Bestyrelsen spørger, om sikkerheden holder

Spørgsmålet om, hvorvidt sikkerheden holder, er for bredt til, at en enkelt test kan besvare det med et ja eller nej. En penetrationstest kan give bestyrelsen et konkret og dokumenteret svar, men kun på et konkret spørgsmål om bestemte systemer, under bestemte forhold og på et bestemt tidspunkt.

Opgaven for IT-chefen eller direktionen er derfor at oversætte bestyrelsens bekymring til noget, der kan undersøges. Hvilke hændelser frygter bestyrelsen mest, hvilke systemer ville blive ramt, og hvilken beslutning skal svaret bruges til? Når det er afklaret, kan testen give et svar, bestyrelsen kan handle på.

Oversæt bekymringen til et spørgsmål, der kan undersøges

Bag et bredt spørgsmål ligger som regel en mere konkret bekymring. Det kan være frygten for, at kunders oplysninger slipper ud fra kundeportalen, at ordrer i webshoppen går i stå, at betalinger i ERP-systemet bliver omdirigeret, eller at en leverandør med fjernadgang bliver vejen ind.

Tag en samtale med bestyrelsen eller formanden om, hvilke hændelser der ville have størst betydning for virksomheden. Svaret bliver udgangspunktet for, hvad der skal testes først. Et spørgsmål som kan en udenforstående få adgang til kunders oplysninger i portalen, kan en test arbejde med. Et spørgsmål som er vi sikre, kan den ikke.

Prioritér, hvis bekymringerne er mange. Budget og tid rækker sjældent til at teste alt på én gang, og det er bedre at give et grundigt svar på det vigtigste end et overfladisk svar på det hele. Bed bestyrelsen om at pege på de få scenarier, der betyder mest, og gør det klart, at de øvrige kommer senere eller undersøges på anden måde. Rækkefølgen er i sig selv en beslutning, bestyrelsen bør stå bag.

Notér de bekymringer, der ikke kan besvares med en test. Spørgsmål om beredskab, uddannelse af medarbejdere eller leverandørstyring kræver andre undersøgelser. → Penetrationstest eller IT-sikkerhedsaudit

Hvad en penetrationstest kan svare på

En penetrationstest afprøver, om svagheder i bestemte systemer kan udnyttes, og hvad det kan føre til. Den kan vise, om adskillelsen mellem kunder i portalen holder, om de systemer, der er synlige fra internettet, har svagheder, der kan udnyttes, eller om en almindelig medarbejderkonto kan bruges til at nå længere end tilsigtet.

Svaret er konkret og dokumenteret. Det kan fortælle bestyrelsen, at et bestemt scenarie lykkedes eller ikke lykkedes, og hvad der skal til for at lukke de veje, der blev fundet. Det giver bestyrelsen noget at tage stilling til: hvilke rettelser skal prioriteres, hvilke risici accepteres, og hvad skal det koste.

Har virksomheden aldrig fået lavet en test, kan den første test give et udgangspunkt, som senere test kan sammenlignes med, hvis scope er nogenlunde det samme. → Den første penetrationstest

Hvad testen ikke kan svare på

En penetrationstest siger ikke noget om systemer uden for scope. Den siger ikke noget om, hvordan virksomheden vil reagere, hvis et angreb faktisk sker, medmindre det er en del af opgaven. Og den siger ikke noget om tiden efter testen, hvor systemer ændres og nye sårbarheder bliver kendt.

Det er vigtigt at sige det tydeligt til bestyrelsen. En rapport uden kritiske fund betyder ikke, at virksomheden er sikker. Den betyder, at testen ikke fandt kritiske svagheder i det, der blev undersøgt, med den metode og i den periode, testen varede. → Testen garanterer ikke, at I er sikre

En klar forventningsafstemning før testen forhindrer, at resultatet bliver læst som en samlet godkendelse af virksomhedens sikkerhed.

Overvej også, hvem der præsenterer resultatet. Hvis IT-afdelingen eller driftsleverandøren både har ansvaret for systemerne og fremlægger testens resultat, kan bestyrelsen have svært ved at skelne mellem fakta og forsvar. Det taler for, at testen udføres af en uafhængig part, og at bestyrelsen kan stille spørgsmål direkte til testeren, hvis den ønsker det. Det handler ikke om mistillid til egne folk, men om at give bestyrelsen et grundlag, den selv kan vurdere. → Uafhængig penetrationstest

Ledelsens rolle i NIS2

For virksomheder, der er omfattet af NIS2-direktivet, har spørgsmålet også en formel side. Direktivets artikel 20 lægger ansvar på ledelsesorganerne for at godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med gennemførelsen. Bestemmelsen nævner også uddannelse af medlemmerne af ledelsesorganerne.

Hvordan bestemmelsen er gennemført i dansk ret, og om virksomheden er omfattet, skal vurderes konkret. En penetrationstest kan indgå som en del af det grundlag, ledelsen bruger til at føre tilsyn, men den opfylder ikke i sig selv direktivets krav. Ledelsens beslutninger om sikkerhed er beskrevet nærmere på sikkerhedstesten.dk.

Sådan kommer svaret tilbage til bestyrelsen

Bestyrelsen har brug for et kort og nøgternt resumé, ikke den tekniske rapport. Resuméet bør gentage det spørgsmål, testen skulle besvare, give det samlede billede, nævne de vigtigste fund i forretningssprog og pege på de beslutninger, bestyrelsen skal træffe. → Resuméet i pentestrapporten

Sammen med resuméet bør der ligge en plan. Hvem retter hvad, hvornår, og hvad koster det? Hvilke fund foreslås accepteret, og hvorfor? Bestyrelsen skal kunne godkende planen og følge op på den ved næste møde. → Fra rapport til handlingsplan

Aftal også, hvordan bestyrelsen holdes orienteret fremover. En enkelt test giver et øjebliksbillede. Et fast punkt på dagsordenen med status på opfølgningen og planen for de næste test giver bestyrelsen mulighed for at følge udviklingen. → Pentestrapporten i bestyrelsen

Det skal I lade være med

At love bestyrelsen et ja eller nej · En test svarer på et konkret spørgsmål, ikke på sikkerheden som helhed.
At vælge systemer uden bestyrelsens bekymringer · Testen skal ramme det, der betyder mest for virksomheden.
At præsentere en rapport uden kritiske fund som en godkendelse · Den gælder kun det undersøgte.
At give bestyrelsen den tekniske rapport · Et resumé med beslutningspunkter er mere brugbart.
At aflevere resultatet uden en plan · Bestyrelsen skal kunne godkende og følge opfølgningen.
At lade testen stå for hele tilsynet · Processer, beredskab og leverandører kræver andre undersøgelser.

Hvad kan og ikke kan konkluderes

En penetrationstest kan give bestyrelsen et konkret, dokumenteret svar på, om bestemte systemer kunne udnyttes under de aftalte forhold, og et grundlag for at prioritere rettelser.

Den kan ikke svare på, om virksomheden som helhed er sikker, og den erstatter ikke ledelsens egen vurdering af risici, beredskab og ansvar.