...
Spørgsmål om teknisk audit
Her er de spørgsmål, IT-chefer og driftsfolk typisk stiller, når opsætningen skal gennemgås, med et kort svar på hvert. Vil I vide mere, følger I pilen til den artikel, der uddyber svaret. Svarene er forenklede, og gælder en regel kun for en bestemt slags virksomhed, er det nævnt.
Gennemgangen
Hvad er en teknisk sikkerhedsgennemgang?
Driftens katalog, lejer, regelsæt, servere og logs bliver læst, som de står nu, og sammenlignet med en aftalt målestok. Intet ændres, og der angribes ikke.
→ Teknisk sikkerhedsgennemgang
Hvad er forskellen på en gennemgang og en penetrationstest?
Gennemgangen læser opsætningen. En scanning spørger systemerne over nettet. En penetrationstest prøver at bryde igennem. De kræver forskellig adgang og giver forskellige fund.
→ Gennemgang, scanning eller penetrationstest
Hvad finder en teknisk gennemgang ikke?
Den viser afvigelser fra målestokken på den dag, udtrækkene blev trukket. Om en afvigelse lader sig misbruge, og hvordan systemer uden for afgrænsningen står, siger den intet om.
→ Det, en teknisk gennemgang ikke finder
Kan gennemgangen forstyrre driften?
Ren læsning belaster næsten ikke. Aktive scanninger kan give belastning, og i produktionsnet med styringsanlæg kan de give forstyrrelser, så de planlægges for sig.
→ Påvirker gennemgangen driften?
Hvilken adgang skal den, der gennemgår, have?
Læseroller pr. platform med en slutdato, eller ingen adgang, hvis driften selv trækker udtrækkene. Administratorrettigheder er sjældent nødvendige.
→ Adgange til den, der gennemgår
Hvordan skal udtrækkene behandles hos auditoren?
Som følsomme data. Aftal overførsel, opbevaring, adgang, rensning af bilag og sletning, før det første udtræk bliver sendt.
→ Konfigurationsudtræk hos auditoren
Hvordan vælges omfanget?
Lag for lag efter tre spørgsmål: kan det nås udefra, ville et udfald gøre stor skade, og ved I lidt om det? Lag med tre ja gennemgås fuldt.
→ Afgrænsning efter eksponering
Skal alle servere og klienter gennemgås?
Nej, ikke når de er installeret ens og ligger under samme politik; så rækker nogle få pr. rolle. Kan alle måles automatisk, er det bedre at tage dem alle.
→ Stikprøve af servere og klienter
Hvad skal driften finde frem før start?
Tegningen af nettet, listen over systemer og de udtræk, der kan trækkes på forhånd. Det, systemerne selv leverer, vejer mere end politikker.
Hvad gør en gennemgang stor eller lille?
Hvor mange forskellige platforme, lejere og regelsæt der findes, hvor ensartet maskinerne er, og hvor stor en del et værktøj kan måle. Antallet af ansatte betyder mindre.
Hvor ofte skal opsætningen gennemgås?
Der er intet fast interval for alle. Reglerne nøjes som regel med “planlagte mellemrum” plus større ændringer og hændelser. Faste tal findes kun for enkelte kontrolpunkter i bestemte sektorer.
Kan driften selv lave kontrollen?
Ja, alle de punkter, hvor systemerne selv kan levere et entydigt svar. Skønsprægede valg som segmentering og rollemodel bør ses af en anden end den, der byggede dem.
→ Egen kontrol eller andres øjne
Anledninger
Skal et nyt system kontrolleres, før det tages i brug?
Det er det letteste tidspunkt. Konti, åbninger, logning, backup og opdatering kan rettes, før brugerne er kommet til.
→ Nyt system før idriftsættelse
Hvad skal gennemgås ved en flytning til skyen?
Konti, grupper og rettigheder før flytningen, så der ikke flyttes rod med. Lejerens indstillinger efter, når de findes.
→ Før og efter en cloudmigrering
Hvad skal ses på ved et opkøb?
Det tilkøbte miljø gennemgås, før kataloger, lejere og net forbindes. Forbindelsen gør dets svagheder til jeres.
Hvorfor gennemgå ved et leverandørskifte?
Udtræk fra dagen før overtagelsen viser, hvordan miljøet så ud, og afgør senere tvivl om, hvem der har ændret hvad.
Hvad giver en gennemgang efter en hændelse?
Den finder samme slags svaghed i resten af miljøet og de huller, som hastværket under hændelsen kan have efterladt. Undersøgelsen af selve forløbet er en anden opgave.
Kan det, driftsleverandøren driver, gennemgås?
Ja, gennem leverandøren. Afgræns til jeres eget miljø, varsl skriftligt, og bestil udtrækkene via kontraktens kontaktpunkt med en klar liste.
→ Læseadgang til det, driftsleverandøren driver
Målestokke
Hvad holdes opsætningen op imod?
En målestok valgt pr. platform før start: en benchmark, producentens baseline eller en myndigheds vejledning. Valget skrives ind i planen.
Hvad er forskellen på CIS Level 1 og Level 2?
Level 1 er grundniveauet og kan som regel indføres uden store gener. Level 2 går længere, er beregnet til miljøer med høje krav og kan skabe problemer i driften, hvis det indføres uden omtanke.
→ CIS Benchmarks Level 1 og Level 2
Kan Microsofts egne baselines bruges som målestok?
Ja, for Windows og andre Microsoft-platforme. Producenten beskriver dem som anbefalede indstillinger med forklaring af betydningen for sikkerheden.
→ Microsofts sikkerhedsbaselines
Gælder statens tekniske minimumskrav for private virksomheder?
Nej, de binder kun statslige myndigheder. Men de konkrete parametre gør dem til en brugbar frivillig tjekliste.
→ De statslige tekniske minimumskrav som tjekliste
Kan SAMSIK’s vejledninger bruges som kontrolpunkter?
Ja. Hvert område i “Cyberforsvar der virker” og hver anbefaling mod ransomware kan oversættes til et udtræk eller en indstilling. Vejledningerne anbefaler; de er ikke lovkrav.
→ SAMSIK’s vejledninger læst som kontrolpunkter
Hvad er SCuBA?
Et amerikansk projekt, hvor CISA har skrevet anbefalede indstillinger for de to kontorplatforme og lavet værktøjer, der måler dem. De er stillet til rådighed for private organisationer.
Siger Secure Score, hvor sikre vi er?
Nej. Det er en pointsum for gennemførte anbefalinger, og Microsoft understreger selv, at den ingen garanti giver mod et brud.
Er en automatisk benchmarkrapport nok?
Den er et godt grundlag, men skelner ikke mellem bevidste valg og fejl, og den ser kun de indstillinger, værktøjet kender.
→ Automatisk måling mod benchmark
Hvad kræver NIS 2-loven af driften?
Loven lister de områder, foranstaltningerne som minimum skal dække, men ikke hvordan de dokumenteres. Driften må selv koble hvert område til udtræk.
Hvad står der om konfigurationsstyring i forordning 2024/2690?
Punkt 6.3 i bilaget: sikre konfigurationer fastlægges, håndhæves på nye og eksisterende systemer og gennemgås med planlagte mellemrum. Forordningen binder bestemte digitale tjenesteudbydere og er målestok for andre.
→ Konfigurationsstyring efter punkt 6.3
Hvilke faste tal har DORA for driften?
Den tekniske standard kræver bl.a. ugentlig automatiseret scanning og et eftersyn af firewallreglerne to gange om året, begge dele for systemer bag kritiske eller vigtige funktioner. Det gælder kun finansielle enheder under DORA.
Bevis og metode
Hvad er et godt bevis for et konfigurationsfund?
Et resultat, der kan gentages: hvad der blev kørt, hvornår, mod hvilket system og af hvem.
→ Bevis for et konfigurationsfund
Kan vi sende et regneark i stedet for udtræk?
Fordi den, der læser, skal kunne regne efter. Rådata trukket med script eller API kan gentages; et bearbejdet ark kan ikke.
Er politikken ikke beviset for indstillingen?
Nej. En politik kan blive overskrevet, ramme forkert eller være sat ud af kraft lokalt. Det er værdien på maskinen, der tæller.
→ Den effektive indstilling og den tiltænkte
Hvordan vises det, at en kontrol har virket over tid?
Med systemernes historik: hvornår patches kom på, hvilke backupjob der lykkedes, og hvornår adgange sidst blev gennemgået og rettet.
→ Er kontrollen der, eller har den virket?
Hvad bruges samtalerne med driften til?
Til de svar, opsætningen ikke selv giver: hvorfor en regel findes, hvem der bruger en konto, og hvorfor en server er undtaget.
→ Samtalerne med driftsfolkene
Hvordan vurderes alvoren af en fejlopsætning uden score?
Med tre spørgsmål: hvem kan nå den, hvad giver den adgang til, og hvor slemt ville misbrug være?
→ Alvorlighed af konfigurationsfund
Hvad er en undtagelsesliste?
Én liste over bevidste afvigelser med begrundelse, afbødende tiltag, godkender og en dato for næste vurdering.
Hvad kan ændringsloggen bevise?
Hvem der ændrede regler, grupper og indstillinger, og holdt op mod ændringsstyringen, om opsætningen faktisk er styret.
Hvordan laves en systemliste, når den mangler?
Fra de kilder, der allerede kender nettet: DHCP, DNS, kataloget, hypervisoren og cloudmiljøernes API. Forskellene viser det, ingen ejer.
→ Systemlisten bygget fra systemerne selv
Hvad skal driften lave undervejs i forløbet?
Give adgang, trække udtræk, svare på spørgsmål og tjekke de foreløbige fund, i en fast rækkefølge, der kan planlægges.
→ Forløbet fra første møde til rapport
Hvad skal man spørge den, der skal gennemgå?
Om personen kan sætte firewallregler, politikker og logs i forhold til hinanden og forklare, hvad der betyder noget. Erfaring fra drift vejer tungere end værktøjer.
→ Valg af auditor til teknikken
Identitet og adgang
Hvad kan læses i Active Directory uden at ændre noget?
Det meste: brugere, grupper, gruppepolitikker og oplysninger om domænecontrollerne kan hentes med almindelige læserettigheder.
→ Active Directory med læseadgang
Hvordan findes alle administratorer?
Med én opgørelse trukket fra katalog, lejer, netværksudstyr og de fagsystemer, der har egne administratorer. Hukommelsen glemmer nogen.
→ Administratorrettigheder på tværs
Hvordan påvises særskilte administratorkonti?
Loginlog og opsætning skal vise, at kontoen alene bruges til drift, uden postkasse og webadgang, og fra en dedikeret maskine.
→ Særskilte administratorkonti og administrationsmaskiner
Hvad kontrolleres ved lokale administratorer?
Hvem der står i den lokale administratorgruppe på hver maskine, og om den indbyggede konto har sit eget password overalt.
→ Lokale administratorer på klienter og servere
Hvad kontrolleres ved servicekonti?
Ejer, rettigheder, passwordets alder, og om kontoen er undtaget fra reglerne for andre konti.
Hvordan findes konti, der burde være lukket?
Ved at afstemme kataloget mod personalelisten og mod seneste logon. Resten skal forklares eller lukkes.
→ Inaktive og forældreløse konti
Hvordan bevises en adgangsgennemgang?
Med det, den efterlod: den gennemgåede liste, navnet på den, der besluttede, og de ændringer, systemerne viser bagefter.
→ Den periodiske adgangsgennemgang
Har alle MFA, når alle har registreret en metode?
Ikke nødvendigvis. Registrering er ikke håndhævelse. Dækningen vises ved at læse de regler, der kræver MFA, og finde dem, der falder udenfor.
Er alle MFA-metoder lige gode?
Nej. En kode på SMS og en fysisk nøgle tæller begge som MFA, men holder meget forskelligt mod phishing.
Hvor opstår hullerne i betinget adgang?
Mellem reglerne: brugere, enheder, programmer eller loginmetoder, som ingen regel rammer. Regelsættet skal læses som helhed.
→ Politikker for betinget adgang
Hvad kontrolleres ved nødkonti?
Om de findes og er sat rigtigt op, om de virker, og om nogen opdager det, når de bliver brugt.
→ Nødkonti
Hvorfor se på app-registreringer i Entra ID?
Fordi programmer kan have fået ret til at læse post, kalender eller filer via et samtykke, som ingen har set på siden.
→ App-registreringer og samtykker i Entra ID
Hvordan holdes styr på gæster i kataloget?
Ved at liste gæsterne, se, hvem der har ret til at invitere, og læse, hvilke data en gæst når.
→ Gæstebrugere og leverandørkonti
Kan svage passwords findes uden at se dem?
Ja. Hashværdierne holdes op mod hashværdierne af kendte lækkede eller svage passwords, uden at nogen ser selve koden.
Skal passwords skiftes hver tredje måned?
Nyere vejledninger peger væk fra faste skift og mod længde, negativlister og spærring. Læs de faktiske indstillinger mod en dateret kilde.
→ Adgangskodepolitikken holdt op mod nyere vejledning
Kan gamle protokoller bare slås fra?
Først når brugen er målt. Ellers risikerer I, at ældre udstyr og programmer pludselig ikke kan logge på.
Hvad med systemer, der ikke bruger fælles login?
Deres brugerlister lukker ikke, når kontoen i kataloget lukkes. De skal findes og afstemmes mod kataloget.
→ Forretningssystemer uden for fælles login
Klienter og servere
Hvad kontrolleres på klienterne?
Blandt andet makroer, programkontrol, browseropsætning og om brugeren er administrator på maskinen.
Hvordan påvises diskkryptering?
Med krypteringsstatus hentet fra hver bærbar og holdt op mod inventarlisten, sammen med oplysning om, hvor nøglen til gendannelse er gemt.
Hvad ser en gennemgang på i endpoint-beskyttelsen?
Om den er på alle maskiner, hvad der er undtaget, og hvem der kan slå den fra. Valget af værktøj er ikke emnet.
Hvilke telefoner hører med i gennemgangen?
De enheder, der når mail og andre interne data. Statens minimumskrav giver en prøve, der også kan bruges i en privat virksomhed.
Hvad med Mac og Linux blandt klienterne?
De rammes sjældent af Windows-politikkerne og mangler ofte en målestok. Find dem først, og vælg så, hvad de holdes op imod.
→ Mac og Linux blandt klienterne
Hvordan gennemgås Windows-servere?
Mod en baseline, med afvigelserne opgjort pr. serverrolle, så det ses, hvad der går igen, og hvad der kun findes på én server.
→ Windows-servere holdt op mod en baseline
Hvorfor tages domænecontrollerne for sig?
Fordi de bærer hele adgangen. Roller og programmer på serverne, hvem der må logge ind, adgangen til internettet og opdateringsniveauet.
→ Domænecontrollere som særligt kontrolpunkt
Hvad kontrolleres på virtualiseringsplatformen?
Hvor administrationsfladen kan nås fra, hvem der har konti, hvordan snapshots styres, og om værterne er opdateret.
Hvad med systemer uden support?
De skal stå på en liste med en begrundelse for, at de kører videre, og med de tiltag, der afskærmer dem.
Hvad bliver tilbage, når et system lukkes?
Typisk servicekonti, åbninger i firewallen, navne i DNS og tilladelser til at sende post. De skal findes og fjernes.
Netværk og fjernadgang
Hvordan gennemgås et firewallregelsæt?
Hver regel får tre spørgsmål om behov, bredde og placering i rækkefølgen.
Hvordan kontrolleres segmentering?
Ved at lægge tegning, regler mellem zonerne og routing sammen. En adskillelse, reglerne ikke håndhæver, findes kun på papiret.
→ Segmentering på papiret og i regelsættet
Hvordan findes det, der står åbent mod internettet?
Ved at sammenholde firewallens åbninger, de offentlige navne og en scanning af egne adresser og give hver åben tjeneste en ejer.
→ Det, der står åbent mod internettet
Hvad gennemgås i VPN-opsætningen?
Hvem der kan logge på, med hvilke metoder og med hvilken registrering, og hvilke net forbindelsen giver adgang til bagefter.
Hvordan findes leverandørernes adgange?
Alle adgangsveje kortlægges, også værktøjer installeret for år tilbage, og hver vej tjekkes for godkendelse, tidsgrænse og log.
→ Fjernsupportværktøjer og leverandørers adgang
Hvad kontrolleres i DNS?
Zonens indhold, hvor glemte poster findes, og hvem der kan ændre zonen, og om ændringerne kan ses bagefter.
Hvordan gennemgås certifikater og TLS?
Med en fortegnelse over certifikaterne og en måling af protokoller og parametre på hver server, holdt op mod SAMSIK’s vejledning.
Hvorfor se på den udgående trafik?
En bred regel, der lader serverne tale med hele internettet, er et fund, selv om ingen indgående regel er åben.
E-mail og domæner
Skal domæner uden mail have SPF og DMARC?
Ja. Poster, der siger, at domænet ikke sender, forhindrer andre i at sende i dets navn.
Hvor ligger fundene typisk i mailfilteret?
Ofte på listerne over tilladte afsendere og domæner, ved siden af indstillingerne for vedhæftede filer, links og efterligning.
Hvorfor skal de systemer, der sender mail, findes?
En stram DMARC-politik afviser deres mail, hvis de ikke er godkendt først. Ellers holder fakturaer og advarsler op med at nå frem.
Hvad kontrolleres ved domænerne?
Registrator, konto, kontaktoplysninger, låse og udløb, og hvem der kan ændre eller flytte dem.
Er sikkerpånettet.dk nok som kontrol?
Det er en hurtig egenkontrol af det, der kan måles udefra. Det meste, der afgør sikkerheden, ligger bag og ses ikke af testen.
→ sikkerpånettet.dk som hurtig egenkontrol
Cloud-lejere
Hvad ses der på i Microsoft 365?
Lejeren tages område for område, fra brugere og roller over post og deling til auditloggen, typisk med SCuBA som målestok.
Hvilke indstillinger i postsystemet giver oftest fund?
Regler, der sender post videre til eksterne adresser, adgang til kollegers postkasser, SMTP-indstillingerne og en postkasseaudit med huller.
Hvordan kontrolleres ekstern deling?
Ved at læse lejerens delingsindstillinger og derefter opgøre de filer og teams, der allerede er åbne for eksterne.
→ Ekstern deling af filer og teams
Dækker udbyderens erklæring vores lejer?
Nej. Erklæringen handler om udbyderens platform. Konti, roller, deling og data i lejeren er jeres egen side.
Hvordan findes lager i skyen, der kan læses af alle?
Ved at liste hver lagerbeholder i hver konto og region og kontrollere, at offentlig adgang er blokeret.
→ Lager i skyen, der kan læses udefra
Hvad kontrolleres ved nøgler i skyen?
Alder, seneste brug, hvor de opbevares, og hvem der kan hente dem.
→ Nøgler og hemmeligheder i skyen
Backup og gendannelse
Hvordan findes huller i backuppen?
Ved at lægge systemlisten ved siden af listen over backupjob. Det, der kun står på den første, er et hul.
Hvad skal en gendannelsestest indeholde?
Et mål fastsat på forhånd, en log over trin og tid under testen og en konklusion, der holder resultatet op mod målet.
Hvornår er backuppen beskyttet?
Når en kopi er utilgængelig fra produktionsnettet, login til backupsystemet kræver MFA, og kontiene dér ikke bruges til andet.
Er papirkurven i skyen en backup?
Platformens funktioner til at hente slettede elementer har faste opbevaringstider og er ikke det samme som en selvstændig kopi.
→ Backup af kontorplatform og forretningssystemer i skyen
Kan vi gendanne, hvis alt er væk?
Kun hvis rækkefølgen er kendt, og nøgler, adgangskoder og installationsfiler kan skaffes uden de systemer, der er nede.
Logning og overvågning
Hvordan ses det, om de rigtige kilder logger?
Med en oversigt pr. system over, om der logges, og hvor posterne havner.
Skal logs gemmes i 13 måneder?
Det anbefaler SAMSIK, medmindre anden lovgivning siger andet. Det er ikke et almindeligt lovkrav. Mål den faktiske opbevaring pr. kilde.
Er auditloggen i lejeren slået til?
Det skal kontrolleres for sig, sammen med hvor længe posterne gemmes. Svaret kan være kortere end forventet.
Hvorfor betyder tiden noget i loggen?
Går urene forskelligt, passer tidsstemplerne fra firewall, server og lejer ikke sammen, og forløbet kan ikke stykkes sammen.
Kan administratoren slette sporene?
Kontrollen ser på, hvem der har ret til at rette i eller stoppe logningen, og om en kopi ligger uden for administratorens rækkevidde.
→ Beskyttelse af loggen mod administratoren selv
Hvad viser en gennemgang af alarmer?
Hvilke regler der er sat op, hvor tærsklerne ligger, og om de udløste alarmer blev fulgt op.
→ Alarmer
Ser overvågningsleverandøren alt?
Kun det, den får data fra. Sammenlign leverandørens liste over tilsluttede kilder med jeres egen.
→ Overvågningsleverandørens dækning
Sårbarheder
Hvor måles opdateringsniveauet?
På maskinerne. Værktøjets rapport mangler alt det, værktøjet ikke ved findes.
Hvad giver en scanning med login?
Scanneren logger ind og læser versioner og indstillinger på maskinen og ser derfor langt mere end en scanning udefra.
→ Sårbarhedsscanning med login
Hvordan sikres det, at scanneren når alt?
Sammenlign scannerens målliste med systemlisten og netplanen; forskellen er det, ingen scanner.
Hvordan skrives en rettefrist, der kan måles?
I dage og regnet fra en bestemt dato. Ord som “rimelig periode” bliver først målbare, når politikken angiver et antal dage.
→ Rettefrister, der kan efterprøves
Hvad skal rettes først?
Brug CVSS, EPSS og CISA’s KEV-katalog sammen, og hold dem op mod, hvor systemet står i jeres miljø.
Hvorfor kantudstyr først?
VPN-gateways, firewalls og andre tjenester, der kan nås fra internettet, kan rammes uden forudgående adgang til nettet.
Hvad skal der ske med varsler om sårbarheder?
En navngiven person skal modtage og vurdere dem, og for de relevante skal der være et spor frem til rettelsen.
Fund og opfølgning
Hvilke fejlopsætninger går oftest igen?
NSA og CISA har offentliggjort en liste over de ti, deres hold oftest finder. Den kan bruges som egenkontrol.
Hvad skal rapporten indeholde?
Beviset, en liste over berørte maskiner eller konti og en rettelse pr. fund, samt en beskrivelse af metode og målestok.
→ Rapporten fra en teknisk gennemgang
Hvordan bliver fundlisten til en plan?
Fundene sorteres efter, hvad rettelsen kræver: indstillinger, der rettes i et servicevindue, og projekter, der skal have ejer og budget.
Hvordan indføres stramninger uden nedbrud?
Trinvis: mål først, hvad der stadig bruger det gamle, prøv ændringen af, udrul den i etaper, og hav en fortrydelsesplan klar.
Hvem retter fund hos driftsleverandøren?
Det afgør den konkrete aftale. Spørgsmålet er, om rettelsen ligger inden for det aftalte driftsniveau eller er et nyt ønske.
→ Fund i det, leverandøren driver
Hvordan forklares fundene for ledelsen?
Med en kort tekst, der oversætter fundene til forretningens risiko og samler de beslutninger, ledelsen skal træffe.
→ IT-chefens resumé til ledelsen
Hvornår er et fund bevist rettet?
Når kontrollen, der afslørede fejlen, køres igen på de samme objekter og nu giver det forventede resultat.
Hvordan holdes opsætningen på plads bagefter?
Ved at automatisere de vigtigste kontroller fra gennemgangen, så afvigelser bliver meldt, når de opstår.
→ Fra engangsgennemgang til løbende kontrol
Hvordan besvares forsikringens tekniske spørgsmål?
Med et udtræk ud for hvert svar, så svaret kan belægges, hvis det bliver efterprøvet.
→ Cyberforsikringens tekniske spørgsmål
Hjælp udefra
Kan Nielco IT gennemgå vores opsætning?
Ja. Gennemgangen er uvildig og uafhængig, uden forhandleraftaler, og læser opsætningen mod en aftalt målestok. Der udstedes ingen certifikater eller erklæringer.
→ Få hjælp
Senest gennemgået: november 2026.
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
Skal jeres opsætning gennemgås?
Skriv kort, hvilke dele af miljøet det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Gennemgangen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
