Faste forbindelser opgøres ved at liste hver tunnel og hver dedikeret linje til en ekstern part og derefter afstemme tre ting: hvad aftalen siger, hvad regelsættet tillader, og hvad routingen gør muligt. Fundet er typisk, at forbindelsen giver mere adgang end aftalt, i den ene eller begge retninger.
Den slags forbindelser bliver sat op til et formål, fx udveksling af ordrer med en kunde eller adgang til et fælles system i koncernen. Formålet ændrer sig. Forbindelsen gør ikke.
Målestokken
Efter bilaget til forordning 2024/2690 skal enhedens egne net og systemer holdes adskilt fra tredjeparters (punkt 6.8.1). Kommunikation mellem særskilte systemer må kun ske gennem pålidelige kanaler, der er isoleret ved logisk, kryptografisk eller fysisk adskillelse, med sikker identifikation af endepunkterne og beskyttelse af data i kanalen (punkt 6.7.2, litra i).
Den kreds, forordningen binder, er afgrænset til bestemte digitale tjenester. Vi bruger punkterne som målestok for andre virksomheder; det er en tolkning.
Standarden under DORA (forordning 2024/1774) går mere i detaljer og retter sig mod finansielle enheder:
- dokumentation for alle netværksforbindelser og datastrømme (artikel 13, litra b)
- sikring af trafikken mellem interne net og internettet og andre eksterne forbindelser (litra g)
- kryptering af forbindelser, der passerer tredjeparters net (litra e)
- for aftaler om netværkstjenester identificeres sikkerhedsforanstaltninger, serviceniveauer og styringskrav (litra m)
Opgørelsen
Forbindelserne findes i opsætningen af firewalls og routere. Driften trækker:
- alle tunneller mellem lokationer, med modpart og krypteringsparametre
- dedikerede linjer og deres termineringspunkt
- de net, der er defineret i hver ende af hver tunnel
- regelsættet for trafik til og fra hver modpart
Tunneller mellem egne lokationer kan stå i samme liste, men markeres som interne. Det er forbindelserne til andre juridiske enheder, der er kontrolpunktet her, også søsterselskaber i samme koncern. Et søsterselskab har sin egen drift og sine egne hændelser.
Mere adgang end aftalt
Afstemningen er sitets metode. For hver forbindelse stilles tre spørgsmål.
Hvad siger aftalen? Hvilke systemer skal modparten nå, og hvilke skal I nå hos dem? Står det ikke i aftalen, så i en sag eller en mail. Findes det ingen steder, er det første fund.
Hvad tillader regelsættet? Er reglen afgrænset til de servere og porte, aftalen nævner, eller er hele modpartens net tilladt til hele jeres servernet?
Hvad gør routingen muligt? Er de net, der er defineret i tunnellen, snævre eller brede? Et bredt net i tunnellens definition, kombineret med en bred regel, åbner for meget.
Den tænkte afvigelse: En tunnel til en logistikpartner blev sat op med adgang til én server til ordreudveksling. Senere blev tunnellens net udvidet for at give partneren adgang til en ny portal. Reglen blev aldrig strammet igen, så partneren kan nå hele servernettet. Hos partneren kan en kompromitteret maskine dermed nå jeres servere.
Retningen
Forbindelser har to retninger. Gennemgangen læser begge. Mange regelsæt er stramme ind fra modparten, men åbne ud mod den, fordi det var jeres egne folk, der skulle bruge forbindelsen. Det er stadig en vej, en angriber hos jer kan bruge til at nå modparten, og omvendt.
Kryptering og endepunkter
For hver tunnel noteres krypteringsparametrene og godkendelsen af endepunkterne. Bruger tunnellen en delt nøgle, hvornår blev den sidst skiftet, og hvem kender den? Er en dedikeret linje ukrypteret, fordi den løber gennem en udbyders net, er det et punkt at tage stilling til. DORA-standarden kræver kryptering netop dér.
Kontrollen af partneren som aftalepart, herunder om de selv overholder deres del, hører til et andet emne. Her ser gennemgangen kun på jeres side af forbindelsen.
Det kan driften selv
Listen over tunneller ligger i firewallen og kan trækkes på få minutter. Det, der tager tid, er at finde aftalerne. Begynd med de forbindelser, hvor modparten har flest brugere eller mindst kendt sikkerhed, og spørg den interne ejer, hvad forbindelsen bruges til i dag.
Stram derefter definitionen af nettene i tunnellen, så den passer til det, der bruges. Gør det i et aftalt vindue med modparten, og hav den gamle opsætning gemt, hvis noget holder op med at virke.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over forbindelserne, regelsættet og de aftaler, der ligger bag. Det tunge arbejde er ofte at finde aftalen. Teknisk er opgørelsen hurtig.
En fast forbindelse gør jeres net til en del af modpartens og omvendt. Uden afstemningen ved I ikke, hvor langt en hændelse hos en partner kan nå.
Det skal I lade være med
- At definere hele net i tunnellen, når der skal bruges én server · snævre definitioner er lettere at holde styr på.
- At glemme retningen ud · den er også en vej.
- At lade forbindelser til tidligere partnere stå · luk dem, når samarbejdet slutter.
Det skal gennemgangen kunne vise
- ☐ En liste over alle faste forbindelser til eksterne parter med modpart og formål.
- ☐ For hver forbindelse den aftalte adgang og den faktiske, læst i regelsæt og tunneldefinition.
- ☐ Kryptering og godkendelse af endepunkterne.
- ☐ En dato for seneste afstemning.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2 og 6.8.1, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 13, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over tunneller fra firewallen, og skriv for hver modpart op, hvilke servere aftalen giver adgang til.
Læs også: Integrationer mellem systemer · Opkøb og sammenlægning
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
