En pentestrapport er skrevet til dem, der skal rette fundene, mens bestyrelsen skal tage stilling til risiko, ressourcer og opfølgning. Derfor skal rapporten oversættes, før den kommer på dagsordenen. Et godt bestyrelsespunkt hviler på tre dele: hvad testen skulle besvare, hvad den viste i forretningssprog, og hvilke beslutninger bestyrelsen bliver bedt om at træffe.
Bestyrelsen skal altså ikke have rapporten, men et kort beslutningsoplæg, der bygger på den. Den tekniske rapport kan stilles til rådighed for den, der ønsker at se den, men den bør ikke være bilag til mødet.
Hvorfor rapporten ikke er bestyrelsesmateriale
Rapportens tekniske afsnit beskriver svagheder, så de kan genskabes og rettes. Det er nødvendigt for IT og leverandører, men det hjælper ikke bestyrelsen med at vurdere, hvad fundene betyder for forretningen. Det kan endda føre diskussionen ind på tekniske detaljer, som bestyrelsen ikke har forudsætninger for at vurdere.
Bestyrelsesmateriale bliver også ofte delt bredere end den tekniske rapport, for eksempel via en bestyrelsesportal eller som udskrift. Jo færre tekniske detaljer der er i materialet, jo mindre betyder det, hvis det havner forkert. → Deling af pentestrapporten
Oplæggets opbygning
Et beslutningsoplæg om en penetrationstest kan følge en fast rækkefølge. Det gør det lettere at sammenligne fra gang til gang.
- Spørgsmålet · hvad testen skulle besvare, og hvorfor den blev bestilt.
- Afgrænsningen · hvilke systemer der var med, og hvilke der ikke var.
- Det samlede billede · et nøgternt resumé af, hvad testen viste.
- De væsentligste risici · få fund beskrevet ud fra konsekvensen for forretningen.
- Planen · hvad der rettes, af hvem og hvornår.
- Det, der ikke rettes · fund, der foreslås accepteret, med begrundelse.
- Beslutninger · hvad bestyrelsen bliver bedt om at godkende.
Rapportens eget resumé er et godt udgangspunkt for punkt tre og fire, men det skal ofte skrives om, så det passer til bestyrelsens spørgsmål. → Resuméet i pentestrapporten
Afklar også, hvem der fremlægger. Det er typisk direktionen, der ejer oplægget, mens den IT-ansvarlige kan deltage for at svare på opklarende spørgsmål. Hvis testeren skal være med, så aftal det i forvejen og afgræns, hvad testeren skal forklare. Testeren kan forklare fundene, men det er ledelsen, der skal stå for prioriteringen og planen.
Fund i forretningssprog
Bestyrelsen har brug for at forstå konsekvensen, ikke mekanismen. Et fund, der i rapporten handler om manglende adskillelse mellem kunder i kundeportalen, kan beskrives som risikoen for, at en kunde kan se en anden kundes oplysninger. Et fund i ERP-systemet kan beskrives som risikoen for, at en almindelig bruger kan ændre betalingsoplysninger.
Brug rapportens alvorlighed, men forklar den. En høj vurdering betyder noget for den tekniske prioritering, men bestyrelsen skal også vide, hvilket system det drejer sig om, og hvad der står på spil, hvis svagheden blev udnyttet. → CVSS-score
Undgå at præsentere antallet af fund som et mål for sikkerheden. Et lavt antal kan skyldes et snævert scope, og et højt antal kan skyldes mange mindre forhold. Det, bestyrelsen skal forholde sig til, er de væsentlige risici og planen for dem. → At måle testen på antallet af fund
Beslutninger, bestyrelsen kan træffe
Et oplæg uden beslutningspunkter bliver let en orientering, der tages til efterretning. Formulér i stedet, hvad bestyrelsen konkret skal tage stilling til.
- Godkendelse af handlingsplanen · prioriteringer og tidsplan for de væsentlige fund.
- Ressourcer · midler eller kapacitet til rettelser, der ikke kan løses inden for den eksisterende ramme.
- Risikoaccept · fund, som ledelsen foreslår ikke at rette, og begrundelsen.
- Næste test · tidspunkt og omfang, herunder om systemer, der ikke var med, skal med næste gang.
Den detaljerede handlingsplan hører hos direktionen og IT, men bestyrelsen bør kunne se, at den findes, og hvem der har ansvaret for den. → Fra rapport til handlingsplan
Spørgsmål, bestyrelsen bør kunne få svar på
Forbered svar på de spørgsmål, der typisk kommer, når et bestyrelsesmedlem læser et oplæg om en sikkerhedstest:
- Hvad var ikke med i testen, og hvorfor?
- Er de alvorlige fund rettet, og er rettelserne kontrolleret?
- Hvem bærer risikoen for det, der ikke rettes?
- Hvornår ved vi, om planen er gennemført?
- Er der fund, der går igen fra tidligere test?
Hvis I ikke kan svare på et af spørgsmålene, så skriv det i oplægget i stedet for at vente på, at det bliver stillet. Det er bedre at fremlægge en kendt usikkerhed end at blive overrasket af den på mødet. Notér svarene i referatet, så de kan genfindes, når punktet tages op igen. → Restrisiko
Opfølgning på senere møder
En penetrationstest er et øjebliksbillede, men opfølgningen strækker sig over tid. Aftal, hvordan bestyrelsen holdes orienteret: et kort statuspunkt på et eller flere senere møder, hvor I viser, hvad der er rettet, hvad der er forsinket, og om nye beslutninger er nødvendige.
Brug samme opbygning hver gang. Så kan bestyrelsen se udviklingen uden at skulle sætte sig ind i et nyt format. Vær forsigtig med at sammenligne tal mellem test med forskelligt scope. → Fremskridt fra test til test
For virksomheder, der er omfattet af NIS2, lægger direktivets artikel 20 et ansvar hos ledelsesorganerne for at godkende og føre tilsyn med foranstaltninger til styring af cybersikkerhedsrisici. Hvordan det er gennemført i dansk ret, og hvad det betyder for jeres bestyrelse, bør afklares særskilt. Teksten er ikke juridisk rådgivning.
Ledere og bestyrelsesmedlemmer, der vil vide mere om, hvad en sikkerhedstest kan give dem, kan læse videre på sikkerhedstesten.dk.
Det skal I lade være med
- At sende den tekniske rapport som bilag · Bestyrelsen skal have et beslutningsoplæg.
- At præsentere antal fund som en karakter · Fokusér på væsentlige risici og planen.
- At skjule, hvad der ikke var med · Afgrænsningen er en del af resultatet.
- At fremlægge uden beslutningspunkter · Skriv, hvad bestyrelsen skal tage stilling til.
- At beskrive fund teknisk · Forklar konsekvensen for forretningen.
- At glemme opfølgningen · Aftal, hvornår bestyrelsen hører om status igen.
Hvad kan og ikke kan konkluderes
Et godt oplæg kan give bestyrelsen et nøgternt billede af, hvad testen viste, og et grundlag for at beslutte prioriteringer, ressourcer og risikoaccept. Det kan også dokumentere, at bestyrelsen har forholdt sig til resultatet.
Oplægget kan ikke vise, at virksomheden som helhed er sikker. Det beskriver en afgrænset test og den opfølgning, der er besluttet, og det er den ramme, bestyrelsens beslutninger skal forstås inden for.
Tjekliste til bestyrelsespunktet
- ☐ Står testens spørgsmål og afgrænsning øverst?
- ☐ Er de væsentligste fund beskrevet ud fra konsekvensen?
- ☐ Er handlingsplan og ansvar nævnt?
- ☐ Er forslag til risikoaccept begrundet?
- ☐ Er beslutningspunkterne formuleret konkret?
- ☐ Er den tekniske rapport holdt ude af bestyrelsesmaterialet?
- ☐ Er opfølgningen på senere møder aftalt?
Kilder
- NIS2, direktiv (EU) 2022/2555, artikel 20: ledelsesorganernes godkendelse af og tilsyn med foranstaltninger til styring af cybersikkerhedsrisici.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Rapporten som grundlag for budgettet · Sådan læser I en pentestrapport
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
