I en engros- eller distributionsvirksomhed hænger næsten alt på ét forretningssystem. Ordremodtagelse, lagerstyring, plukning, fakturering og ofte også prislister ligger i ERP-systemet, og ordrerne kommer ind og går ud gennem elektroniske forbindelser til kunder, leverandører og fragtfirmaer. Sikkerhedsledelsen skal derfor starte med det spørgsmål, der betyder mest for forretningen: hvor længe kan vi undvære systemet, og hvad gør vi imens? Ud fra svaret kan ledelsen prioritere beskyttelsen af ERP-systemet, forbindelserne til omverdenen og de konti, der kan ændre ordrer og betalinger.
Ét system, som alt afhænger af
ERP står for enterprise resource planning og betegner det system, der samler virksomhedens økonomi, lager og ordrer. I en grossistvirksomhed er det ofte hostet hos en ERP-partner eller leveret som en tjeneste fra producenten, med lokale tilpasninger, som kun få personer kender.
Når systemet står stille, står lageret også stille. Plukkerne kan ikke se ordrerne, chaufførerne har ingen fragtbreve, og kunderne får ingen ordrebekræftelse. Derfor er den første ledelsesbeslutning at fastsætte, hvor længe forretningen kan tåle et stop, og hvor mange timers data den kan tåle at miste. De to tal styrer krav til backup, genetablering og leverandørens svartider. Svarene er sjældent ens på tværs af afdelingerne. Lageret kan måske klare en halv dag med papirlister, mens økonomi kan vente en uge med fakturering. Kundeservice kan derimod ikke svare på en eneste ordre uden systemet. Ledelsen må veje svarene mod hinanden og fastsætte ét tal for hele virksomheden. Hvordan beslutningerne tages, er beskrevet i Driftskontinuitet og krisestyring og i Backup og reetablering.
Elektronisk udveksling med kunder og leverandører
Mange grossister udveksler ordrer, ordrebekræftelser, fakturaer og leveringsadviser elektronisk. Det kan ske gennem EDI, hvor dokumenterne følger en fast standard, gennem forbindelser direkte til kundens system eller gennem en formidler, der oversætter mellem formaterne.
Hver forbindelse er en dør ind i virksomheden. Sikkerhedsledelsen skal vide, hvor mange der er, hvem der driver dem, og hvad der sker, hvis en af dem bliver misbrugt. En falsk ordre kan sende varer til en forkert adresse, og en ændret faktura kan sende penge til en forkert konto. Spørgsmålene til ledelsen er derfor praktiske. Hvem kan oprette en ny forbindelse? Hvem får besked, når en forbindelse fejler eller opfører sig usædvanligt? Og hvem hos kunden eller formidleren ringer man til, hvis noget ser forkert ud? Svarene samles i en enkel oversigt, som opdateres, hver gang en kunde eller leverandør kobles på eller af.
Konti, der kan flytte penge og varer
I et ERP-system er det særligt farligt, hvis nogen uberettiget kan ændre kreditorers kontonumre, oprette nye leveringsadresser eller godkende kreditnotaer. Rettighederne vokser ofte med tiden. En medarbejder skifter fra salg til indkøb og beholder sine gamle adgange, og ERP-partneren har en konto med fulde rettigheder, fordi det var nemt under implementeringen.
Ledelsen bør fastsætte, at ændringer af kontonumre og betalingsoplysninger kræver to personer, og at rettighederne i ERP-systemet gennemgås fast. Gennemgangen kan virksomhedens egne ledere foretage, fordi de ved, hvem der skal kunne hvad. IT-leverandøren kan levere listen, men vurderingen af, om rettighederne er rigtige, hører til forretningen.
Kundernes krav
Større kunder i detailhandlen og i industrien sender sikkerhedsspørgeskemaer til deres grossister og skriver krav ind i rammeaftalerne. Nogle af kunderne er selv omfattet af NIS2-loven og skal ifølge § 6, stk. 1, nr. 4, have styr på sikkerheden i forholdet til deres direkte leverandører.
Visse distributører kan også selv være omfattet. Lovens bilag 2 nævner blandt andet fødevarevirksomheder med engrosdistribution og virksomheder, der distribuerer kemiske stoffer og blandinger. Om netop jeres virksomhed hører til, afhænger af sektor og størrelse, og sektorerne er gennemgået under bilag 1 og 2. Uanset svaret skal nogen eje kundernes spørgsmål internt, så svarene hænger sammen fra kunde til kunde. Den opgave er beskrevet i kundens sikkerhedsspørgeskema.
Prioriteringen i praksis
Tænk på en grossist i byggematerialer med 70 ansatte, to lagre og et ERP-system hos en ERP-partner. Kunderne bestiller via EDI og en kundeportal, og tre fragtfirmaer får ordredata automatisk. En ekstern CISO laver sammen med direktionen en enkel prioritering:
- ERP-systemet. Aftal med ERP-partneren, hvor hurtigt systemet skal kunne genskabes, og få genskabelsen afprøvet.
- Betalingsoplysninger. Indfør godkendelse af to personer ved ændring af kontonumre, og gennemgå, hvem der har rettigheden.
- Forbindelserne. Lav en liste over alle elektroniske forbindelser med ejer og kontaktperson.
- Partnerens adgang. Gør ERP-partnerens adgang personlig og begrænset til det nødvendige.
- Kundernes krav. Saml de seneste spørgeskemaer og svar ét sted.
Rækkefølgen bygger på, hvad der vil ramme forretningen hårdest. Den tages op igen hvert halve år, eller når et nyt system eller en ny storkunde kommer til. Hvordan sådan en rækkefølge bliver til en plan, er gennemgået i Hvad skal vi gøre først?. Er ERP-partneren svær at erstatte, hører spørgsmålet om afhængighed med i risikovurderingen, se Risikovurdering og sikkerhedsstrategi.
Det skal I lade være med
- At lade ERP-partneren fastsætte, hvor længe I kan undvære systemet · det er en forretningsbeslutning.
- At godkende ændringer af kontonumre ud fra en mail · ring til leverandøren på et kendt nummer.
- At glemme formidleren af elektroniske dokumenter · den er en leverandør med adgang til jeres ordrer.
- At lade rettighederne i ERP-systemet vokse uden gennemgang · gamle adgange bliver liggende.
- At besvare hver kundes spørgeskema forfra · ens spørgsmål skal have ens svar.
Det skal I kræve af den eksterne
- ☐ Et oplæg til ledelsen om, hvor længe forretningen kan undvære ERP-systemet, og hvor meget data der må gå tabt.
- ☐ En oversigt over elektroniske forbindelser med ejer, leverandør og kontaktperson.
- ☐ Konkrete krav til ERP-partneren om adgang, backup og genskabelse.
- ☐ En fast gennemgang af rettigheder til betalinger og kontonumre.
- ☐ Én samlet mappe med svar til kunderne, som ledelsen har set.
- ☐ Anbefalinger, der ikke er farvet af leverandørforhold. Spørg, om den eksterne er knyttet til ERP-producenter eller partnere.
Til næste ledelsesmøde
Sæt ét spørgsmål på dagsordenen: hvor mange timer kan vi drive forretningen uden ERP-systemet? Bed salg, lager og økonomi om hver deres svar. Forskellen mellem svarene viser, hvor sikkerhedsarbejdet skal begynde.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 1, nr. 4, om forsyningskædesikkerhed og bilag 2 om blandt andet fødevaredistribution og distribution af kemikalier.
Senest gennemgået: november 2026.
Næste skridt
- Risikovurdering, som ledelsen kan træffe beslutninger på
- Forvaltning af aktiver: overblik over systemer, data og udstyr
Læs også: Sikkerhedsledelse i webshoppen · Direktørsvindel: godkendelsesregler for betalinger
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
