Et sikkerhedsreview er en kort, struktureret vurdering af en leverandør eller et system, inden virksomheden binder sig. Det besvarer, hvilke data og adgange der bliver lagt i hænderne på leverandøren, hvilke risici det giver, og om de kan håndteres med krav i aftalen eller med tiltag hos jer selv. Reviewet laves af den, der leder sikkerhedsarbejdet, ofte en CISO. Det grønne lys gives af den, der ejer forretningsbeslutningen, typisk direktøren eller den ansvarlige for området, og i større sager af direktionen samlet.
Hvorfor reviewet skal ligge før underskriften
Når kontrakten er underskrevet, og medarbejderne er gået i gang, er forhandlingsrummet væk. Leverandøren har ingen grund til at ændre vilkår, og et skifte koster både penge og tid. Før underskriften kan virksomheden stille betingelser, bede om dokumentation og vælge en anden løsning. Det er det billigste tidspunkt at finde et problem på.
Reviewet hører derfor hjemme i den almindelige beslutningsgang for indkøb af systemer og tjenester. Det kan være et fast punkt i en tjekliste, der skal være udfyldt, før en ordre godkendes. Over en vis grænse for data, adgang eller kontraktværdi skal reviewet være gennemført, før sagen kan gå videre. Grænsen fastsætter ledelsen.
De spørgsmål, der bør stilles
Et brugbart review kan bygges op om få spørgsmål, som kan besvares på et par sider:
- Hvilke data skal leverandøren behandle eller have adgang til, og hvor følsomme er de?
- Hvilken adgang får leverandøren til jeres systemer, og hvordan er den beskyttet?
- Hvor og af hvem drives tjenesten, og bruger leverandøren selv underleverandører?
- Hvad kan leverandøren dokumentere om sit sikkerhedsarbejde, fx certificering, revisorerklæring eller testresultater, og hvilke af jeres krav til IT-leverandøren vil leverandøren skrive under på?
- Hvordan får I besked, hvis leverandøren har en hændelse?
- Hvilke funktioner til logning, adgangsstyring og backup følger med, og hvilke indstillinger skal I selv stå for?
- Hvad sker der med jeres data, hvis samarbejdet ophører?
Svarene sammenholdes med jeres egen risikovurdering. Et system til lønsedler stiller andre krav end et værktøj til mødebooking, selv om begge er tjenester i skyen.
Et eksempel fra hverdagen
Tag softwarehuset, hvor fem udviklere arbejder for blandt andet en kunde med krav om dokumentation efter ISO 27001. Udviklerne foreslår et nyt værktøj til fejlrapportering, hvor kunderne selv kan oprette sager med skærmbilleder. Værktøjet ser fornuftigt ud og koster lidt.
Reviewet viser, at skærmbillederne kan indeholde kundedata, at værktøjet kun understøtter login med adgangskode, og at leverandøren ikke oplyser, hvor data opbevares. Ingen af delene udelukker værktøjet, men de skal ses i lyset af det, kunden har fået at vide. Løsningen bliver et dyrere abonnement med login via virksomhedens fælles identitetsløsning og en skriftlig oplysning fra leverandøren om datalokation. Temasiden om kundernes sikkerhedskrav går mere i dybden med den side af sagen. Direktøren godkender på det grundlag. Hele forløbet tager få timer, og der ligger et skriftligt spor, hvis kunden spørger.
Hvem gør hvad
Ansvarsfordelingen bør være kendt på forhånd, så reviewet ikke bliver en flaskehals:
- Den, der ønsker systemet, beskriver behovet og hvilke data og brugere der er tale om.
- CISO gennemfører reviewet, stiller spørgsmålene til leverandøren og skriver en kort anbefaling med betingelser.
- IT-driften vurderer, hvordan systemet passer ind i det eksisterende miljø, fx login og backup.
- Beslutningstageren giver grønt lys, betinget grønt lys eller afslag og accepterer den risiko, der står tilbage. Hvem der har den ret, er emnet i artiklen hvem må acceptere en risiko?.
En ekstern CISO, der laver reviews, bør ikke have økonomisk interesse i udfaldet. Provision og rabatter fra leverandører hører ikke hjemme i den rolle, fordi anbefalingen skal kunne stå alene. Hvordan reviewet indgår i den samlede leverandørstyring på sikkerhed, afhænger af virksomhedens størrelse og antallet af nye systemer om året.
Afhængighed er et spørgsmål for sig
Et sikkerhedsreview handler om beskyttelse af data og adgange her og nu. Et andet spørgsmål er, hvor bundet virksomheden bliver: Kan data trækkes ud i et brugbart format, hvem ejer leverandøren, og under hvilken lovgivning drives tjenesten? Det spørgsmål er vigtigt ved forretningskritiske systemer, og det fortjener sin egen vurdering. En gennemgang i ti trin af, hvordan en exit-plan bygges op, kan bruges som supplement, når et system skal kunne udskiftes.
Når beslutningen haster
Nogle gange skal en beslutning træffes hurtigt, fordi en kunde venter, eller et tilbud udløber. Det kan løses med et forkortet review, hvor kun spørgsmål 1, 2 og 7 besvares før underskriften, og resten følger inden for en aftalt frist bagefter. Betingelsen er, at beslutningstageren ved, at vurderingen er ufuldstændig, og at det fremgår af beslutningen. Et forkortet review bør have en slutdato, så det fulde review faktisk bliver gennemført. Springes reviewet helt over, er det i sig selv en risikoaccept, og den behandles som andre accepter med navn, begrundelse og dato. Hastesager bliver dermed undtagelser, der kan ses bagefter, og den faste gang bevarer sin værdi.
Det skal I lade være med
- At lave reviewet efter idriftsættelsen · så er der sjældent vilje eller råd til at ændre noget.
- At bruge et langt standardskema til alt · små værktøjer bliver forsinket, og store sager får ikke den opmærksomhed, de kræver.
- At lade leverandørens salgsmateriale stå som dokumentation · bed om konkrete oplysninger, som kan efterprøves.
- At overse tjenester uden licensbetaling · et værktøj, der intet koster, kan sagtens behandle følsomme data, og det kræver samme vurdering.
- At lade CISO træffe forretningsbeslutningen · rollen anbefaler, og den, der ejer området, beslutter.
Det skal I kræve af den eksterne
- ☐ En fast skabelon til reviews, tilpasset jeres størrelse og typiske systemer.
- ☐ Svartid, der passer til jeres beslutningsgang, så reviews ikke stopper indkøb unødigt.
- ☐ Anbefalinger med tydelige betingelser og den risiko, der står tilbage.
- ☐ Et register over gennemførte reviews, som kan vises til kunder, revisor eller myndighed.
- ☐ Åbenhed om eventuelle forbindelser til de leverandører, der vurderes.
- ☐ Opfølgning på betingelserne, efter systemet er taget i brug.
I kan begynde med at fastsætte grænsen for, hvornår et review er obligatorisk, og lægge den ind i jeres indkøbsproces. Næste nye system bliver så det første, der går igennem. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Leverandøroverblikket · Forsyningskæden i NIS2 set fra ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
