Når pentestrapporten er gennemgået, spørger direktionen før eller siden, hvordan det går med rettelserne, og svaret risikerer at blive enten for teknisk eller for beroligende. En brugbar status hviler på, at IT-chefen oversætter driftens opfølgning til tre ting, ledelsen kan handle på: hvilken risiko der stadig står åben, om arbejdet følger planen, og hvilke beslutninger IT har brug for. Alt andet hører til i driftens egen opfølgning.
Hvordan ledelsen selv bør bruge rapporten og træffe sine beslutninger, er et emne for ledelsen og behandles på sikkerhedstesten.dk. Her handler det om IT-chefens del: hvad der skal leveres opad, og hvordan det holdes ærligt.
Hvad ledelsen har brug for at vide
Ledelsen skal ikke vurdere tekniske detaljer. Den skal kunne svare på, om den risiko, testen viste, bliver mindre, og om den selv skal gøre noget. Status skal derfor bygges op omkring konsekvens og beslutninger frem for systemnavne og indstillinger.
- De alvorlige fund · hvad de betyder for forretningen, og hvor langt hvert enkelt er.
- Samlet fremdrift · om arbejdet følger den plan, ledelsen kender.
- Afvigelser · hvad der er forsinket, og hvorfor.
- Beslutninger · hvad IT har brug for, at ledelsen tager stilling til.
- Næste skridt · hvad der sker frem til næste status, herunder retest.
En side er som regel nok. Hvis status fylder mere, er der sandsynligvis driftsdetaljer med, som ledelsen ikke kan bruge.
Fra fund til forretningssprog
Et fund om for mange administratorer i Active Directory siger ikke en direktør noget. At en enkelt overtaget medarbejderkonto kunne give adgang til hele virksomhedens data, gør. Beskriv derfor hvert alvorligt fund ud fra, hvad en angriber kunne have opnået, og hvilke dele af forretningen det ville ramme.
Brug rapportens egen beskrivelse af konsekvensen som udgangspunkt, og hold den nøgtern. Overdrivelse skaber mistillid, når næste status viser, at det ikke gik så galt. Underdrivelse fører til, at ledelsen ikke afsætter det, der skal til. → Typiske fund i en intern test
Samme fund skal beskrives på samme måde fra gang til gang. Skifter beskrivelsen, kan ledelsen ikke følge udviklingen.
Tænk også på, hvem der læser med. En status til direktionen kan blive sendt videre til bestyrelsen eller en ekstern rådgiver. Skriv den derfor, så den kan læses uden for mødet, og lad være med at tage detaljer med, der beskriver præcis, hvordan en svaghed kan bruges. De oplysninger hører til i rapporten og i opgavesystemet, hvor adgangen er begrænset. En kort henvisning til fundets nummer i rapporten er nok, hvis nogen vil se nærmere på det.
Fremdrift uden pynt
Grundlaget for status er driftens egen opfølgning. → Fremdrift på rettelserne Tallene derfra skal ikke tilpasses til ledelsen, kun samles.
- Alvorlige fund for sig · vis hvert enkelt med status, så de ikke forsvinder i et samlet tal.
- Øvrige fund samlet · antal åbne, rettede og kontrollerede.
- Midlertidige løsninger · hvor risikoen kun er dæmpet, og hvornår løsningen udløber.
- Overskredne frister · med en kort forklaring og en ny dato.
Skeln tydeligt mellem rettet og kontrolleret. En ændring, ingen har efterprøvet, bør ikke stå som løst i en rapport til ledelsen. Hvis retesten endnu ikke er gennemført, så skriv det.
Beslutninger, IT har brug for
Status til ledelsen er ikke kun en orientering. Den er det sted, hvor IT kan få afklaret det, IT ikke selv kan beslutte. NCSC skriver i sin vejledning om sårbarhedsstyring, at en beslutning om ikke at opdatere er en risikobeslutning, der skal træffes på ledelsesniveau, og at ledelsen kan blive nødt til at involvere sig, når flere afdelinger skal arbejde sammen.
Beslutninger, IT kan have brug for, er fx:
- Ressourcer · tid, budget eller ekstern hjælp til et fund, der er blevet et projekt. → Hurtige rettelser og større projekter
- Prioritet over for forretningen · nedetid i en travl periode eller ændringer, brugerne mærker.
- Risikoaccept · fund, der ikke kan eller skal rettes, og som en leder skal stå bag.
- Leverandører · krav til en leverandør, der ikke leverer en rettelse.
Formulér hver beslutning som et konkret valg med konsekvenser. Ledelsen skal kunne sige ja eller nej på mødet, ikke bestille en ny analyse.
Når noget er gået skævt
Det kommer til at ske, at en frist ikke holdes, eller at en rettelse viser sig at være større end ventet. Fortæl det i den næste status, ikke først når nogen spørger. Beskriv kort, hvad der skete, hvad det betyder for risikoen, og hvad der nu er planen.
Et alvorligt fund, som ikke kan rettes inden for den plan, ledelsen kender, skal ikke vente til næste faste status. Aftal på forhånd, hvornår IT-chefen går til ledelsen uden for den faste rytme. → Et system, der ikke kan opdateres
Rytme og form
Hyppigheden afhænger af, hvor alvorlige fundene er, og hvordan ledelsen i øvrigt arbejder. Lige efter testen kan der være brug for tættere status. Når de alvorlige fund er lukket og kontrolleret, kan status indgå i den almindelige rapportering om IT.
NCSC’s værktøjskasse til bestyrelser indeholder spørgsmål, som en bestyrelse kan stille om cybersikkerhed. Den kan være nyttig for IT-chefen at kende, fordi den viser, hvilke spørgsmål status skal kunne svare på.
Gem hver status. Over tid viser de, hvordan virksomheden håndterer fund, og de kan bruges, når kunder, revisorer eller forsikringen spørger til opfølgningen.
Hvad ledelsen selv bør bede om at se, er beskrevet fra ledelsens side på sikkerhedstesten.dk: Status på rettelserne.
Det skal I lade være med
- At sende hele sagslisten op. Ledelsen kan ikke vurdere den, og det vigtige forsvinder.
- At skrive teknisk. Konsekvens og beslutning, ikke indstillinger og systemnavne.
- At regne rettet for kontrolleret. Ukontrollerede rettelser er stadig en åben risiko.
- At skjule forsinkelser til næste gang. Tilliden til status falder, når de dukker op senere.
- At lade ledelsen acceptere en risiko, den ikke har fået forklaret. Accepten skal bygge på en forståelig beskrivelse.
- At skifte opgørelsesmåde undervejs. Udviklingen kan ikke følges.
Hvad kan og ikke kan konkluderes
En god status viser ledelsen, hvor rettelserne står, hvilken risiko der stadig er åben, og hvilke beslutninger der venter. Den viser ikke, at miljøet er sikkert, når alle fund er lukket, for testen dækkede et afgrænset omfang på et bestemt tidspunkt. Status er heller ikke ledelsens risikovurdering. Den er IT’s bidrag til den.
Tjekliste til status
- ☐ Står de alvorlige fund hver for sig med konsekvens og status?
- ☐ Er rettet og kontrolleret holdt adskilt?
- ☐ Er midlertidige løsninger og deres udløb nævnt?
- ☐ Er forsinkelser forklaret med en ny dato?
- ☐ Er hver beslutning, IT har brug for, formuleret som et valg?
- ☐ Er det aftalt, hvornår IT går til ledelsen uden for rytmen?
- ☐ Bliver status gemt, så udviklingen kan følges?
Kilder
- NCSC: Vulnerability management: beslutningen om ikke at opdatere er en risikobeslutning på ledelsesniveau, og ledelsen kan skulle involveres, når flere teams rapporterer til forskellige ledere.
- NCSC: Cyber Security Toolkit for Boards: værktøjskasse til bestyrelser med blandt andet spørgsmål, bestyrelsen kan stille om cybersikkerhed.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Rapporten i næste års driftsplan · Klar til retest · IT-revisionens bemærkninger og pentestens fund
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
