En ny IT-chef overtager ikke bare et team og et budget, men også år af beslutninger, undtagelser og løsninger, som ingen længere husker begrundelsen for. Dokumentationen beskriver, hvordan miljøet var tænkt. En penetrationstest viser, hvordan det faktisk opfører sig. Svaret på, hvordan du bruger testen, hviler på tre valg: at den ligger, når du kender miljøet nok til at kunne læse resultatet, at den dækker de områder, der siger mest om helheden, og at resultatet bliver behandlet som et udgangspunkt for driftsplanen og ikke som en vurdering af dem, der var før dig.
Hvorfor en test giver et andet billede end overdragelsen
Overdragelsen fra en forgænger eller en konstitueret leder fortæller, hvad personen vidste og huskede at nævne. Det er værdifuldt, men det er et billede set indefra. En test ser miljøet udefra og nedefra: hvad der kan nås fra internettet, hvad en almindelig konto kan komme til, og hvor rettighederne er vokset ud over det, der var meningen.
NIST beskriver i Cybersecurity Framework 2.0 funktionen Identify som forståelsen af organisationens aktiver, leverandører og de risici, der knytter sig til dem. Det er netop den forståelse, en ny IT-chef mangler i starten. Testen erstatter ikke det arbejde, men den giver det en kontrol: passer listen over systemer med det, testeren kunne finde?
Hvornår i de første måneder testen giver mening
En test i den første uge giver en rapport, du ikke kan sætte i sammenhæng. En test efter et år måler i højere grad dine egne beslutninger. Mellem de to ligger et vindue, hvor testen giver mest:
- Efter de første samtaler · når du har talt med teamet, ledelsen og de vigtigste leverandører og har et groft billede af miljøet.
- Før budgettet lægges · så fundene kan indgå i prioriteringen af næste års opgaver.
- Før større ændringer · en flytning til cloud eller et skifte af driftsleverandør ændrer det, der skal måles på.
Hvornår vinduet ligger, afhænger af organisationens størrelse og af, hvor hurtigt du kan danne dig et overblik. Spørg også, om der findes tidligere rapporter. En test fra for to år siden kan fortælle, hvilke fund der blev rettet, og hvilke der stadig står åbne. Den kan også vise, om der er områder, der aldrig har været testet. Mangler rapporterne, eller ved ingen, hvor de er, er det i sig selv en oplysning om, hvordan opfølgningen har fungeret, og et punkt til din egen plan for, hvordan resultater gemmes fremover. Det vigtige er, at du selv kan læse rapporten og stå inde for prioriteringen bagefter.
De områder, der giver et retvisende udgangspunkt
Et første opdrag skal ikke dække alt. Det skal dække de områder, hvor svaret siger mest om resten. Tre områder er et godt sted at begynde, uanset størrelse:
- Identitet · hvem der har administrative rettigheder i Active Directory og Entra ID, og om de bruges som tænkt. → Identitet og adgang
- Eksponering · hvad der vender ud mod internettet, og om nogen ved, at det er der. → Overblik over internetvendte systemer
- Backup · om backuppen kan nås og ændres fra de samme konti, som driften bruger til alt andet. → Backupsystemet som mål
CIS Controls starter med to kontroller om inventar: overblik over enheder og overblik over software. Et af de mest brugbare resultater af en første test kan være listen over det, testeren fandt, men som ikke stod nogen steder.
Testen som baseline for driftsplanen
En baseline er et målepunkt, som senere test og opfølgning kan sammenlignes med. For at rapporten kan bruges sådan, skal den behandles som et dokument, der beskriver en tilstand, og ikke som en sag, der skal lukkes.
- Sorter fundene efter tema · identitet, opdatering, eksponering, backup, segmentering. Temaerne bliver til linjer i driftsplanen. → Rapporten i driftsplanen
- Skel mellem rettelser og retning · nogle fund kan lukkes med en indstilling. Andre peger på en arbejdsform, der skal ændres over tid.
- Gem rapporten som udgangspunkt · så næste test kan vise, hvad der er bedre, og hvad der er nyt. Notér også, hvad der ikke var med i opdraget, så ingen senere læser rapporten som et billede af hele miljøet.
Brug også resultatet i samtalen med ledelsen. Det giver dig et konkret grundlag for, hvad der skal prioriteres, og hvad det kræver. Direktionens side af samme situation er beskrevet på sikkerhedstesten.dk.
Uden at gøre testen til en dom over forgængeren eller teamet
Det er nemt for et nyt ansigt at bruge en rapport til at markere et skifte. Det er også en hurtig måde at miste teamets tillid på. De fund, testen viser, er resultatet af prioriteringer, ressourcer og tidspres, som du ikke kender detaljerne i.
Inddrag teamet fra starten. Fortæl, hvorfor testen laves, og at formålet er at skabe et fælles billede af, hvor I står. Lad dem, der kender systemerne, hjælpe med afgrænsningen. Når rapporten kommer, så gennemgå den sammen med dem, før den går videre. De kan forklare, hvorfor et system ser ud, som det gør, og den viden har du brug for, når du skal prioritere. → Læring i driften efter testen
Tal om fund som tilstande og ikke som fejl begået af navngivne personer. Spørgsmål om ansvar, ansættelse eller tidligere aftaler hører ikke til i fundgennemgangen. Opstår de, er det et spørgsmål for ledelsen og den rådgivning, organisationen bruger.
Det skal I lade være med
- At bestille en test i den første uge. Du kan ikke læse resultatet uden kendskab til miljøet.
- At holde teamet uden for afgrænsningen. De ved, hvor grænserne faktisk går.
- At præsentere rapporten som en vurdering af forgængeren. Den beskriver en tilstand.
- At forsøge at rette alt før næste kvartal. Lav en plan, der kan holde ved siden af driften.
- At lade rapporten blive i skuffen. En baseline uden opfølgning måler ingenting.
Hvad kan og ikke kan konkluderes
En første test beskriver de områder, der var med, som de så ud i testperioden. Den viser ikke, hvordan miljøet så ud tidligere, eller hvem der traf de enkelte beslutninger. Den kan give dig et dokumenteret udgangspunkt for driftsplanen og et grundlag for prioriteringen, men ikke et fuldt billede af alt, du har arvet.
Tjekliste for den nye IT-chef
- ☐ Har jeg talt med teamet, ledelsen og de vigtigste leverandører først?
- ☐ Ligger testen, før næste budget skal lægges?
- ☐ Dækker opdraget identitet, eksponering og backup?
- ☐ Har teamet været med i afgrænsningen?
- ☐ Er det aftalt, hvordan rapporten gennemgås med teamet?
- ☐ Er fundene sorteret efter tema i driftsplanen?
- ☐ Er rapporten gemt som baseline til næste test?
Kilder
- NIST Cybersecurity Framework 2.0: funktionen Identify beskrives som forståelsen af organisationens aktiver, leverandører og tilknyttede risici (CSWP 29, februar 2024).
- CIS Controls v8.1: kontrol 1 (inventar og kontrol af enheder) og kontrol 2 (inventar og kontrol af software).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Når testen viser, at dokumentationen ikke passer · Enheder uden ejer i IT
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
