettelser fortæller. Hvis mange af dem handler om det samme, fx konti uden ejer eller servere, der er sat op forskelligt, peger de på et projekt, der mangler: en fast proces eller en fælles standard. → Gør rettelserne permanente
Det skal I lade være med
- At måle fremdrift på antal lukkede fund alene. Ti hurtige rettelser kan vise mindre fremskridt end ét påbegyndt projekt.
- At lade projekter stå som almindelige sager. De mangler plan, delmål og ejer.
- At kalde en ændring hurtig uden vej tilbage. Så er den ikke afgrænset.
- At lukke det lange spor, når det korte er løst. Afskærmning er ikke rettelse.
- At udskyde et alvorligt fund, fordi det er stort. Start det med en midlertidig beskyttelse.
Hvad kan og ikke kan konkluderes
Opdelingen viser, hvordan IT har tænkt sig at angribe rapporten, og hvilke fund der kræver ledelsens opmærksomhed, fordi de er projekter. Den viser ikke, at de hurtige rettelser virker, eller at projekterne bliver gennemført. Den er heller ikke en vurdering af risiko: et fund kan være hurtigt at rette og samtidig det vigtigste i rapporten.
Tjekliste til opdelingen
- ☐ Er hvert fund vurderet som hurtig rettelse, projekt eller uafklaret?
- ☐ Har hver hurtig rettelse én ejer, kendt virkning og en vej tilbage?
- ☐ Har hvert projekt en projektejer, en plan og delmål?
- ☐ Er alvorlige fund med et langt spor givet en midlertidig beskyttelse?
- ☐ Er korte og lange spor registreret som hver sin opgave?
- ☐ Er gentagne hurtige rettelser vurderet som tegn på et manglende projekt?
Kilder
- Microsoft Learn: Best practices for securing Active Directory: skelnen mellem taktiske tiltag rettet mod bestemte dele af miljøet og strategiske tiltag, der kræver mere planlægning.
- NIST SP 800-115, afsnit 8.1: anbefalinger efter en test kan være tekniske eller rettet mod organisationens processer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Fra fund til opgave · Fremdrift på rettelserne
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
