Når de akutte rettelser efter en penetrationstest er lavet, kan der stå en række fund tilbage, som kræver tid, vinduer og samarbejde over flere måneder. Lever de kun i sagssystemet, taber de til de almindelige driftsopgaver, hver gang der er travlt. De holder, når de bliver en del af den plan, driften i forvejen arbejder efter: årets servicevinduer, de faste vedligeholdelsesopgaver, udskiftningerne og den kapacitet, teamet faktisk har. Budgettet er ledelsens sag. Her handler det om, hvordan IT omsætter rapporten til planlagt drift.
Rapporten som input, ikke som plan
En rapport er sorteret efter alvorlighed. En driftsplan er sorteret efter tid, kapacitet og afhængigheder. Det er to forskellige ordener, og arbejdet består i at flytte fundene fra den ene til den anden uden at tabe alvorligheden på vejen.
Start med de fund, der ikke er lukket, når de hurtige rettelser er gjort. → Hurtige rettelser og større projekter Del dem i tre grupper:
- Faste opgaver · fund, der viser, at noget skal gøres løbende, fx gennemgang af konti eller kontrol af opsætning.
- Projekter · fund, der kræver en større ændring, fx ny opdeling af nettet eller udskiftning af et system.
- Vedligehold · fund, der kan løses inden for de vinduer, I allerede har til opdateringer og ændringer.
Faste opgaver i årshjulet
Nogle fund er tegn på, at en opgave mangler i driftens faste rytme. En liste over inaktive konti, der ikke blev ryddet, peger på en gennemgang, der skal ske regelmæssigt. En administrationsflade, der blev glemt efter en flytning, peger på et kontrolpunkt i afslutningen af projekter.
Skriv de opgaver ind i årshjulet med en ejer og en hyppighed, I selv vælger ud fra jeres miljø. → Inaktive konti og gamle computere i kataloget
- Gennemgang af konti og grupper · hvem har adgang, og er det stadig rigtigt.
- Gennemgang af internetvendte systemer · er der kommet noget til, siden sidst.
- Kontrol af standardopsætning · afviger maskinerne fra det, I har besluttet.
- Gennemgang af undtagelser · er midlertidige løsninger og accepterede risici stadig gyldige.
Vedligehold og servicevinduer
NIST beskriver i sin vejledning om opdateringsstyring, at opdatering af systemer er en del af forebyggende vedligehold, og anbefaler en samlet strategi for virksomheden frem for enkeltsager. Den tankegang kan bruges på alle rettelser, der kan planlægges som vedligehold.
- Saml i vinduer · rettelser på de samme systemer lægges i samme servicevindue, så brugerne mærker én forstyrrelse.
- Afstem med forretningen · tidspunkter uden for højsæson, regnskabsafslutning eller andre kritiske perioder.
- Afprøvning først · rettelser, der kan påvirke andre systemer, afprøves, før de kommer i et vindue. → Rettelser uden at stoppe driften
Hvis de eksisterende vinduer ikke rækker, er det en oplysning, der skal med i planen og i status til ledelsen.
Projekter og livscyklus
De store fund skal ind som projekter med en start, delmål og en slutdato. Det gælder især fund, der kun kan løses ved at udskifte noget: servere uden support, systemer, der ikke kan opdateres, eller netværksudstyr, der ikke kan sættes op på den rigtige måde. → Et system, der ikke kan opdateres
Kobl projekterne til den livscyklusplan, I i forvejen har for udstyr og software. En server, der alligevel skal udskiftes om to år, kan få sin rettelse ved udskiftningen, hvis risikoen imens er dæmpet. En server, der ikke står på nogen udskiftningsplan, kræver en beslutning nu. Giv hvert projekt en ejer, der også har ansvaret for den midlertidige beskyttelse, så de to ikke lever hver for sig, og så afskærmningen fjernes, når projektet er afsluttet.
Kapacitet: det, der faktisk kan nås
En plan, der ikke passer til teamets tid, er en ønskeliste. Gør det tydeligt, hvor meget arbejde fundene kræver i alt, og hvor meget af det teamet kan løfte ved siden af den almindelige drift.
- Egen tid · hvor mange timer driften kan sætte af uden at forsømme andet.
- Leverandørens tid · hvad leverandøren skal udføre, og om det ligger inden for aftalen.
- Andre afdelingers tid · test hos brugerne, beslutninger hos forretningen, ændringer i arbejdsgange.
Lad også en del af kapaciteten stå fri. I løbet af året kommer der nye fund fra scanningen, advarsler fra leverandører og ændringer i forretningen, som skal have plads. En plan, hvor hver time er fordelt fra start, bryder sammen ved den første uventede opgave, og så risikerer de langsigtede rettelser at blive dem, der må vige. Hold derfor en buffer, og beslut på forhånd, hvilke planlagte opgaver der kan skubbes, hvis noget akut kommer ind. Det gør det lettere at holde fast i de vigtige projekter, når presset kommer. → Sårbarhedsscanning mellem testene
Hvis kapaciteten ikke rækker, skal planen vise, hvad der må vente, og ledelsen skal vide det. Det er ikke IT’s opgave at skjule forskellen ved at love mere, end der kan nås. → Status til ledelsen om rettelserne
Næste test i planen
Planen skal også sige, hvornår rettelserne skal efterprøves, og hvornår den næste test kan give mest. En retest giver mening, når de vigtigste rettelser er gennemført og kontrolleret. → Klar til retest En ny test af et område giver mest, når de store projekter i området er afsluttet, så testen afprøver det nye og ikke det, I allerede ved er galt.
Læg også de opgaver ind, der skal forberede testen. Forberedelsen tager tid i driften, og den skal ikke komme som en overraskelse.
Det skal I lade være med
- At lade rettelserne leve kun i sagssystemet. De taber til de akutte driftsopgaver.
- At lægge alt i det første kvartal. Planen skal passe til den kapacitet, der er.
- At glemme de faste opgaver. Fund, der skyldes en manglende rutine, kommer igen uden den.
- At planlægge udskiftninger uden dæmpning imens. Risikoen står åben, til projektet er færdigt.
- At planlægge næste test før de store projekter er afsluttet. Så finder den det samme.
- At skjule manglende kapacitet. Ledelsen kan ikke prioritere det, den ikke kender til.
Hvad kan og ikke kan konkluderes
En driftsplan med fundene indarbejdet viser, at rettelserne har fået tid, ejere og plads i årets arbejde. Den viser ikke, at planen bliver fulgt, eller at rettelserne virker. Den siger heller intet om svagheder, testen ikke fandt, og den skal derfor også have plads til det, der dukker op undervejs.
Tjekliste til driftsplanen
- ☐ Er de åbne fund delt i faste opgaver, projekter og vedligehold?
- ☐ Står de faste opgaver i årshjulet med ejer og hyppighed?
- ☐ Er rettelserne samlet i servicevinduer og afstemt med forretningen?
- ☐ Er projekterne koblet til livscyklusplanen?
- ☐ Er kapaciteten hos jer, leverandøren og forretningen vurderet?
- ☐ Er retest og næste test lagt ind på et fornuftigt tidspunkt?
- ☐ Kender ledelsen det, der ikke kan nås?
Kilder
- NIST SP 800-40 Rev. 4: opdateringsstyring beskrevet som forebyggende vedligehold og anbefaling af en samlet strategi for virksomheden.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Gør rettelserne permanente · Sårbarhedsscanning mellem testene
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
