Omfanget af en teknisk gennemgang kan vælges lag for lag ud fra tre spørgsmål: Hvad kan nås udefra, hvad ville gøre mest skade, og hvad ved I mindst om? Det lag, der scorer højt på alle tre, gennemgås fuldt. De øvrige får en stikprøve eller et overblik.
Metoden i denne artikel er sitets egen ordning. Ingen regel foreskriver den. Den bygger på de prioriteringsgrunde, NIST nævner, og på den måde, statens tekniske minimumskrav skiller internetvendte tjenester fra interne systemer.
Prioriteringsgrundene
I sin vejledning SP 800-115 fra 2008 lister NIST flere grunde til at prioritere mellem systemer: systemets kategorisering, det forventede udbytte af vurderingen, hvornår systemet sidst blev vurderet, og de regler, der gælder for det. Vejledningen tilføjer, at omfanget også afhænger af størrelse, kompleksitet og muligheden for at bruge stikprøver.
De tre spørgsmål i denne artikel er en omsætning af de grunde til driftens sprog. Eksponering svarer til, hvor let systemet kan nås. Kritikalitet svarer til kategoriseringen. Det mindst kendte svarer til udbyttet, for dér er der flest ukendte afvigelser at finde.
Eksponering som første kriterium
Statens vejledning til de tekniske minimumskrav fra september 2025 skelner mellem internetvendte tjenester og interne it-systemer. Kravene til internetvendte tjenester omfatter enhver software med en sårbarhed, som kan nås og udnyttes udefra, også de bagvedliggende systemer, der kan nås gennem en internetvendt tjeneste.
Kravene binder kun statslige myndigheder. Brugt som målestok i en privat virksomhed giver afgrænsningen et nyttigt princip. Det, der står mod internettet, omfatter hele kæden bagved den yderste maskine, så langt en henvendelse udefra kan nå.
Lag for lag
Sitets ordning deler miljøet i seks lag. Hvert lag vurderes for sig.
- Kanten · Eksempler: Firewall, VPN, webservere, mail, login til lejeren · Spørgsmål til laget: Hvad svarer udefra, og hvad står bagved?
- Identitet · Eksempler: Lokalt katalog, cloud-katalog, administratorkonti · Spørgsmål til laget: Hvem kan blive administrator, og hvordan?
- Netværk · Eksempler: Segmenter, regelsæt mellem zoner, trådløst · Spørgsmål til laget: Kan en inficeret klient nå serverne direkte?
- Servere og platforme · Eksempler: Domænecontrollere, virtualisering, databaser · Spørgsmål til laget: Afviger rollerne fra målestokken?
- Klienter · Eksempler: Bærbare, stationære, virtuelle skriveborde · Spørgsmål til laget: Er de opsat ens, og hvem styrer dem?
- Backup og logning · Eksempler: Backupsystem, central logopsamling · Spørgsmål til laget: Kan de bruges, når resten er nede?
Lagene er ikke lige store i alle virksomheder. Hos en virksomhed, der har flyttet næsten alt til skyen, er lejeren både kant og identitet. Hos en produktionsvirksomhed kan netværkslaget være det største.
Dybden i hvert lag
For hvert lag vælges én af tre dybder. Ordningen er tænkt som eksempel.
- Fuld gennemgang: alle objekter i laget læses mod målestokken. Bruges, hvor laget er eksponeret og kritisk.
- Stikprøve: et udvalg pr. rolle eller image. Bruges, hvor objekterne er mange og styres centralt.
- Overblik: kun opsætningens hovedtræk og de styrende politikker. Bruges, hvor laget er lidt eksponeret og godt kendt.
Kanten og identiteten ender oftest i fuld gennemgang, fordi de både kan nås og giver adgang til resten. Klienterne ender oftest i stikprøve, fordi de er mange og ens.
Det mindst kendte
Det tredje spørgsmål bliver ofte glemt. Systemer, som driften selv kender godt, har færre overraskelser. Systemer, der er arvet, drives af en leverandør eller aldrig har været gennemgået, har flere.
NIST nævner tidspunktet for den seneste vurdering som prioriteringsgrund. Et lag, der aldrig er vurderet, bør derfor rykke op, også selv om det ikke er det mest eksponerede. Spørg driften direkte, hvilke dele af miljøet de helst ikke vil have set på. Svaret peger ofte på de lag, hvor dokumentationen er tyndest, og hvor ændringer er lavet i hast uden at blive skrevet ned.
Et tænkt eksempel
En tænkt virksomhed har tre lokationer, en lejer til kontorplatformen, VPN til hjemmearbejde, et økonomisystem hos en hostingleverandør og en lille serverpark. Kanten består af VPN, lejerens login og økonomisystemets webadgang. Den gennemgås fuldt, også den del, leverandøren driver, så langt læseadgang og udtræk rækker.
Identiteten består af et lokalt katalog, der synkroniserer til lejeren. Den gennemgås fuldt, fordi en fejl dér rammer alt andet. Netværket gennemgås fuldt i regelsættet mellem kontornet og servernet, men kun som overblik på filialernes switche, der er ens og styres centralt.
Serverne får en stikprøve pr. rolle, bortset fra domænecontrollerne, der alle læses. Klienterne får en stikprøve pr. image. Backup og logning gennemgås fuldt, fordi ingen har set på dem, siden de blev sat op. Det sidste valg følger af det tredje spørgsmål og ikke af eksponeringen.
Udelukkelser skal begrundes
Det, der ikke er med, skal stå i planen. NIST beskriver en udelukkelsesliste, der angiver systemer, som ikke må berøres. I en afgrænsning efter eksponering er det mindst lige så vigtigt at skrive, hvorfor et lag er sat ned til overblik. Næste gang kan begrundelsen være forældet.
Hvordan afgrænsningen af en hel audit håndteres, også ud over teknikken, står under afgrænsning af en sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver en opdateret systemliste, en netværkstegning, der viser, hvad der står mod internettet, og en drøftelse med forretningen om, hvilke systemer der er kritiske.
Vælges omfanget ud fra, hvad der er let at trække, bliver gennemgangen lang på klienterne og kort på kanten. Rapporten ser omfattende ud, men de mest eksponerede afvigelser kan stå uberørt.
Det skal I lade være med
- At afgrænse efter lokation eller afdeling · en angriber følger lagene på tværs af adresser.
- At udelade det, en leverandør driver · eksponeringen er den samme.
- At sætte et lag til overblik uden begrundelse · begrundelsen er grundlaget for næste afgrænsning.
Det skal gennemgangen kunne vise
- ☐ En liste over lag med valgt dybde og begrundelse.
- ☐ De internetvendte tjenester og systemerne bag dem.
- ☐ En udelukkelsesliste med begrundelse for hvert punkt.
- ☐ Hvornår hvert lag sidst blev gennemgået.
Kilder
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 6.2 og 6.5, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1.2 og 3.9, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres systemliste og sæt hvert system i et af de seks lag. Markér derefter, hvad der kan nås fra internettet.
Læs også: Det, der står åbent mod internettet · Kantudstyr først
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
