Sårbarhed, fund og risiko: tre ord, der ofte blandes sammen

Når en rapport bliver drøftet, bruges sårbarhed, fund og risiko ofte i flæng, og så bliver det uklart, hvem der skal gøre hvad. Ordene svarer på tre forskellige spørgsmål: hvad er svagt i systemet, hvad har testen dokumenteret, og hvad betyder det for virksomheden?

Kort fortalt er en sårbarhed en svaghed i et system, et fund er testerens dokumenterede beskrivelse af et forhold, og risiko er virksomhedens vurdering af, hvor sandsynligt og hvor skadeligt det er. De tre hænger sammen, men de ejes af forskellige personer og fører til forskellige beslutninger. Ordbogen har korte definitioner af mange begreber omkring en test. → Ordbog for penetrationstest

Tre ord med hver sin opgave

Forskellen kan virke akademisk, men den har praktiske følger. Hvis ledelsen hører, at der er tre høje risici, men rapporten taler om tre fund med høj alvorlighed, kan beslutningen blive truffet på et forkert grundlag. Alvorligheden er testerens tekniske vurdering. Risikoen kræver viden, som testeren ofte ikke har.

Det omvendte sker også. En IT-chef kan afvise et fund som ubetydeligt, fordi systemet er internt, uden at det er undersøgt, hvem der faktisk kan nå det. Når de tre ord holdes adskilt, bliver det lettere at se, hvilket spørgsmål der mangler et svar.

Rapporter skrives ofte helt eller delvist på engelsk. Her svarer vulnerability til sårbarhed, finding til fund og risk til risiko, mens severity typisk bruges om den tekniske alvorlighed. Nogle leverandører kalder dog alvorligheden for risiko i deres skala, fx med betegnelser som høj risiko eller lav risiko ud for hvert fund. Det er ikke forkert i sig selv, men det betyder, at ordet risiko i rapporten kan dække over en teknisk vurdering, som virksomheden endnu ikke har holdt op mod sin egen forretning. Spørg, hvad leverandøren mener, og skriv svaret ind i jeres egen opfølgning.

Sårbarheden er svagheden i systemet

En sårbarhed er en egenskab ved software, opsætning eller måden et system bruges på, som kan få systemet til at gøre noget, det ikke burde. Det kan være en fejl i programkoden, en indstilling, der giver for brede rettigheder, eller en funktion i kundeportalen, der ikke kontrollerer, hvem der spørger.

Sårbarheden findes, uanset om nogen har testet. Kendte sårbarheder i udbredt software registreres ofte i et fælles katalog med et nummer, så de kan omtales entydigt. → CVE forklaret

At en sårbarhed findes, siger ikke i sig selv, om den kan bruges til noget i jeres miljø. Det afhænger af, hvordan systemet er placeret, og hvilke andre beskyttelser der er.

Fundet er det, testen dokumenterede

Et fund er et forhold, som testeren har iagttaget, kontrolleret og beskrevet i rapporten. Det kan være en sårbarhed, men det kan også være en manglende kontrol, en uheldig opsætning eller en proces, der ikke virker som tiltænkt. Et fund er altid knyttet til en bestemt test, et bestemt system og de forudsætninger, der gjaldt.

Et godt fund indeholder mere end en overskrift. Det viser, hvad der er berørt, hvad der blev iagttaget, hvordan det blev underbygget, og hvad testeren vurderer, at det kan føre til. En rapport tildeler ofte også en alvorlighed, fx efter en offentlig skala. Den skala måler teknisk alvor og ikke jeres samlede risiko. → CVSS-score

Et fund kan også være en svaghed, testeren har set tegn på uden at kunne bekræfte den fuldt ud. Rapporten bør i så fald sige det tydeligt.

Risikoen er betydningen for jer

Risiko handler om, hvad der kan ske for virksomheden, og hvor sandsynligt det er. Den vurdering kræver viden om data, brugere, forretningens afhængighed af systemet og de beskyttelser, der ligger uden for testens scope. Den viden har virksomheden, ikke testeren.

Sondringen går igen i anerkendte rammer. ISO/IEC 27001 beskriver et ledelsessystem, hvor informationssikkerhedsrisici vurderes og behandles af organisationen selv. FIRST skriver i specifikationen for CVSS v4.0, at CVSS måler alvorlighed og ikke bør bruges alene som mål for risiko.

Når risikoen er vurderet, kan virksomheden vælge at reducere den, at undgå den ved at fjerne funktionen, at overføre en del af den gennem aftaler eller at acceptere den. Accept er en ledelsesbeslutning, der bør dokumenteres. → Risikoaccept

Samme svaghed, forskellig risiko

Forestil jer, at den samme svaghed findes to steder: i webshoppens betalingsforløb og på en intern testserver uden rigtige data. Sårbarheden er den samme, og testeren kan give fundene samme tekniske alvorlighed. Risikoen er alligevel forskellig, fordi den ene påvirker kunder og omsætning og den anden måske ingen data rummer.

Det kan også gå den anden vej. Et fund med lav teknisk alvor i ERP-systemet kan få høj betydning, hvis det kan kombineres med andre svagheder eller rammer en proces, som virksomheden ikke kan undvære. Derfor skal prioriteringen af rettelser bygge på både rapportens vurdering og jeres egen viden. → Prioritering af rettelser

Hvem ejer hvilket ord?

Testeren · beskriver fundet, dokumenterer det og giver en teknisk vurdering af alvorligheden.
Systemejeren og leverandøren · ejer sårbarheden og afgør, hvordan den kan rettes eller afskærmes.
Ledelsen eller den risikoansvarlige · vurderer risikoen og beslutter, om den skal reduceres eller accepteres.

Når rollerne er klare, kan rapporten gå videre uden at blive tolket forskelligt i hvert led. Den person, der læser resuméet, skal kunne se, hvilke af vurderingerne der er testerens, og hvilke virksomheden selv mangler at foretage.

Det skal I lade være med

At kalde hvert fund en risiko · uden virksomhedens vurdering er det en teknisk iagttagelse.
At lade alvorligheden stå alene · en høj score siger ikke, hvor vigtigt systemet er for jer.
At afvise et fund som teoretisk uden at undersøge det · beslut på baggrund af fakta om systemets brug.
At lade testeren acceptere risikoen · det er en beslutning, der hører til i virksomheden.
At tro, at ingen fund betyder ingen sårbarheder · fundlisten dækker det, testen nåede.

Hvad kan og ikke kan konkluderes

En rapport kan sige, hvilke forhold der blev fundet i de undersøgte systemer, og hvor alvorlige de er teknisk set. Den kan ikke alene sige, hvor stor virksomhedens risiko er, fordi den vurdering afhænger af oplysninger uden for testen.

Fravær af et fund kan ikke tolkes som fravær af sårbarheder. Og en fjernet sårbarhed betyder ikke, at risikoen omkring systemet er væk, hvis andre svagheder eller forhold stadig er til stede.

Tjekliste når rapporten drøftes

☐ Er fund og risiko omtalt hver for sig i oplægget til ledelsen?
☐ Er alvorligheden forklaret med den skala, rapporten bruger?
☐ Har systemejeren vurderet, hvad hvert fund betyder for systemets brug?
☐ Er det afgjort, hvem der beslutter accept eller rettelse?
☐ Er beslutningerne dokumenteret med begrundelse?

Kilder

FIRST CVSS v4.0: CVSS som mål for alvorlighed og ikke alene for risiko.
ISO/IEC 27001: ledelsessystem for informationssikkerhed med vurdering og behandling af risici.

Senest gennemgået: oktober 2026.