Skal jeres miljø gennemgås teknisk, er det driften, der giver adgang, trækker udtræk, svarer på spørgsmål og tjekker de foreløbige fund. Arbejdet kommer i en fast rækkefølge, og kender I den på forhånd, kan det lægges ind ved siden af den daglige drift, så ingen bliver overrasket af en bunke spørgsmål i en travl uge.
Forløbet nedenfor er en tænkt plan. Den rigtige længde afhænger af miljøets størrelse og af, hvor hurtigt udtrækkene kan leveres.
NIST’s tre faser
NIST deler en teknisk vurdering i tre faser: planlægning, udførelse og efterbehandling (SP 800-115 fra 2008, afsnit 2.1). Planlægningen samler oplysninger og fastlægger omfang og regler. Udførelsen er selve arbejdet med at finde svagheder. Efterbehandlingen er analyse, rapport og anbefalinger.
For driften er det nyttigt at dele de tre faser yderligere op, fordi driftens arbejde ligger forskelligt i dem.
En tænkt plan
- (1) · Hvad der sker: Første møde og plan · Driftens del: Deltag i afgrænsningen; skaf systemliste og netværkstegning; udpeg kontaktperson
- (1 til 2) · Hvad der sker: Adgange · Driftens del: Opret læsekonti eller roller med udløb; aftal hvordan udtræk overføres
- (2 til 3) · Hvad der sker: Udtræk · Driftens del: Træk de aftalte udtræk med tidspunkt og metode; meld det, der ikke kan trækkes
- (3 til 4) · Hvad der sker: Læsning og samtaler · Driftens del: Svar på spørgsmål om regler, konti og undtagelser; find supplerende udtræk
- (4) · Hvad der sker: Kritiske fund · Driftens del: Modtag og håndter kritiske fund med det samme, hvis der er nogen
- (5) · Hvad der sker: Foreløbige fund · Driftens del: Faktatjek: læs fundene og ret faktuelle fejl
- (6) · Hvad der sker: Rapport · Driftens del: Modtag rapporten; planlæg rettelser; luk adgangene
Planen og første møde
NIST anbefaler, at hver vurdering har en plan (afsnit 6.5). Den bør angive omfang, hvem der er bemyndiget, logistik, håndtering af data og hændelser, de tilladte systemer og en udelukkelsesliste, og typen og niveauet af tilladte og forbudte aktiviteter, så der ikke er plads til fortolkning. Driftes en del af miljøet af en tredjepart, skal ejeren normalt også give skriftligt samtykke.
For driften er første møde stedet at sige, hvilke systemer der er skrøbelige, hvilke perioder der er travle, og hvem der kender hvad. Det er også her, kontaktpersonen for kritiske fund bliver udpeget.
Adgange og udtræk
Adgangene skal være læseadgange, og de skal have en udløbsdato. Det er praksis at oprette dem, så de lukker af sig selv, eller at sætte en påmindelse om at lukke dem, når rapporten er modtaget.
Udtrækkene er driftens største opgave. Det letter arbejdet at få en liste over de ønskede udtræk på forhånd, og at trække dem med script, så de kan gentages. Kan et udtræk ikke trækkes, er det bedre at sige det tidligt end at levere noget halvt. Lad også den, der trækker udtrækket, kigge det igennem, før det sendes. Står der konti, regler eller maskiner, ingen kender, er det bedre at opdage det selv og have et svar klar end at få spørgsmålet i en samtale.
Samtaler
Mens udtrækkene læses, kommer der spørgsmål. Hvorfor findes denne regel? Hvem bruger denne konto? Det er en god idé at samle dem i et fast møde eller to frem for enkelte forespørgsler hen over ugen.
Kritiske fund
I NIST’s afsnit 7.3 står det, at et kritisk fund går direkte til planens kontaktperson uden at vente. Driften bør være klar til at handle på dem i løbet af gennemgangen. Det kan være en administrationsflade, der kan nås udefra, eller en konto med brede rettigheder og et kendt svagt kodeord.
Faktatjekket
Før rapporten skrives færdig, er det almindelig praksis, at driften får de foreløbige fund til gennemsyn. Faktatjekket har ingen kilde i NIST, men det er en praktisk nødvendighed. Formålet er at rette faktuelle fejl: en maskine, der er nedlagt, en regel, der allerede er fjernet, en konto, der hører til en anden. Formålet er ikke at forhandle om alvorlighed.
Svar på faktatjekket skriftligt og med udtræk, hvor det er muligt. “Kontoen er lukket” er stærkere med et udtræk, der viser det.
Rapporten
NIST anbefaler, at rapporten indeholder metode, resultater, analyse og en handlingsplan med anbefalinger pr. fund (afsnit 8). Når rapporten er modtaget, lukkes adgangene, og der aftales, hvad der sker med udtrækkene hos den, der gennemgik. Hvordan forløbet ser ud i en samlet sikkerhedsaudit med ledelsens del, er et bredere emne.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kontaktperson i driften, tid til udtræk og samtaler og en hurtig reaktion på kritiske fund. Mest tid går typisk med udtrækkene, og den tid kan planlægges.
Uden en plan for driftens del bliver gennemgangen trukket ud, fordi udtræk kommer sent, eller fordi de rigtige personer ikke er til stede. Og uden faktatjek kommer der fejl i rapporten, som er svære at rette bagefter.
Det skal I lade være med
- At give administratoradgang, hvor læseadgang er nok · og glem ikke udløbet.
- At springe faktatjekket over · fejl i rapporten er sværere at rette end fejl i et udkast.
- At bruge faktatjekket til at forhandle om alvorlighed · det er til faktuelle fejl.
Det skal gennemgangen kunne vise
- ☐ En plan med omfang, udelukkelsesliste og kontaktperson for kritiske fund.
- ☐ Oprettede adgange med udløb og bevis for, at de er lukket.
- ☐ Driftens svar på faktatjekket med udtræk.
- ☐ En rapport med metode, resultater, analyse og handlingsplan.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 2.1, 6.5, 7.3 og 8, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Udpeg en kontaktperson i driften, og find systemlisten og netværkstegningen frem, før det første møde aftales.
Læs også: Adgange til den, der gennemgår · Samtalerne med driftsfolkene
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
