Et øjebliksudtræk fortæller, hvordan opsætningen ser ud netop nu. Spørger nogen, om kontrollen har virket i det forløbne år, skal svaret findes i systemernes historik: hvornår patches blev installeret, hvilke backupjob der lykkedes, og hvornår adgangene sidst blev gennemgået og rettet.
Forskellen er vigtig, fordi en kontrol kan være sat rigtigt op i dag og have været slået fra i et halvt år. Historikken er det, der viser det.
To spørgsmål, der ikke er det samme
En gennemgang kan stille to slags spørgsmål til en kontrol. Det første er, om den findes og er sat rigtigt op. Det andet er, om den har virket over en periode. Det første besvares med et udtræk af opsætningen. Det andet kræver spor.
Efter NIST SP 800-115 fra 2008 bruges resultaterne af vurderinger til at afgøre, hvor godt sikkerhedskontrollerne virker over tid (afsnit 2). Om logs skriver NIST, at de er en kilde til historiske oplysninger og kan bruges til at bekræfte, at systemet kører efter politikkerne (afsnit 3.2).
Denne artikel handler om bevis hentet i systemernes egen historik. Procedurer og referater kan supplere, men de viser hensigten.
Historikken pr. kontrol
Tabellen er sitets ordning. Den viser, hvor sporene typisk findes for fire almindelige kontroller.
- Opdatering · Opsætningen i dag viser: Opdateringsniveau på maskinerne · Historikken, der viser, at den har virket: Installationsdatoer pr. maskine og opdatering over perioden; tid fra udgivelse til installation
- Backup · Opsætningen i dag viser: Job og mål er sat op · Historikken, der viser, at den har virket: Jobhistorik med resultat pr. kørsel; protokol fra gendannelsestest med dato
- Adgangsgennemgang · Opsætningen i dag viser: Hvem der har adgang nu · Historikken, der viser, at den har virket: Udtræk fra seneste gennemgang, ændringer foretaget som følge af den, dato og den, der godkendte
- Sårbarhedsscanning · Opsætningen i dag viser: Scanneren er sat op med mål · Historikken, der viser, at den har virket: Rapporter fra hver scanning med dato; opfølgning på fund
Historikken har en anden egenskab end opsætningen. Den kan ikke laves bagefter. Mangler der jobhistorik for tre måneder, kan ingen vise, at backuppen kørte i den periode.
Hvad forordning 2024/2690 forventer af sporene
Bilaget til forordning 2024/2690 binder kun udbyderne i artikel 1, men som målestok kan alle bruge det. Flere punkter forudsætter, at der er spor:
- Punkt 11.2.3: adgangsrettigheder gennemgås med planlagte mellemrum, og resultaterne dokumenteres.
- Punkt 11.3.3: tilsvarende for de særlige rettigheder.
- Punkt 12.4.3: aktivfortegnelsen revideres regelmæssigt med en dokumenteret historik.
- Punkt 6.10.2: resultaterne af sårbarhedsscanninger dokumenteres.
Fælles for dem er, at det er resultatet, der skal dokumenteres. At handlingen er planlagt, er ikke nok.
Opbevaring af historikken
Historik, der slettes, kan ikke bruges. Det er praksis at kontrollere tre ting:
- Hvor længe gemmes den? Opbevaringen af jobhistorik og logs er en indstilling i hvert system. Kontrollér den, og sammenlign den med, hvor langt tilbage I vil kunne vise noget.
- Hvem kan slette den? Kan den, der udfører kontrollen, også slette sporene, er historikken svag som bevis.
- Kan den trækkes? Historik, der kun kan ses i en administrationsflade ét job ad gangen, er svær at bruge. Find et udtræk.
Stikprøve over tid
En gennemgang behøver ikke læse hele årets historik. En almindelig fremgangsmåde er at vælge nogle tidspunkter i perioden og se, om kontrollen virkede netop der. Et tænkt eksempel:
- (Tre tilfældige uger i årets løb: findes der vellykkede backupjob for de kritiske systemer i hver af dem?)
- (Den seneste kritiske opdatering: hvor lang tid gik der fra udgivelse til installation på et udvalg af maskiner?)
- (Den seneste fratrædelse: hvornår blev kontoen lukket i forhold til fratrædelsesdatoen?)
Den slags stikprøver er hurtige og siger meget. Viser de huller, er det et tegn på, at kontrollen ikke virker stabilt.
Når historikken mangler
Mangler sporene, kan gennemgangen kun konkludere, at kontrollen findes i dag. Det bør stå i rapporten, så læseren ikke tror, at der er bevis for mere. Fremadrettet kan driften sætte opbevaringen op, så næste gennemgang har noget at læse.
Hvordan forskellen mellem en kontrols udformning og dens effekt behandles i en audit med kriterier og konklusion, og hvordan den bruges til at følge modenheden over flere år, er andre emner end det tekniske spor.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at historik gemmes længe nok og ikke kan slettes af den, der udfører kontrollen. Det kræver også, at adgangsgennemgange og gendannelsestest efterlader et spor med dato og resultat.
Uden historik kan I vise, hvordan det ser ud i dag, men ikke hvordan det så ud, da en hændelse skete. Det er ofte netop det spørgsmål, der bliver stillet bagefter.
Det skal I lade være med
- At svare på spørgsmålet om effekt med et udtræk af opsætningen i dag · det viser kun, at kontrollen findes.
- At lade standardindstillingen for opbevaring af historik stå uændret · den kan være for kort.
- At gennemføre adgangsgennemgange uden at gemme resultatet · så findes der intet spor.
Det skal gennemgangen kunne vise
- ☐ Jobhistorik for backup over perioden og protokol fra seneste gendannelsestest.
- ☐ Datoer for installation af opdateringer på udvalgte maskiner.
- ☐ Dokumenteret resultat af seneste adgangsgennemgang med de ændringer, den førte til.
- ☐ Opbevaringstid for historikken og hvem der kan slette den.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 2 og 3.2, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.10.2, 11.2.3, 11.3.3 og 12.4.3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jobhistorikken for backup af jeres vigtigste system, og se, hvor langt tilbage den går.
Læs også: Fejlede backupjob og advarsler, ingen læser · Opdateringsniveau: målt på maskinerne
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
