Det udstyr og den software, der kan nås fra internettet, skal opgøres for sig og kontrolleres først for support og opdateringsniveau. VPN-gateways, firewalls, webservere og andre internetvendte tjenester kan rammes af alle, og en sårbarhed dér kræver ingen forudgående adgang til jeres net.
Kontrollen har to dele. Først en opgørelse af, hvad der faktisk står yderst, herunder de systemer bagved, en sårbarhed kan nås igennem. Dernæst en kontrol af, om hver del er under support og opdateret.
Den statslige afgrænsning
Vejledningen til de statslige tekniske minimumskrav giver den mest brugbare afgrænsning. Den binder staten, mens private virksomheder kan låne den.
Software på internetvendte tjenester skal have aktiv support, så producenten lukker kendte huller med opdateringer. Open source tæller som understøttet, når der løbende udgives sikkerhedsopdateringer. Kravet gælder den software, tjenesterne afhænger af, og som kan rammes over internettet. Vejledningen nævner firewalls, webservere, databaser og CMS’er som eksempler og lader kravet gælde som minimum for al software med sårbarheder, der kan udnyttes over internettet.
Det vigtigste led er det næste. Kan en sårbarhed i et bagvedliggende system udnyttes gennem en internetvendt tjeneste, er det bagvedliggende system også omfattet. En database bag en webapplikation hører altså med, skønt den ikke har en offentlig adresse.
Vejledningen nævner VPN-gateways som internetvendte tjenester. Et fagsystem, der kun kan nås via VPN, regnes derimod for internt. Funktionalitet, der er fravalgt og slået fra, er ikke omfattet.
Opgørelsen
En opgørelse af kantudstyret kan bygges fra flere sider. Indefra: firewallens regler for trafik ind, DNS-zonens offentlige poster, cloudkontoens offentlige adresser og listen over certifikater, der er udstedt til jeres domæner. Udefra: en portscanning af jeres egne offentlige adresser, som viser, hvad der svarer.
For hver tjeneste noteres, hvilket udstyr eller hvilken software der svarer, hvilken version den kører, og hvilke systemer bagved den afhænger af. Den sidste kolonne er den, der oftest mangler, og den, statens afgrænsning gør vigtig.
Bilaget til forordning 2024/2690, punkt 6.7.2, litra f, beder de enheder, forordningen gælder for, deaktivere unødvendige forbindelser og tjenester. Opgørelsen er det naturlige tidspunkt at spørge, om hver tjeneste stadig skal være der. Det, der lukkes, skal ikke opdateres.
Support og opdateringsniveau
For hver post i opgørelsen kontrolleres to ting.
Er produktet under support? Producentens supportdatoer for den konkrete model og version afgør det. Udstyr uden support er et fund, også når det er fuldt opdateret, fordi der ikke kommer flere rettelser.
Er den seneste sikkerhedsopdatering installeret? Versionen læses på udstyret selv og holdes op mod producentens seneste udgivelse. For firewalls og VPN-gateways betyder det typisk firmwareversionen.
Den britiske NCSC anbefaler som bedste praksis, at internetvendte tjenester og software opdateres inden for 5 dage. NCSC anbefaler også, ved aktiv udnyttelse, at se efter tegn på kompromittering, før en opdatering lægges på en internetvendt tjeneste. Det er værd at have med i proceduren, fordi en opdatering lukker hullet, men ikke fjerner det, der måske allerede er kommet ind.
Eksponering som prioritering
CISA’s direktiv BOD 26-04 fra juni 2026 bruger eksponering som et af fire forhold, når amerikanske føderale myndigheder skal prioritere sikkerhedsopdateringer. Det gør det samme, som denne artikel foreslår: det, der kan nås udefra, kommer først. Direktivet gælder ikke danske virksomheder, men tanken kan overføres til jeres egen prioriteringsregel.
Udstyr, som en leverandør driver
Noget af kantudstyret drives ofte af andre: en firewall, som en driftsleverandør administrerer, eller en fjernadgang, som en producent bruger til support. Det står stadig yderst i jeres net, og det hører med i opgørelsen. Forskellen er, at versionen og supportstatus skal hentes hos leverandøren. Bed om dem skriftligt, med dato, og skriv ned, hvem der opdaterer.
Et tænkt eksempel
En opgørelse kan vise fire internetvendte tjenester: en VPN-gateway, en webserver med kundeportal, en mailgateway og en fjernadgang til et styresystem, som en leverandør bruger. Bag kundeportalen står en database, som derfor også kommer med. VPN-gatewayen er opdateret, men modellen mister support om få måneder. Fjernadgangen kører en version, der er to år gammel, og ingen i driften vidste, at den stod åben. Begge er fund, og fjernadgangen går forrest.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgang til firewallregler, DNS og cloudkonti, en portscanning af egne adresser og læseadgang til versionerne på udstyret. Opgørelsen skal gentages, når noget åbnes mod internettet.
Uden opgørelsen kender I ikke grænsen mellem jeres net og internettet. Det er netop dér, sårbarheder bliver udnyttet uden forudgående adgang, og det er dér, et glemt system gør mest skade.
Det skal I lade være med
- At afgrænse kantudstyret til firewallen · VPN, webservere og systemerne bagved hører med.
- At regne udstyr uden support for sikkert, fordi det er opdateret · der kommer ikke flere rettelser.
- At opdatere uden at se efter spor, når en sårbarhed er aktivt udnyttet · opdateringen fjerner ikke det, der allerede er kommet ind.
Det skal gennemgangen kunne vise
- ☐ En opgørelse over internetvendte tjenester bygget indefra og udefra.
- ☐ For hver tjeneste de bagvedliggende systemer, en sårbarhed kan nås igennem.
- ☐ Version og supportstatus for hver del med dato.
- ☐ Beslutning om tjenester, der ikke længere er nødvendige.
Kilder
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 2 og 3.9, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 6.7.2, læst 13. november 2026.
- NCSC, Put in place a policy to update by default, læst 13. november 2026.
- CISA, BOD 26-04: Prioritizing Security Updates Based on Risk, 10. juni 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de internetvendte tjenester ned fra firewallens regler for trafik ind, og tilføj for hver af dem, hvad der står bagved.
Læs også: VPN-opsætningen · Rettefrister, der kan efterprøves
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
