Når en sikkerhedshændelse er inddæmmet og ryddet op, viser en teknisk gennemgang, om den samme slags svaghed stadig findes andre steder i miljøet, og om de hurtige rettelser under hændelsen har efterladt nye huller. Den ser fremad på opsætningen.
Undersøgelsen af selve forløbet, hvem der gjorde hvad og hvornår, er en anden opgave. Det er ledelsens læring også. Denne artikel handler om den gennemgang, der kommer bagefter.
Hvad reglerne siger om tiden efter en hændelse
Forordning 2024/2690 gælder kun for visse udbydere af digitale tjenester. Brugt som målestok siger dens bilag i punkt 3.6, at gennemgangen efter en hændelse, hvor det er relevant, skal afdække den grundlæggende årsag og føre til dokumenterede erfaringer. Punkt 6.3.3 og 2.3.4 nævner væsentlige hændelser som anledning til at gennemgå konfigurationer og tilgangen til sikkerhed.
SAMSIK anbefaler i sin NIS 2-vejledning scanning for sårbarheder, også når der har været en sikkerhedshændelse. Ordet er bør, så det er en anbefaling.
Fra årsag til mønster
En hændelse peger på én svaghed. En gennemgang spørger, hvor den samme slags svaghed ellers findes. NIST nævner i SP 800-115 fra 2008 en række typiske grundårsager til fund:
- utilstrækkelig styring af opdateringer
- manglende sikkerhedsbaselines, der viser sig som forskellige indstillinger på systemer, der burde være ens
- svagheder i arkitekturen
- manglende politikker eller manglende håndhævelse af dem
Er den udnyttede svaghed en manglende opdatering på ét system, er spørgsmålet, hvorfor patchstyringen ikke fangede den, og hvilke andre systemer der står uden for den. Er det en konto med for brede rettigheder, er spørgsmålet, hvor mange andre konti der har det samme. Fundene fra gennemgangen beskriver mønsteret bag enkelttilfældet.
Driftens egen søgning
Meget af mønstersøgningen kan driften selv lave. Er den udnyttede svaghed en version, en indstilling eller en åben tjeneste, kan driften søge efter det samme i styringsværktøjets rapporter, i systemlisten og med en scanning af de adresser, der står mod internettet. Det følger også vejledningens anbefaling om scanning ved sikkerhedshændelser.
Gem søgningens resultat som udtræk med dato. Det viser bagefter, at mønsteret er undersøgt, og hvor bredt der er søgt. En søgning uden spor kan ikke bruges som bevis, når nogen senere spørger, om svagheden fandtes andre steder.
Det, hændelsen selv efterlader
Under en hændelse bliver der rettet hurtigt. Det er rigtigt at gøre, men det efterlader spor i opsætningen, som skal ses efter bagefter. Det er almindelig praksis at gennemgå:
- regler, der blev åbnet eller lukket i hast, og som stadig står
- konti og rettigheder, der blev givet til dem, der hjalp under hændelsen
- fjernadgang og værktøjer, der blev installeret for at undersøge eller rydde op
- logning, der blev slået til eller udvidet, og som skal fastholdes eller rulles tilbage
- systemer, der blev genopbygget, og som skal holdes op imod målestokken igen
Forordningens punkt 6.4.3 giver her en nyttig målestok. Nødændringer skal efter den dokumenteres med resultatet og en forklaring på, hvorfor proceduren blev sprunget over. En liste over nødændringer fra hændelsen er det bedste udgangspunkt for denne del af gennemgangen.
Sammenlign med et udtræk fra før
Findes der udtræk fra før hændelsen, fx fra en tidligere gennemgang, kan de nye udtræk sammenlignes med dem. Forskellene er enten rettelser fra hændelsen, ændringer fra den almindelige drift eller ændringer, ingen kan forklare.
Den sidste gruppe hører ikke til den tekniske gennemgang. Den går tilbage til dem, der undersøger forløbet. En gennemgang kan pege på, at noget er ændret. Den kan ikke afgøre, hvem der ændrede det, eller hvorfor.
Hvornår gennemgangen bør ligge
Gennemgangen bør ligge, når hændelsen er inddæmmet, og driften er tilbage i en almindelig rytme, men før de midlertidige ændringer er glemt. NIST kalder en vurdering et øjebliksbillede. Ligger den midt i oprydningen, beskriver den en opsætning, der ændrer sig fra dag til dag.
Plads i den større læring
Gennemgangens fund er en del af erfaringerne efter hændelsen. Hvordan de indgår i ledelsens opfølgning og i en audit af hele sikkerhedsarbejdet, er beskrevet under opfølgningen efter en hændelse i sikkerhedsaudit. Hvordan hændelser bruges til at måle modenheden over tid, er beskrevet under modenhed målt over tid.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over nødændringer fra hændelsen, udtræk af den nuværende opsætning og helst udtræk fra før. Det kræver også, at nogen beslutter, hvilke midlertidige ændringer der skal blive, og hvilke der skal rulles tilbage.
Springes gennemgangen over, er det ene hul lukket, men de andre af samme slags står åbne. Og de adgange, der blev givet i hast, bliver hængende som en ny svaghed, hændelsen selv har skabt.
Det skal I lade være med
- At rette den ene svaghed og stoppe dér · find mønsteret.
- At lade nødændringer stå udokumenterede · skriv dem ned, mens de er friske.
- At bruge gennemgangen til at undersøge forløbet · det er en anden opgave.
Det skal gennemgangen kunne vise
- ☐ En liste over nødændringer fra hændelsen med begrundelse og status.
- ☐ Hvor den samme slags svaghed er søgt efter, og med hvilket resultat.
- ☐ At midlertidige konti, regler og værktøjer er lukket eller gjort faste med begrundelse.
- ☐ Genopbyggede systemer holdt op imod målestokken.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 2.3.4, 3.6, 6.3.3 og 6.4.3, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, § 6 nr. 5, afsnit B, læst 13. november 2026.
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 6.2 og 7.3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Saml nødændringerne fra den seneste hændelse i én liste, og markér for hver, om den skal blive eller rulles tilbage.
Læs også: Opfølgende gennemgang · Fjernsupportværktøjer og leverandørers adgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
