Opdateringsniveauet er den tilstand, maskinerne faktisk står i, og den skal måles på maskinerne. Opdateringsværktøjets rapport viser det, værktøjet har registreret, og den er et godt udgangspunkt, men den dækker kun de maskiner og programmer, værktøjet kender.
Det er en kendt risiko at stole på én kilde. Ingen læst kilde siger, hvor ofte værktøj og maskine afviger. Men en maskine, der aldrig har meldt sig i værktøjet, eller et program, værktøjet ikke styrer, findes ikke i rapporten. Derfor sammenligner gennemgangen rapporten med en måling fra en anden kilde.
Hvad der skal være opdateret
Vejledningen til de statslige tekniske minimumskrav er den mest præcise målestok. Statslige myndigheder skal følge den. Private virksomheder kan bruge den som målestok. For klienter siger den, at styresystem og applikationer skal holdes sikkerhedsopdateret, og at styresystemet skal have aktiv support fra producenten, så kendte sårbarheder bliver lukket.
Vejledningen skelner mellem tre ting. En applikation er software, der leverer funktionalitet til en bruger. En komponent leverer ikke selv funktionalitet og opdateres som udgangspunkt sammen med applikationen. Komponenter, der hører til styresystemet, opdateres oftest med det. Skellet er nyttigt, fordi det viser, hvor en sårbar komponent skal rettes: hos den applikation, der bruger den.
For interne systemer gælder kravet den software, der udstiller funktionen. Firmware er omfattet, hvor producenten udruller opdateringer, og det underliggende styresystem anbefales opdateret.
SAMSIK’s Cyberforsvar der virker anbefaler, at al software opdateres efter en fastlagt proces med frister, herunder styresystemer, applikationer og firmware på klienter, mobile enheder, servere og netværksudstyr. Den britiske ordning Cyber Essentials kræver i sin udgave 3.3 af april 2026, at al software er licenseret og under support, fjernes, når den mister support, og at automatiske opdateringer er slået til, hvor det er muligt.
Tredjepartsprogrammerne
Styresystemet er sjældent problemet. Det opdateres typisk af et værktøj, der er bygget til det. Programmer fra andre producenter, browsertilføjelser, læsere til dokumenter, kørselsmiljøer og fagsystemets klient opdateres ofte på andre måder eller slet ikke. De kan stå uden for værktøjets rapport, fordi værktøjet aldrig har fået besked på at holde øje med dem.
Gennemgangen trækker derfor en liste over installerede programmer med version fra maskinerne selv og holder den op mod producenternes seneste version og supportstatus. Listen viser også programmer, der ikke længere har support, og som efter Cyber Essentials’ målestok skal fjernes.
To kilder, sammenlignet
Kontrollen bygger på to kilder, der ikke afhænger af hinanden.
Den første er opdateringsværktøjets rapport. Den viser, hvilke maskiner værktøjet kender, og hvilke opdateringer det mener, de har.
Den anden er en måling fra maskinerne selv. Det kan være et udtræk af installerede opdateringer og programversioner, hentet med indbyggede kommandoer, eller en scanning med login, der læser det samme. Hvilken metode der bruges, betyder mindre end, at den er uafhængig af værktøjet.
Sammenligningen giver tre slags fund. Maskiner, der findes i målingen, men ikke i værktøjet. Maskiner, hvor værktøjet melder opdateret, men målingen viser en ældre version. Og programmer, som værktøjet slet ikke ser. Hvert fund skrives med maskine, program, fundet version og forventet version.
Supportstatus for styresystemet
Et styresystem kan være fuldt opdateret og alligevel uden for support. Så kommer der ingen nye sikkerhedsopdateringer, og maskinen ser grøn ud i rapporten, fordi der ikke er noget at installere. Statens vejledning kræver derfor aktiv support som et selvstændigt punkt. Træk styresystemets version og udgave fra hver maskine, og hold den op mod producentens supportdatoer. Maskiner uden support er et fund, også når de har alle de opdateringer, der findes.
Firmware og netværksudstyr
Firmware på servere, switche, firewalls og lagersystemer står sjældent i opdateringsværktøjet. Den skal måles for sig ved at læse versionen på hver enhed og sammenligne med producentens seneste. Statens vejledning tager firmware med, hvor producenten udruller opdateringer, og SAMSIK nævner firmware på netværksudstyr udtrykkeligt.
En liste over udstyret med model, firmwareversion, seneste version og supportstatus er beviset. Udstyr, hvor producenten ikke længere udgiver opdateringer, er et fund, uanset hvor godt det i øvrigt virker.
Stikprøve eller hele bestanden
En fuld måling af alle maskiner er bedst, når den kan laves automatisk. Kan den ikke det, kan gennemgangen tage en stikprøve pr. rolle, pr. image og pr. styringsværktøj. Stikprøven skal omfatte maskiner, der sjældent er på nettet, fx bærbare hos medarbejdere, der rejser, og servere i adskilte net. Det er dem, der oftest halter bagefter.
Hvad det kræver, og hvad det koster at lade være
Kontrollen kræver adgang til opdateringsværktøjets rapport og en uafhængig måde at læse versionerne på maskinerne. Første gang tager sammenligningen tid, især for programmer fra andre producenter. Derefter kan den gentages.
Uden kontrollen har I en rapport, der siger grønt, og en virkelighed, I ikke kender. Den maskine, der aldrig meldte sig, er netop den, ingen har set efter.
Det skal I lade være med
- At læse opdateringsværktøjets rapport som hele sandheden · den kender kun det, den er sat til at se.
- At glemme programmer fra andre producenter end styresystemets · de opdateres ofte på andre måder.
- At lade firmware stå uden for målingen · den står sjældent i værktøjet.
Det skal gennemgangen kunne vise
- ☐ Opdateringsværktøjets rapport og en uafhængig måling fra maskinerne, med dato.
- ☐ En sammenligning med maskiner, der mangler i værktøjet, og afvigende versioner.
- ☐ En liste over programmer fra andre producenter med version og supportstatus.
- ☐ En liste over firmware på servere og netværksudstyr med version og support.
Kilder
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 3.1 og 3.10, læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker, 4. udgave juli 2023, område 1, læst 13. november 2026.
- NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3, april 2026, Security Update Management, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg ti maskiner, træk installerede programmer med version fra dem selv, og sammenlign med opdateringsværktøjets rapport.
Læs også: Stikprøve af servere og klienter · Udgåede systemer
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
