Når flerfaktor-login og backup fungerer, er de vigtigste tekniske grundelementer på plads. Det, der oftest mangler bagefter, er ledelsen af sikkerheden: en navngiven ejer, en risikovurdering, som prioriteringerne bygger på, opfølgning på leverandørerne og en plan for, hvad der sker, når noget alligevel går galt. Uden de dele forfalder teknikken stille og roligt, fordi ingen har ansvaret for at holde den ved lige, og fordi ingen ved, om den beskytter det, der betyder mest.
Hvorfor teknikken ikke holder af sig selv
Flerfaktor-login blev indført for et år siden. Siden er der kommet tre nye cloudtjenester, hvor ingen har tjekket, om kravet også gælder dér. Backuppen kører hver nat, men den er aldrig blevet genskabt i fuld skala, og ingen ved, hvor lang tid det vil tage. En medarbejder har fået en undtagelse fra flerfaktor-login, fordi telefonen ikke virkede, og undtagelsen er aldrig blevet fjernet.
Det er almindelige eksempler på, hvordan teknik uden ejerskab langsomt mister sin effekt, typisk fordi ingen har fået til opgave at holde øje med den.
Fire ledelsesdele, der ofte mangler
Ejerskab. Hvem i virksomheden har ansvaret for sikkerheden som helhed? Hvis svaret er “IT-leverandøren”, er der et hul. Leverandøren har ansvar for det, aftalen beskriver, og sjældent for helheden. Spørgsmålet er uddybet i artiklen om ansvar ved outsourcet drift.
Risikovurdering. Hvad kan virksomheden mindst undvære, hvilke trusler er mest sandsynlige, og hvad koster et nedbrud? Uden en vurdering ved ledelsen ikke, om den næste indsats skal gå til bedre overvågning, kurser for medarbejderne eller en reservelinje til produktionen. Metoden står i artiklen om risikovurdering som beslutningsgrundlag.
Leverandøropfølgning. Hvilke leverandører har adgang til jeres systemer og data, hvilke sikkerhedskrav har de fået, og hvornår har I sidst kontrolleret, at de bliver opfyldt? Mange virksomheder har aftaler, der ikke nævner sikkerhed, eller som nævner den uden at nogen følger op.
Beredskab. Hvem gør hvad, hvis mailen er låst mandag morgen? Hvem ringer til forsikringsselskabet, hvem taler med kunderne, og hvem beslutter, om systemerne skal lukkes ned? En plan, der er skrevet og prøvet, gør de første beslutninger hurtigere og roligere. Ledelsens del er beskrevet i beredskabsplan: ledelsens del af planen.
De fire dele hænger sammen. Ejerskabet sikrer, at risikovurderingen bliver lavet og opdateret. Risikovurderingen viser, hvilke leverandører der skal følges tættest. Og beredskabet bygger på viden om, hvilke systemer der skal op først. Mangler én af dem, bliver de andre svagere. Derfor giver det mere mening at bygge dem op i sammenhæng end at tage dem som fire separate projekter.
Et tænkt eksempel
En produktionsvirksomhed med 45 ansatte har fået flerfaktor-login på alle konti og en backup, der kopieres til et eksternt datacenter. Direktøren føler sig rimeligt dækket. Ved en gennemgang viser det sig, at produktionens styresystemer ikke er med i backuppen, at maskinleverandøren har en fjernadgang, som ingen har kigget på i tre år, og at beredskabsplanen består af IT-leverandørens telefonnummer.
Alle tre forhold kan rettes med eksisterende teknik. De opstod, fordi ingen havde set på helheden, og fordi ingen i ledelsen havde spurgt.
Spørgsmål, der viser, hvor hullerne er
Direktionen kan selv stille disse spørgsmål. Er svaret uklart, er der et hul. Det er en god idé at stille dem til både den interne kontaktperson og IT-leverandøren, fordi forskelle mellem svarene ofte viser, hvor ansvaret er uklart.
- Hvem har ansvaret for sikkerheden som helhed, og står det skrevet?
- Hvornår blev backup sidst genskabt i fuld skala, og hvor lang tid tog det?
- Hvilke systemer er ikke dækket af flerfaktor-login, og hvorfor?
- Hvad har vi aftalt om sikkerhed med de leverandører, der kan komme ind i vores systemer?
- Hvad gør vi i de første timer, hvis vi bliver ramt af ransomware?
- Hvornår har ledelsen sidst fået en status på sikkerheden?
Styrelsen for Samfundssikkerhed peger i vejledningen “Cyberforsvar der virker” på, at topledelsens engagement er den vigtigste forudsætning for et cyberforsvar, der virker. Spørgsmålene ovenfor er en enkel måde at vise det engagement på. Svarene kan samtidig bruges som udgangspunkt for den første statusrapport, så ledelsen fremover kan se, om hullerne bliver mindre.
Det skal I lade være med
- At købe mere teknik, før ejerskabet er på plads. Nye værktøjer uden ejer får samme skæbne som de gamle.
- At gå ud fra, at leverandøren dækker helheden. Læs aftalen og se, hvad der faktisk står.
- At regne en backup for testet, fordi den kører. Kun en gendannelse viser, om den virker.
- At lade undtagelser leve videre. En midlertidig undtagelse uden udløbsdato bliver permanent.
- At skrive en beredskabsplan uden at øve den. En plan, ingen har prøvet, holder sjældent den første time.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne finde og lukke hullerne mellem teknik og ledelse.
- ☐ En gennemgang, der dækker ejerskab, risiko, leverandører og beredskab ud over den tekniske status.
- ☐ En liste over huller, prioriteret efter risiko og med forslag til ejer.
- ☐ Kontrol af, at flerfaktor-login og backup også dækker nye systemer og tjenester.
- ☐ En plan for fast genskabelsestest af backup, med resultat til direktionen.
- ☐ Et udkast til beredskabsplan med roller for ledelsen og en øvelse inden for det første år.
- ☐ Vurderinger uden binding til leverandører, så anbefalingen ikke påvirkes af, hvem der skal levere.
Næste skridt for direktionen
Tag de seks spørgsmål med på næste direktionsmøde og skriv svarene ned. Hvor svaret er uklart, bed om en vurdering. Rammen for at koble hullerne til en prioriteret plan står under risikovurdering og sikkerhedsstrategi. Hvis spørgsmålene om leverandørerne fylder mest, er leverandørstyring på sikkerhed et naturligt sted at fortsætte.
Kilder
- CFCS: Cyberforsvar der virker: Styrelsen for Samfundssikkerheds vejledning om grundlæggende cyberforsvar og topledelsens rolle.
- Sikkerdigital.dk: 9 råd om digital sikkerhed: rådene om overblik, adgangsrettigheder og beredskab ud over login og backup.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem vil angribe os? · Undtagelser fra sikkerhedsreglerne
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
