En rettelse er bevist, når det samme udtræk, der viste fundet, nu viser et andet resultat. Den opfølgende gennemgang gentager derfor de oprindelige kommandoer, skærme og udtræk på de samme objekter og sammenligner. Et “det er rettet” fra driften er en god nyhed, men det er ikke et bevis.
Fordelen ved metoden er, at den er enkel at gennemføre og svær at diskutere. Hvis udtrækket er det samme, og resultatet er nyt, er fundet lukket.
Hvad målestokkene siger
Ifølge NIST SP 800-115 fra 2008 implementeres afhjælpningen og efterprøves derefter ved audit af systemet, gentagen test og dokumentation. NIST skriver også, at testholdet kun kan efterprøve implementeringen, hvis der laves en spejling af den oprindelige test. Det er netop tanken bag samme udtræk, nyt resultat.
DORA-standardens artikel 10 giver finansielle enheder pligt til procedurer, som overvåger og efterprøver, at sårbarheder bliver udbedret. Bilaget til forordning 2024/2690, punkt 7.2, beder de enheder, forordningen gælder for, fastlægge, hvad der overvåges og måles, med hvilke metoder, hvornår og af hvem. For andre virksomheder er det en målestok for, hvordan opfølgningen kan beskrives.
Forudsætningen ligger i den første rapport
En opfølgning efter metoden kræver, at den første rapport har gemt det, der skal gentages. For hvert fund skal der være udtrækket eller kommandoen, datoen og listen over berørte objekter. Mangler det, kan opfølgningen ikke spejle den oprindelige kontrol, og den bliver en ny gennemgang med nye fejlkilder.
Derfor betaler det sig at kræve udtrækkene som bilag allerede ved den første gennemgang. Det gør også rettelsen lettere, fordi teknikeren kan køre samme udtræk undervejs og se, om rettelsen virker.
Sådan gennemføres opfølgningen
Opfølgningen går fund for fund efter planen.
Gentag udtrækket. Brug samme kommando eller skærm, på samme objekter, med samme parametre. Et tænkt eksempel: fundet var, at auditpol /get /category:* viste ingen revision for Security Group Management på tre filservere. Opfølgningen kører samme kommando på de tre servere.
Sammenlign. Viser udtrækket nu den aftalte indstilling, er fundet lukket for de objekter. Viser det stadig den gamle, er det åbent.
Udvid lidt. Det er almindelig praksis at tage nogle få objekter med, der ikke var med i det oprindelige fund, men som burde have samme indstilling. Rettelsen kan være lavet lokalt på de tre servere i stedet for i den gruppepolitik, der styrer dem, og så dukker fejlen op igen på den næste.
Notér. For hvert fund skrives resultatet, datoen og det nye udtræk.
Fire udfald
Et fund kan efter opfølgningen stå i en af fire tilstande. Lukket: udtrækket viser den rigtige indstilling. Delvis lukket: nogle objekter er rettet, andre ikke. Åbent: intet er ændret. Accepteret: fundet er bevidst ikke rettet, og beslutningen er dokumenteret med begrundelse.
Den sidste kategori er vigtig. Et accepteret fund er ikke et svigt i opfølgningen. Det er en beslutning, og den skal kunne findes med begrundelse, ejer og dato for ny vurdering.
Når udtrækket ikke kan gentages
Nogle gange kan det oprindelige udtræk ikke gentages, fordi systemet er udskiftet, flyttet til skyen eller lukket. Så skal opfølgningen vise noget andet: at det gamle system er væk, og at det nye har den rigtige indstilling, læst med den kommando, der passer til det nye. Notér skiftet, så sporet fra fund til lukning stadig kan følges. Et fund, der er lukket, fordi systemet er nedlagt, er lukket, men det er værd at se efter, om de konti, regler og poster, der hørte til, også er fjernet.
Opfølgningen som en del af planen
Opfølgningen hører hjemme i planen fra starten. Når et fund får en frist, kan det også få en dato for opfølgning og en person, der skal køre udtrækket. Så bliver opfølgningen ikke en ny opgave, der skal findes tid til, men det sidste trin i rettelsen.
Hvornår opfølgningen laves
Ingen kilde sætter et tidspunkt. Det er praksis at lægge opfølgningen, når fristerne i planen er udløbet for hovedparten af fundene i gruppen med opsætning. Projektfund kan følges op senere, når projekterne er gennemført.
Opfølgningen kan laves af driften selv, af den, der lavede den første gennemgang, eller af en tredje. Er den lavet af driften, er det godt at lade en anden se de nye udtræk igennem. Hvem der har lavet hvad, skal stå i dokumentationen, så det svarer til forordningens spørgsmål om hvem.
Sammenhængen mellem opfølgningen og ledelsens rapportering i en sikkerhedsaudit er et emne for sig.
Hvad det kræver, og hvad det koster at lade være
Opfølgningen kræver adgang til de samme systemer som første gang og de oprindelige udtræk. Den er hurtigere end den første gennemgang, fordi den ved præcis, hvor den skal kigge.
Uden opfølgningen står fundene som lukkede i en liste, men ingen ved, om de er det. Ved næste gennemgang dukker de samme fund ofte op igen, og det er svært at forklare, hvorfor de stod som rettet.
Det skal I lade være med
- At lukke fund på driftens ord alene · gentag udtrækket.
- At bruge en anden kommando end første gang · så kan resultaterne ikke sammenlignes.
- At glemme de objekter, der burde have samme indstilling · tag nogle få med for at se, om rettelsen sidder rigtigt.
Det skal gennemgangen kunne vise
- ☐ Det oprindelige udtræk og det nye for hvert fund, med datoer.
- ☐ En status for hvert fund: lukket, delvis lukket, åbent eller accepteret.
- ☐ Dokumenteret begrundelse for accepterede fund.
- ☐ Hvem der gennemførte og gennemså opfølgningen.
Kilder
- NIST SP 800-115, september 2008, afsnit 8.3, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 10, stk. 2, litra g, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 7.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag ét fund, I har meldt lukket, og kør det oprindelige udtræk igen på de samme objekter.
Læs også: Rapporten fra en teknisk gennemgang · Fra engangsgennemgang til løbende kontrol af opsætningen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
