Før en teknisk gennemgang starter, skal driften finde tre slags materiale frem: en netværkstegning, en systemliste og en række udtræk fra katalog, lejer, firewall og servere. Politikker og referater fylder lidt. Det, der bærer gennemgangen, er det, der kommer fra systemerne.
Listen her er en arbejdsliste til driften. Den bygger på det, NIST nævner som grundlag for en undersøgelse, og på de fortegnelser, bilaget til forordning 2024/2690 beskriver. Hvad der godt må mangle, er praksis og står til sidst.
Grundlaget efter NIST
Ifølge SP 800-115, NIST’s vejledning fra 2008, bygger en undersøgelse på bl.a. arkitekturdiagrammer, fortegnelser over aktiver, systemkonfigurationer, regelsæt og systemlogs. Dokumentgennemgangen omfatter desuden politikker, procedurer og aftaler om sammenkobling med andre net.
Vejledningen tilføjer en vigtig begrænsning: Dokumenterne viser retningen, ikke at kontrollerne er gennemført. Derfor vejer udtrækkene tungere end dokumenterne.
Fortegnelserne i forordningen som målestok
Forordning 2024/2690 forpligter kun udbydere af bestemte digitale tjenester. Dens bilag er alligevel brugbart som målestok for, hvilke fortegnelser et miljø bør have. Fire af dem er nyttige før en gennemgang:
- nettets arkitektur dokumenteret “på en forståelig og ajourført måde” (punkt 6.7.2, litra a)
- en fortegnelse over aktiver, der er fuldstændig, nøjagtig, ajourført og konsekvent (punkt 12.4.1)
- et register over leverandører og tjenesteudbydere med kontaktpunkter og de ydelser, de leverer (punkt 5.2)
- en liste over alle aktiver, der logges (punkt 3.2.6)
Har I dem, er halvdelen af forberedelsen gjort.
Listen til driften
Inddelingen nedenfor er praksis. Tilpas den til jeres platforme.
Tegninger og lister
- Netværkstegning med zoner, forbindelser udadtil og forbindelser til leverandører.
- Systemliste med rolle, styresystem, ejer og placering.
- Liste over adresser og domæner, der står mod internettet.
- Leverandørliste med, hvem der har adgang til hvad, og hvordan.
- Liste over logkilder og hvor loggen ender.
Udtræk fra identitet
- Alle konti i kataloget med status, sidste login og om adgangskoden udløber.
- Medlemmer af de administrative grupper, også indirekte via andre grupper.
- Tilsvarende udtræk fra cloud-kataloget med roller og flerfaktorstatus.
Udtræk fra net og servere
- Eksport af firewallens regelsæt med tidsstempel.
- Konfiguration fra kantudstyr og centrale switche.
- Politikrapporter fra styringsværktøjet for klienter og servere.
- Opdateringsstatus pr. maskine.
Udtræk fra backup og logning
- Oversigt over backupjob, mål og opbevaring.
- Resultat af seneste gendannelsestest, hvis den findes.
- Indstillinger for opbevaring af logs i de vigtigste kilder.
Hvem trækker hvad
I de fleste driftsorganisationer ligger listen spredt. Den, der passer kataloget, er ikke den, der passer firewallen, og backup kan være lagt ud til en leverandør. Giv hvert punkt på listen en navngiven person og en dato. Det er almindelig praksis, at én person i driften samler det hele og holder øje med, hvad der mangler.
Udtræk fra systemer, som en leverandør driver, tager typisk længst tid, fordi de skal bestilles. Bestil dem først. Skriv i bestillingen, hvad udtrækket skal indeholde, og at det skal komme med tidsstempel, så det kan sammenlignes med jeres egne udtræk.
Træk udtrækkene, så de kan gentages
Skriv for hvert udtræk, hvordan det er trukket: kommando, skærmens sti eller script, tidspunkt og konto. Så kan det samme udtræk trækkes igen ved den opfølgende gennemgang, og forskellen bliver målbar.
Træk også så tæt på hinanden som muligt. Et regelsæt fra mandag og en kontoliste fra fredag kan pege på objekter, der ikke længere findes.
Hvad der godt må mangle
En gennemgang kan sagtens starte uden alt på listen. Det er almindelig praksis at skelne sådan:
- Opdateret netværkstegning · Tegn en skitse sammen med den, der gennemgår. Manglen er i sig selv et fund
- Fuldstændig systemliste · Brug det, I har, og lad gennemgangen afstemme mod katalog og net
- Politikker og procedurer · Kan vente. Opsætningen kan læses uden dem
- Udtræk, driften ikke kan trække · Aftal læseadgang i stedet
- Referater og ledelsesrapporter · Hører ikke til en teknisk gennemgang
Det, der ikke må mangle, er adgangen til systemerne selv. Uden udtræk eller læseadgang er der intet at holde op imod målestokken. Og den, der gennemgår, skal vide, hvilken målestok I ønsker at blive målt imod, så udtrækkene kan dække de punkter, målestokken har.
Undgå at pynte
Det er fristende at rydde op, før gennemgangen starter. Slet ikke konti, og fjern ikke regler i ugen før. Gør I det, gennemgår den, der kommer, en opsætning, der ikke var den daglige. Ret hellere efter rapporten, så rettelserne kan måles.
Forberedelsen af en audit af hele sikkerhedsarbejdet, med politikker, risikovurdering og ledelsens rolle, er beskrevet under forberedelsen af en sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at en person i driften samler materialet, skriver ned, hvordan hvert udtræk er trukket, og ved, hvad der mangler. Arbejdet er størst første gang og bliver mindre, når udtrækkene er scriptede.
Starter gennemgangen uden materiale, går den første del med at finde det frem. Driften bliver afbrudt mange gange, og de udtræk, der kommer sidst, passer ikke til dem, der kom først.
Det skal I lade være med
- At aflevere politikker i stedet for udtræk · politikken viser hensigten.
- At rydde op i ugen før start · gennemgangen skal se den daglige opsætning.
- At trække udtræk uden at skrive, hvordan · så kan de ikke gentages.
Det skal gennemgangen kunne vise
- ☐ En liste over modtaget materiale med dato.
- ☐ For hvert udtræk: kommando eller sti, tidspunkt og konto.
- ☐ Hvad der manglede ved start, og hvordan det blev erstattet.
- ☐ En netværkstegning, der er afstemt mod det, gennemgangen fandt.
Kilder
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 2.3 og 3.1, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 3.2.6, 5.2, 6.7.2 og 12.4.1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå listen igennem og markér for hvert punkt, om det findes, hvem der kan trække det, og hvor det ligger.
Læs også: Systemlisten bygget fra systemerne selv · Konfigurationsudtræk hos auditoren
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
