Sikkerhedsgennemgang som første skridt

En sikkerhedsgennemgang giver ledelsen et samlet billede af, hvordan sikkerheden er ledet i dag: hvem der gør hvad, hvad leverandørerne har ansvar for, hvilke krav der gælder jer, og hvor hullerne er. Resultatet er en skriftlig rapport, hvor anbefalingerne står i rækkefølge efter risiko og forretning. Den kan være begyndelsen på et fast samarbejde med en ekstern CISO, men den kan også stå alene, og så er rapporten jeres til at arbejde videre med. Den passer til ledelsen, der skal svare på noget, den ikke kan svare på i dag.

Når gennemgangen giver mening

Som regel er der en anledning. En kunde har sendt et spørgeskema, som ingen rigtig kan besvare. Forsikringen skal fornyes. Bestyrelsen spørger, om I er omfattet af NIS2. En ny direktør vil vide, hvad vedkommende har overtaget, eller en hændelse hos en leverandør har vist, at ingen vidste, hvem der havde ansvaret.

Fornemmer I bare, at noget mangler, kan selvtesten for direktionen give et første fingerpeg på tolv spørgsmål. Gennemgangen går et skridt længere, fordi nogen læser aftalerne og taler med folkene. Står det allerede klart, at I mangler en ejer af sikkerheden, kan I gå direkte til Hvad er CISO as a Service?.

Det ser gennemgangen på

Systemer og data. Hvilke systemer bærer forretningen, hvor ligger de vigtigste oplysninger, og findes der en oversigt, nogen holder ajour?

Leverandører og aftaler. Hvem har adgang til hvad, hvad står der i aftalerne om sikkerhed, og hvad gælder i praksis? Her dukker de fleste uklarheder op, fordi både virksomhed og leverandør regner med, at den anden har det.

Ansvar og beslutninger. Hvem ejer sikkerheden, hvem har accepteret hvilke risici, og hvad har ledelsen faktisk godkendt? Er I under NIS2, ser gennemgangen også på, om ledelsesorganets godkendelse og tilsyn kan dokumenteres.

Krav udefra. Er I omfattet af NIS2 eller andre regler, hvad har I lovet kunder, og hvad har I svaret forsikringen? Svarene holdes op mod det, I faktisk gør. Om I er omfattet, er i sidste ende jeres egen vurdering, og tvivlsspørgsmål hører til en advokat eller myndigheden.

Beredskab. Findes der en plan, står de rigtige navne i den, og hvad er vist om gendannelse efter et nedbrud? Gennemgangen ser på, hvad der foreligger og er afprøvet.

Sådan foregår den

Først aftaler I, hvad der skal besvares, og hvad der ikke er med. Så samler I det, der findes: aftaler med leverandører, systemoversigter, politikker, spørgeskemaer, forsikringens spørgsmål og tidligere rapporter. Huller i materialet er almindelige og fortæller også noget. Artiklen om forberedelsen af en gennemgang på ekstern-it-ledelse.dk har mere om, hvad I kan gøre klart.

Dernæst kommer samtalerne, som regel med direktøren, en eller to fra IT eller økonomi og kontaktpersonen hos de vigtigste leverandører. Fortæl dem på forhånd, hvad formålet er. Det gør det lettere at sige, hvad der ikke virker.

Læseadgang til dokumentation er næsten altid nok. Administratorrettigheder er ikke nødvendige. Hvad den eksterne må se, og hvem der må kontaktes, står i en kort aftale, jf. artiklen om mandatet.

Det får I

• En rapport til ledelsen · skrevet uden fagsprog, med en forklaring af, hvad hvert fund kan føre til for drift, kunder og økonomi.
• Prioriterede anbefalinger · rækkefølgen for de næste skridt, og hvilke punkter I selv kan løfte.
• Et overblik over ansvaret · hvem der ejer hvad i dag, og hvor der ikke står noget navn.
• En gennemgang på ledelsesmødet · så rapporten bliver til beslutninger med navn og dato.

Rapporten er et beslutningsgrundlag. Hvordan fund bliver til beslutninger, står i artiklen om risikovurdering for ledelsen. Har I brug for en måling, der kan gentages år for år, er det en modenhedsvurdering, og den kan bygge på gennemgangen.

Det er gennemgangen ikke

Den er ikke en sikkerhedstest. Ingen forsøger at bryde ind i jeres systemer, og rapporten siger ikke, om en bestemt sårbarhed kan udnyttes. Den er heller ikke drift eller overvågning, og den kan ikke bruges som en erklæring over for andre om, at I lever op til et krav. Rapporten er et arbejdsredskab for ledelsen. Sitets grænser er samlet på siden om afgrænsning.

Købes alene eller som begyndelsen

Hos Nielco IT begynder et forløb med sikkerhedsgennemgangen, men I kan nøjes med den. Rapporten tilhører jer, også hvis I stopper dér, og I kan bruge den sammen med jeres IT-leverandør eller en intern ansvarlig. Går I videre, bliver anbefalingerne grundlaget for en plan og et fast månedligt samarbejde, som beskrevet under forløbet med en ekstern CISO. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det skal I lade være med

• At skjule gennemgangen for IT-folkene eller leverandøren · så får I forsigtige svar og ringere rapport.
• At lade leverandøren vurdere sig selv · den, der leverer driften, bør ikke skrive rapporten om den.
• At lade rapporten ligge · tag anbefalingerne op på næste ledelsesmøde, og skriv beslutningen i referatet.
• At forveksle gennemgangen med en test · den viser, hvordan sikkerheden er ledet, og det er noget andet end en prøve af teknikken.

Det skal I kræve af den eksterne

• ☐ En skriftlig afgrænsning af spørgsmålene, før arbejdet går i gang.
• ☐ En rapport, ledelsen kan læse og bruge uden den, der har skrevet den.
• ☐ Få, ordnede anbefalinger i stedet for en lang opremsning.
• ☐ Råd uden tilknytning til leverandører eller produkter.
• ☐ Afgrænset læseadgang, der lukkes, når gennemgangen er slut.
• ☐ Besked, hvis rapporten viser, at I kan klare resten selv.

Senest gennemgået: november 2026.

Næste skridt

• Sådan forløber et samarbejde med en ekstern CISO
• Hvad skal vi gøre først?

Læs også: Det får ledelsen af en ekstern CISO · Sådan vælger I en ekstern CISO

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT