Nogle fund i en pentestrapport kan ikke rettes på den sædvanlige måde, fordi systemet ikke længere får opdateringer, eller fordi leverandøren ikke tillader dem. Det kan være en styrings-pc i produktionen, et laboratorieapparat, et gammelt økonomisystem eller en server, som en vigtig applikation kun kan køre på. Svaret hviler på tre spor, der kan bruges samtidig: begræns, hvem og hvad der kan nå systemet, planlæg udskiftningen, og få beslutningen om at leve med systemet imens truffet og skrevet ned af den, der ejer risikoen.
Risikoaccept som begreb og ledelsens ansvar for den er forklaret for køberen på penetrationtest.dk. Her handler det om IT-afdelingens arbejde med netop denne type fund.
Hvorfor systemet ikke kan opdateres
Start med at finde den præcise grund. Den afgør, hvilke muligheder der er.
- Leverandøren er stoppet · producenten udgiver ikke længere rettelser til styresystemet eller programmet.
- Godkendelse binder · systemet er godkendt eller certificeret i en bestemt version, og ændringer kræver ny godkendelse.
- Applikationen binder · forretningssystemet kan kun køre på en gammel platform.
- Driften binder · systemet kan ikke tages ned i den tid, en opdatering kræver.
- Ingen kender det · ingen ved præcis, hvad systemet gør, og alle er bange for at røre det.
Den sidste grund er den farligste, fordi den ligner en teknisk begrænsning, men i virkeligheden er manglende viden. Den løses ved at undersøge systemet, ikke ved at afskærme det for altid. → Når dokumentationen ikke passer
Hvad rapporten siger om systemet
Læs fundet nøje. Det er ikke nok at vide, at systemet er gammelt. Rapporten bør kunne fortælle, hvorfra systemet kunne nås, hvad testeren kunne opnå, og om systemet kunne bruges som springbræt videre ind i nettet.
Det er de oplysninger, der afgør, hvor hårdt der skal afskærmes. Et forældet system, der kun kan nås fra én bestemt arbejdsstation, er en anden sag end et, alle brugere kan nå. Er rapporten uklar på det punkt, så spørg testeren, før I vælger tiltag.
Se også efter, om rapporten nævner andre systemer af samme slags. Et forældet apparat i ét laboratorium kan have søskende i andre afdelinger eller på andre lokationer, som testen ikke nåede. Lav en samlet liste over systemer, der deler samme begrænsning, så tiltagene kan planlægges for dem alle og ikke kun for det ene, testeren tilfældigvis fandt. Listen er også grundlaget for at vurdere, hvor stor udskiftningsopgaven i virkeligheden er.
Afskærmning: gør systemet svært at nå
NCSC skriver i sin vejledning om forældede produkter, at den eneste fuldt effektive løsning er at holde op med at bruge produktet. Når det ikke kan ske med det samme, anbefaler vejledningen flere lag af beskyttelse. Oversat til driftens sprog betyder det:
- Egen zone · systemet placeres i et afgrænset net, hvor kun den nødvendige trafik er tilladt ind og ud. → Segmentering efter testen
- Færre veje ind · ingen e-mail, ingen almindelig internetadgang og ingen flytbare medier, hvis det kan undgås.
- Færre brugere · kun de personer og systemer, der har brug for det, kan nå det.
- Behandl det som upålideligt · det forældede system skal ikke have adgang til følsomme data eller tjenester, det ikke behøver.
- Skærpet overvågning · aktivitet til og fra systemet logges og ses efter, så et misbrug bliver opdaget.
NCSC påpeger også, at man ikke kan regne med, at beskyttelsen på selve det forældede system virker, hvis systemet er kompromitteret. Afskærmningen skal derfor ligge uden for systemet. → Midlertidige afhjælpninger
Udskiftning: planen, der gør afskærmningen midlertidig
Afskærmning dæmper risikoen. Den fjerner den ikke. Derfor skal der være en plan for, hvordan systemet kommer ud af drift, også selv om planen strækker sig over flere år.
- Ejer i forretningen · den afdeling, der bruger systemet, skal være med til at finde en afløser.
- Leverandørens vej · spørg, om der findes en nyere version, en anden platform eller en overgangsløsning.
- Budget og tidspunkt · udskiftningen skal ind i den plan, hvor penge og tid afsættes. → Rapporten i næste års driftsplan
- Krav ved nyindkøb · NCSC anbefaler at se på, hvor længe ny hardware og software vil få support, før det købes.
Hvis ingen plan kan lægges, fordi systemet er uundværligt og uden afløser, er det en oplysning, ledelsen skal have. Det er ikke en teknisk detalje.
Beslutningen: hvem står bag
At beholde et system, der ikke kan opdateres, er en risikobeslutning. NCSC beskriver beslutningen om ikke at opdatere som en, der hører hjemme på ledelsesniveau. IT forbereder beslutningen. IT træffer den ikke alene.
Beslutningsgrundlaget bør indeholde:
- Fundet · hvad rapporten viste, beskrevet så en ikke-teknisk læser forstår konsekvensen.
- Grunden · hvorfor systemet ikke kan opdateres.
- Tiltagene · hvilken afskærmning og overvågning der er indført.
- Den tilbageværende risiko · hvad der stadig kan ske.
- Planen · hvornår og hvordan systemet udskiftes.
- Genvurdering · en dato, hvor beslutningen tages op igen.
Når beslutningen er truffet, registreres den, så den kan findes, når næste test, en kunde eller et tilsyn spørger. → Status til ledelsen om rettelserne
Når næste test kommer
Fortæl testeren om systemet og om de tiltag, der er indført. Testen kan så afprøve, om afskærmningen holder, i stedet for at finde det samme forældede system igen. Spørgsmålet til testen bliver: kan systemet nås fra steder, hvor det ikke burde kunne nås, og kan det bruges til at komme videre? Det er en bedre brug af testtiden end at genfinde, at styresystemet er gammelt. → Skrøbelige systemer
Det skal I lade være med
- At afskærme og glemme. En afskærmning uden udskiftningsplan bliver permanent af sig selv.
- At lade IT acceptere risikoen alene. Beslutningen hører til hos den, der ejer risikoen.
- At stole på beskyttelse på selve systemet. Den kan ikke regnes med, hvis systemet er overtaget.
- At kalde manglende viden en teknisk begrænsning. Undersøg, før I opgiver.
- At lade beslutningen stå uden genvurdering. Forudsætningerne ændrer sig.
- At glemme leverandørers egne forældede enheder. De kan forbinde sig til jeres net uden at være på jeres liste.
Hvad kan og ikke kan konkluderes
En dokumenteret beslutning med afskærmning, overvågning og udskiftningsplan viser, at fundet er håndteret bevidst. Den viser ikke, at risikoen er væk. Svagheden findes stadig, og afskærmningens styrke kendes først, når den er afprøvet. En ny test kan efterprøve tiltagene, men ikke gøre systemet sikkert.
Tjekliste til systemet, der ikke kan opdateres
- ☐ Er den præcise grund til, at systemet ikke kan opdateres, kendt?
- ☐ Ved I, hvorfra systemet kan nås, og hvad det kunne bruges til?
- ☐ Er systemet placeret i en zone med kun nødvendig trafik?
- ☐ Er adgang til e-mail, internet og flytbare medier begrænset?
- ☐ Bliver aktivitet til og fra systemet overvåget?
- ☐ Findes der en udskiftningsplan med ejer og tidspunkt?
- ☐ Er risikobeslutningen truffet af ledelsen og skrevet ned med en genvurderingsdato?
Kilder
- NCSC: Obsolete products: den eneste fuldt effektive løsning er at stoppe brugen; ellers lag af beskyttelse, adskilte zoner, begrænsede veje ind, skærpet overvågning, plan for udskiftning, dokumenteret og genvurderet beslutning.
- NCSC: Vulnerability management: beslutningen om ikke at opdatere er en risikobeslutning på ledelsesniveau.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: OT-grænsen · Status til ledelsen om rettelserne · Validerede systemer i life science
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
