Efter en teknisk gennemgang står IT-chefen med en fundliste, ledelsen ikke kan læse, og beslutninger, kun ledelsen kan træffe. Resuméet er broen. Det samler fundene til få budskaber, siger, hvad de betyder for forretningen, og beder om de beslutninger, der skal træffes, uden at skjule det alvorlige.
Resuméet er IT-chefens eget. Det er ikke auditors sammenfatning, men driftens oversættelse af egne fund, med de rettelser, der allerede er sat i gang, og de valg, der ligger hos ledelsen.
Hvad målestokkene giver
Ingen regel beskriver et resumé til ledelsen. Formen er praksis. Tre kilder giver dog tanken bag.
NIST SP 800-115 fra 2008 regner med, at samme rapport skal tale til forskellige læsere og derfor kan få flere udgaver. NIST nævner også, at ledelsens godkendelse af afhjælpning kan understøttes ved at forklare, hvorfor den er nødvendig, og hvad den giver.
Den britiske NCSC lægger et valg om at lade en opdatering vente hos ledelsen og kalder det en risikobeslutning. Det er et klart eksempel på, at visse valg skal op, uanset hvor tekniske de lyder.
SAMSIK’s Cyberforsvar der virker indleder med spørgsmål til ledelsen, fx om systemer og telefoner er opdaterede. Spørgsmålene viser, hvilket niveau ledelsen forventes at kunne svare på, og er et godt sted at hente sproget.
Tre til fem budskaber
Et resumé, der kan læses på få minutter, har tre til fem budskaber. Hvert budskab samler en gruppe af fund under en overskrift, der siger, hvad det betyder for forretningen.
Et tænkt eksempel på budskaber kan lyde: “En angriber, der overtager én brugerkonto, kan nå alle servere.” “Vi kan ikke se, hvad der skete, hvis noget går galt i lejeren, fordi loggen gemmes i 30 dage.” “Tre systemer ud mod internettet har ikke længere support.” Hvert budskab bygger på flere tekniske fund, men ledelsen behøver ikke at kende dem enkeltvis.
Det alvorlige skal stå først og klart. Det er fristende at pakke det ind blandt det, der går godt, men så forsvinder det. Det, der går godt, kan stå i en sætning til sidst.
Fire felter pr. budskab
Hvert budskab får fire korte felter.
Hvad betyder det? Konsekvensen i forretningens sprog: hvad kan ske, og hvad rammer det.
Hvad gør vi allerede? De rettelser, der er sat i gang eller gennemført. Det viser, at driften handler, og adskiller det, der kræver ledelsen, fra det, der ikke gør.
Hvad kræver det af jer? Den beslutning, der skal træffes: budget, prioritering, accept af en risiko eller en ændring i, hvordan forretningen arbejder.
Hvornår? Den dato, beslutningen skal træffes, og hvornår ledelsen hører om status næste gang.
Accept af risiko
Nogle fund bliver ikke rettet, fordi rettelsen kræver for meget af driften, eller fordi den vil stoppe noget, forretningen har brug for. Den beslutning hører hos ledelsen og skal stå i resuméet som et særskilt punkt. NCSC skriver det om opdateringer. Samme begrundelse passer på andre fund, der bevidst lades stå.
Skriv for hvert accepteret fund, hvad risikoen er, hvorfor den accepteres, hvilken foranstaltning der dækker den i mellemtiden, og hvornår beslutningen tages op igen.
Sproget
Det tekniske ord er sjældent det rigtige i et resumé. “Manglende segmentering” siger ledelsen lidt. “Alle pc’er kan nå lønsystemets server direkte” siger mere. Brug navne på systemer og afdelinger, ledelsen kender, og beskriv konsekvensen som noget, der kan ske i forretningen: et stop i produktionen, en kundeportal, der er nede, eller oplysninger, der kommer ud. Undgå at gøre det værre, end det er. Et roligt og præcist sprog giver mere tillid end store ord, og det gør det lettere at blive hørt næste gang.
Når ledelsen spørger igen
Et godt resumé ender med, hvornår ledelsen hører om status næste gang. Den næste status kan bruge samme budskaber og vise, hvad der er sket med hvert. Det gør det let at se fremskridt, og det gør det tydeligt, hvis en beslutning stadig mangler.
Det, resuméet ikke skal
Resuméet skal ikke gentage rapportens tekniske detaljer, og det skal ikke indeholde scorer, ledelsen ikke kan bruge. Et tal for antallet af fund siger lidt, hvis ledelsen ikke ved, hvad fundene betyder. Det skal heller ikke love, at alt er i orden efter rettelserne. En gennemgang ser på det, den ser på, og resuméet skal sige det.
Hvordan ledelsens rolle i en audit er beskrevet mere generelt, står på sitet om sikkerhedsaudit og NIS2-audit.
Hvad det kræver, og hvad det koster at lade være
Resuméet kræver, at IT-chefen kender fundene godt nok til at samle dem, og en til to sider tekst. Det tager tid at skrive kort, men det er den tid, der får ledelsen til at handle.
Uden resuméet får ledelsen enten hele rapporten, som den ikke læser, eller en mundtlig forsikring om, at det er under kontrol. I begge tilfælde træffes de beslutninger, der kræver ledelsen, ikke, og de alvorlige fund venter på et budget, ingen har bedt om.
Det skal I lade være med
- At gemme det alvorlige midt i resuméet · sæt det først.
- At sende fundlisten i stedet for et resumé · ledelsen skal have budskaber og beslutninger.
- At træffe accept af risiko i driften · den hører hos ledelsen.
Det skal gennemgangen kunne vise
- ☐ Et resumé med tre til fem budskaber i forretningens sprog.
- ☐ For hvert budskab: konsekvens, igangsatte rettelser, krævet beslutning og dato.
- ☐ En liste over accepterede risici med begrundelse og dato for ny vurdering.
- ☐ Ledelsens beslutninger med dato.
Kilder
- NIST SP 800-115, september 2008, afsnit 8.2 og 8.3, læst 13. november 2026.
- NCSC, Vulnerability management, læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker, 4. udgave juli 2023, trin 1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de tre vigtigste fund om til én sætning hver, der siger, hvad de betyder for forretningen.
Læs også: Rapporten fra en teknisk gennemgang · Undtagelseslisten
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
