Det kan den godt på papiret, men det giver en indbygget interessekonflikt. Den, der driver jeres systemer, skal så også vurdere, om driften er sikker nok, stille krav til sig selv og fortælle ledelsen, når der er mangler. Selv den mest redelige leverandør har svært ved at være både udfører og kontrollant. IT-leverandøren kan med fordel eje den tekniske sikkerhed i driften. Ledelsen af sikkerhedsarbejdet, vurderingen af leverandøren og rapporteringen til ledelsen bør ligge hos en, der ikke selv leverer driften.
Hvorfor spørgsmålet opstår
Det er naturligt at spørge. IT-leverandøren kender systemerne, har adgangene og bliver i forvejen kontaktet, når noget går galt. Mange leverandører tilbyder også en ydelse, de kalder vCISO eller sikkerhedsrådgivning, som kan lægges oven i driftsaftalen. Det virker praktisk at samle det hele ét sted.
Spørgsmålet er, hvem der så ser leverandøren efter i sømmene. Hvis svaret er leverandøren selv, mangler der et led. Det gælder i særdeleshed, når en kunde, et forsikringsselskab eller en myndighed beder om dokumentation for sikkerheden. Så skal virksomheden kunne vise, at nogen uden egne interesser i driften har vurderet den, og at ledelsen har taget stilling til resultatet.
Konflikten set fra tre vinkler
Vurderingen af driften. En CISO skal kunne sige, at backuppen ikke er testet, at administratoradgangene er for brede, eller at opdateringerne halter. Når den samme virksomhed har ansvaret for de tre ting, bliver det en vurdering af eget arbejde. Fejl i egen leverance er svære at se og endnu sværere at rapportere.
Anbefalingerne. En CISO anbefaler løsninger og indkøb. Hvis anbefalingen ender hos leverandørens egne produkter eller ydelser, kan ledelsen ikke vide, om det er den bedste løsning eller den mest bekvemme. Konflikten behøver ikke være bevidst for at påvirke resultatet.
Kravene i aftalen. En CISO formulerer sikkerhedskravene til leverandørerne og følger op på dem. Det er vanskeligt at forhandle stramme krav på kundens vegne, når man selv er den, kravene rammer. Hvordan kravene kan formuleres, står i Sikkerhedskrav til jeres IT-leverandør.
Det, leverandøren med rette kan eje
Leverandøren skal ikke holdes ude af sikkerheden. Tværtimod har den en stor og vigtig del af arbejdet:
- Teknisk opsætning af firewalls, adgange, totrinsgodkendelse og kryptering.
- Opdateringer af systemer og programmer efter en aftalt plan.
- Backup, gendannelse og test af, at gendannelsen virker.
- Overvågning og reaktion på alarmer, hvis det indgår i aftalen.
- Teknisk dokumentation af, hvordan miljøet er sat op.
- Den tekniske del af beredskabet ved en hændelse.
Leverandøren kan også komme med forslag til forbedringer. Det er værdifuldt, så længe en anden vurderer forslagene ud fra virksomhedens risici og økonomi.
Det, der bør ligge hos en anden
Ledelsen af sikkerhedsarbejdet hører hjemme hos en, der kun har virksomhedens interesse at varetage. Det gælder især:
- Risikovurderingen, hvor driftens svagheder skal frem.
- Prioriteringen af indsatsen og budgettet.
- Kravene til alle leverandører, også driftsleverandøren.
- Opfølgningen på, om kravene bliver opfyldt.
- Rapporteringen til direktion og bestyrelse.
- Svarene til kunder og forsikring, som virksomheden skal stå inde for.
Den person kan være intern eller ekstern. Vælger I en ekstern CISO, så spørg til bindinger. En ordentlig rådgiver oplyser af sig selv om provision, partnerskaber og forhandleraftaler med de leverandører, der skal vurderes. Hvordan ansvaret kan tegnes op, når driften er outsourcet, uddybes på temasiden om leverandørstyring.
Et eksempel på opdelingen
En handelsvirksomhed med 60 ansatte har én driftsleverandør til alt fra pc’er til servere. Leverandøren tilbyder at tilføje en sikkerhedsrådgiver til aftalen. I stedet vælger direktøren en ekstern CISO uden tilknytning til leverandøren.
Det første, CISO’en gør, er at gennemgå driftsaftalen og spørge leverandøren, hvordan backup, adgange og opdateringer håndteres. Leverandøren svarer grundigt, og det meste er i orden. To ting er ikke: backuppen er aldrig testet med en fuld gendannelse, og flere tidligere medarbejdere har stadig aktive konti. CISO’en skriver det ind i risikolisten, direktøren godkender en plan, og leverandøren udfører rettelserne. Begge parter har gjort det, de er bedst til.
Når leverandøren selv tilbyder en vCISO
Flere driftsleverandører har en vCISO-ydelse i deres katalog. Den kan være dygtigt udført, og personen kan have stor faglig integritet. Spørgsmålet er, hvem personen i sidste ende er ansat af, og hvem der betaler for den tid, der går med at kritisere driften.
Overvejer I sådan en løsning, så stil nogle få spørgsmål på forhånd. Hvordan håndteres det, når vCISO’en finder fejl i leverandørens egen leverance? Rapporterer vCISO’en direkte til jer, eller går rapporten gennem leverandørens kundeansvarlige? Må vCISO’en anbefale en anden leverandør, hvis det er det rigtige for jer? Svarene viser, hvor stor uafhængigheden er i praksis. Er de uklare, er en ekstern CISO uden tilknytning til leverandøren det sikreste valg for ledelsen.
Det skal I lade være med
- At antage, at driftsaftalen dækker sikkerhed · mange aftaler beskriver drift i detaljer og nævner sikkerhed i en enkelt linje.
- At nøjes med leverandørens egen vurdering · en selvevaluering kan være nyttig som input, men aldrig som eneste kilde.
- At holde leverandøren uden for samtalen · CISO’en skal have et godt samarbejde med leverandøren, ellers bliver arbejdet tungt.
- At købe sikkerhedsprodukter på leverandørens anbefaling alene · lad en uafhængig vurdere, om produktet løser en risiko, I faktisk har.
Det skal I kræve af den eksterne
- ☐ Skriftlig oplysning om alle aftaler, ejerskab og provision hos leverandører.
- ☐ En vurdering af driftsleverandøren, der bygger på dokumentation og stikprøver.
- ☐ En klar fordeling af opgaver mellem CISO og driftsleverandør.
- ☐ Rapportering direkte til direktionen, uden om leverandøren.
- ☐ Respekt for leverandørens fag og et konstruktivt samarbejde.
Hvad gør I nu?
Find jeres driftsaftale frem, og marker de afsnit, der handler om sikkerhed. Spørg derefter jer selv, hvem der i dag kontrollerer, at de bliver overholdt. Er svaret leverandøren selv, er det et godt sted at begynde. Spørgsmålet om, hvem der har ansvaret, når driften ligger ude af huset, uddybes i Hvem har ansvaret, når driften er outsourcet?, og selve rollen er beskrevet under CISO as a Service.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en vCISO? · Opfølgning på leverandøren
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
