Opfølgning på en IT-leverandør om sikkerhed sker bedst på et fast møde hvert kvartal med en kort rapport fra leverandøren og en fast dagsorden. Mødet gennemgår, om de aftalte krav er opfyldt, hvilke hændelser og ændringer der har været, og hvad der er planlagt. Den eksterne CISO forbereder spørgsmålene, læser rapporten igennem på forhånd og giver ledelsen en kort status bagefter. Vage svar, gentagne udsættelser og manglende dokumentation er de tegn, der skal få jer til at stille opfølgende spørgsmål.
Hvorfor faste møder
Mange virksomheder taler med deres IT-leverandør, når noget er gået i stykker. Samtalen handler om at få det løst, og der er sjældent tid til at se på, om sikkerheden generelt er i orden. Sikkerhedsspørgsmål ender på et ad hoc-møde en gang om året, hvis overhovedet.
Et fast møde giver plads til at se fremad. Når mødet ligger i kalenderen, ved leverandøren, at der bliver spurgt, og den forbereder sig. Det gør også samarbejdet lettere, fordi problemer kan tages op, før de bliver til en konflikt. Mødet er den praktiske del af leverandørstyring på sikkerhed.
En dagsorden, der kan genbruges
Den samme dagsorden kan bruges hvert kvartal. Det gør det let at sammenligne fra gang til gang.
- Opfølgning fra sidst. Status på de punkter, der blev aftalt.
- Kravene i aftalen. Om opdateringer, backup og adgange lever op til det aftalte.
- Hændelser. Hvad der er sket, hvordan det blev håndteret, og hvad der er lært.
- Ændringer. Nye systemer, nye medarbejdere hos leverandøren og nye underleverandører.
- Sårbarheder. Kendte svagheder, der ikke er rettet, og planen for dem.
- Planer. Det, leverandøren vil ændre eller foreslår at ændre i det kommende kvartal.
- Aftaler. Hvem gør hvad til næste gang.
Mødet bør kunne holdes på en time. Med en kritisk leverandør og en rapport, der er sendt i forvejen, er det realistisk. Kravene, mødet følger op på, er beskrevet i sikkerhedskrav til jeres IT-leverandør.
Leverandørens rapport
Rapporten er grundlaget for mødet og skal sendes et par dage før. Den behøver ikke være lang. En side eller to med faste overskrifter er nok.
- Andel af kritiske opdateringer installeret inden for den aftalte frist.
- Dato for seneste afprøvning af genskabelse fra backup og resultatet.
- Ændringer i leverandørens adgange til jeres systemer.
- Hændelser i perioden, også dem uden skade.
- Status på kendte sårbarheder.
Når rapporten har samme form hver gang, kan udviklingen følges over tid. Det er udviklingen, ledelsen har brug for at kende. Et enkelt kvartal med lav opdateringsgrad kan have en god forklaring. Tre kvartaler i træk er et mønster.
Spørgsmål, der giver brugbare svar
Spørgsmålene skal være konkrete. Generelle spørgsmål giver generelle svar. Her er nogle, der ofte afslører, hvordan det reelt står til.
- Hvornår blev en genskabelse fra backup sidst afprøvet, og hvor lang tid tog den?
- Hvor mange af jeres medarbejdere har administratoradgang hos os, og hvornår blev listen sidst gennemgået?
- Hvilke sårbarheder har ventet længst på at blive rettet, og hvorfor?
- Hvilke underleverandører har adgang til vores data?
- Hvad ville I gøre, hvis en af jeres egne medarbejdere blev ramt af et phishingangreb?
Hvordan man vurderer kvaliteten af leverandørens svar, er uddybet i en artikel om krav til leverandørens svar.
Svar, der bør vække opmærksomhed
Nogle svar er et signal om, at der skal graves dybere. Ofte er det dokumentationen, der mangler, også når driften i øvrigt er i orden.
- “Det har vi styr på.” Uden tal eller dokumentation er det et ønske mere end et svar.
- “Det står ikke i aftalen.” Kan være rigtigt, men så skal det besluttes, om det skal tilføjes.
- “Det er planlagt.” Spørg hvornår, og se efter, om datoen flytter sig fra møde til møde.
- “Det kan vi ikke oplyse.” Visse detaljer kan være fortrolige, men jeres egne systemer bør I kunne få indsigt i.
- Samme fejl igen. Gentagne hændelser af samme type tyder på, at årsagen ikke er fundet.
Forestil jer en byggemarkedskæde med 120 ansatte fordelt på fire butikker. På tre møder i træk har driftsleverandøren svaret, at afprøvning af backup er planlagt. CISO’en noterer det i statusrapporten til direktionen, og direktøren tager det op med leverandørens ledelse. Afprøvningen gennemføres måneden efter og viser, at to systemer ikke kunne genskabes. Problemet bliver rettet, før det koster noget.
Tonen på møderne har betydning. En leverandør, der bliver mødt med mistillid, svarer forsigtigt og siger så lidt som muligt. En leverandør, der oplever, at ærlige svar fører til fælles løsninger, fortæller også om de svagheder, den selv har fundet.
Fra møde til ledelse
Efter mødet skriver CISO’en en kort status til direktionen. Den bør rumme tre ting. Er kravene opfyldt? Hvilke afvigelser er der? Og er der noget, ledelsen skal beslutte? Gentagne afvigelser bør eskaleres til leverandørens ledelse, og hvis det ikke hjælper, kan det blive en sag om aftalens fornyelse. Hvordan sikkerhedsforhold rapporteres videre til bestyrelsen, står i sikkerhedsrapport til bestyrelsen.
Det skal I lade være med
- At lade leverandøren sætte dagsordenen. Så handler mødet om nye ydelser.
- At holde møder uden referat. Aftaler uden skrift bliver glemt.
- At acceptere de samme forklaringer kvartal efter kvartal. Mønstre skal eskaleres.
- At gøre mødet til en anklage. Målet er at få det til at virke, og et godt samarbejde gør det lettere.
- At springe mødet over, når alt kører. Det er netop da, I kan nå at forberede jer.
Det skal I kræve af den eksterne
Den eksterne CISO skal stå på jeres side over for leverandøren. Det er kun muligt, hvis rådgiveren ikke henter indtægter fra leverandøren, hverken som partner, forhandler eller gennem henvisningshonorarer.
- ☐ En fast dagsorden og en skabelon til leverandørens rapport.
- ☐ Gennemlæsning af rapporten før hvert møde.
- ☐ Konkrete spørgsmål forberedt på forhånd.
- ☐ Referat med aftaler, ansvarlige og datoer.
- ☐ Kort status til direktionen efter hvert møde.
- ☐ Eskalering, når afvigelser gentager sig.
Første skridt
Send jeres vigtigste IT-leverandør dagsordenen ovenfor og bed om et møde inden for den næste måned. Bed samtidig om rapporten med de fem faste punkter. Det første møde viser hurtigt, hvor meget leverandøren kan dokumentere. Overblikket over, hvilke leverandører der skal have møder, står i overblik over leverandører med adgang.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem har ansvaret, når driften er outsourcet? · Cybersikkerhed i bestyrelseslokalet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
