IT-chefen kan stå med to lister på samme tid: revisionens bemærkninger til de generelle IT-kontroller og pentestrapportens fund. Begge handler om adgang, ændringer og drift, og alligevel taler de forskellige sprog. Løsningen hviler på at forstå, hvad hver liste er lavet til, og derefter at føre dem i én plan, hvor hvert emne har én ejer og én status, men hvor det stadig fremgår, hvem der har rejst punktet, og hvad de skal se for at lukke det.
To lister med hver sit formål
Revisorens gennemgang af IT sker som led i revisionen af regnskabet. Den internationale revisionsstandard ISA 315 (Revised 2019) beskriver, at revisor skal forstå virksomhedens IT-miljø og identificere generelle IT-kontroller, fordi de understøtter, at oplysningerne i regnskabssystemerne er fuldstændige, nøjagtige og gyldige. Spørgsmålet er altså, om kontrollerne er udformet og fungerer, så regnskabet kan stoles på.
Pentesten stiller et andet spørgsmål: kan en svaghed udnyttes, og hvad kan nås, hvis den bliver det? Testeren ser ikke på, om en procedure er skrevet ned. Testeren ser på, om døren faktisk er åben.
Når de to lister lægges ved siden af hinanden, er det derfor ikke en fejl, at de ikke ligner hinanden. Det er en følge af, at de er bygget til hvert sit formål.
Hvor emnerne mødes
Standarden opdeler virksomhedens IT-processer i tre: styring af adgang til IT-miljøet, styring af ændringer i programmer og miljø og styring af IT-driften. De samme tre områder går igen i en pentestrapport, bare set fra en anden vinkel.
- Adgang · revisionen spørger, om tildeling og fjernelse af rettigheder er godkendt og dokumenteret. Testen viser, om der findes konti eller grupper med mere adgang end nødvendigt. → Mindst mulig adgang i praksis
- Ændringer · revisionen spørger, om ændringer i systemerne godkendes og registreres. Testen kan vise opsætning, der er ændret uden om processen, eller gamle undtagelser, der aldrig blev fjernet. → Testen i jeres ændringsstyring
- Drift · revisionen spørger til backup, overvågning og hændelseshåndtering. Testen kan vise, om backuppen kan nås af den samme konto, der kan nå produktionen. → Backupsystemet som mål
Når en bemærkning og et fund rammer samme område, er det et tegn på, at emnet fortjener en fælles løsning frem for to parallelle rettelser.
Mangler der dokumentation, eller kan det udnyttes?
Det vigtigste skel i planen går mellem en kontrol, der mangler dokumentation, og en svaghed, der kan udnyttes. Fire kombinationer kan forekomme:
- Dokumentationen mangler, men kontrollen virker · fx bliver fratrådte medarbejderes konti lukket, men det sker uden spor. Rettelsen er en rutine for registrering, ikke en teknisk ændring.
- Dokumentationen er i orden, men svagheden findes · proceduren er godkendt, men testen fandt en vej, proceduren ikke dækker. Rettelsen er teknisk, og proceduren skal måske skrives om.
- Begge dele mangler · det giver den højeste prioritet, fordi der hverken er styr på processen eller på resultatet.
- Kun den ene liste nævner emnet · det kan ske, fordi listerne har forskelligt omfang. Et pentestfund i et system uden betydning for regnskabet indgår ikke i revisionen, og en manglende godkendelse af ændringer kan være usynlig for testeren.
Skellet beskytter mod to fejl: at bruge tid på teknik, når det var papiret, der manglede, og at tro, et punkt er lukket, fordi proceduren nu er skrevet.
Én plan med én ejer pr. emne
Planen behøver ikke et nyt system. Den kan ligge i det opgavesystem, I allerede bruger, når hvert punkt har de samme felter. → Fra fund til opgave
- Emne · det fælles område, fx adgang til økonomisystemet.
- Kilde · revisionens bemærkning, testens fund eller begge, med henvisning til det oprindelige punkt.
- Type · dokumentation, teknik eller begge.
- Ejer · én navngiven person, der har ansvaret for, at punktet bliver lukket.
- Status · åben, i gang, rettet eller lukket, og hvem der har bekræftet det.
- Bevis · det, der skal fremlægges for at lukke punktet over for den, der rejste det.
Ét emne kan have to kilder, men det skal kun have én ejer. Ellers ender to personer med at rette det samme eller med at vente på hinanden.
Hvad hver part skal se for at lukke punktet
Revisor og tester lukker punkter på forskellig måde. Revisor kan bede om dokumentation for, at kontrollen har fungeret over en periode. Testeren eller en senere test vil kunne bekræfte, at en bestemt vej ikke længere virker. → Klar til retest
Aftal derfor allerede ved planlægningen, hvilket bevis hvert punkt kræver. Et punkt med begge kilder kan kræve både en teknisk rettelse, der kan afprøves, og en rutine, der efterlader spor. Hvis revisors forventning til selve testen er uklar, er det et spørgsmål, der hører til før bestillingen og er forklaret for køberen på penetrationtest.dk.
Planen i den løbende opfølgning
Når planen er samlet, kan den bruges som grundlag for den løbende status. Ledelsen får ét billede i stedet for to, og IT-afdelingen kan vise, hvor en rettelse lukker punkter fra begge kilder på én gang. → Fremdrift på rettelserne
Gem den oprindelige ordlyd fra revisionen og fra rapporten ved hvert punkt. Når næste revision eller næste test kommer, skal I kunne vise, hvad der blev rejst, og hvad der er gjort.
Det skal I lade være med
- At omskrive revisionens bemærkning til jeres egne ord og glemme originalen. Revisor vurderer ud fra sin egen formulering.
- At lukke et pentestfund med en ny procedure alene. Hvis svagheden stadig kan udnyttes, er fundet ikke rettet.
- At give samme emne to ejere. Del hellere opgaven, men hold ansvaret samlet.
- At sende pentestrapporten til revisor uden aftale. Rapporten er fortrolig, og det skal være besluttet, hvem der må se den.
- At slå forskellige alvorlighedsskalaer sammen. Revisionens vurdering og testens alvorlighedsgrad bygger på hvert sit grundlag og kan stå side om side.
Hvad kan og ikke kan konkluderes
En samlet plan kan vise, hvilke emner der er rejst fra hvilken kilde, hvem der ejer dem, og hvor langt rettelserne er. Den kan ikke vise, om revisor vil anse et punkt for løst, eller om en senere test vil bekræfte rettelsen. Den vurdering ligger hos revisor og tester. Teksten er ikke revisionsfaglig rådgivning, og spørgsmål om revisionens omfang afklares med revisor.
Tjekliste til den samlede plan
- ☐ Er alle bemærkninger og fund ført ind med henvisning til kilden?
- ☐ Er hvert punkt markeret som dokumentation, teknik eller begge?
- ☐ Har hvert emne én navngiven ejer?
- ☐ Er det aftalt, hvilket bevis der lukker hvert punkt?
- ☐ Er det besluttet, hvem der må se pentestrapporten?
- ☐ Er planen en del af den løbende status til ledelsen?
Kilder
- IAASB: ISA 315 (Revised 2019), Identifying and Assessing the Risks of Material Misstatement: revisors formål (afsnit 11), definitionen af generelle IT-kontroller og IT-processerne adgang, ændringer og drift (afsnit 12, litra d og g), og kravet om at identificere generelle IT-kontroller (afsnit 26).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Hurtige rettelser og større projekter · Når testen viser, at dokumentationen ikke passer
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
