Opkøb og sammenlægning: det tilkøbte miljø, før net og kataloger forbindes

Når en virksomhed er købt op, bør dens IT-miljø gennemgås teknisk, før der oprettes tillid mellem kataloger, synkronisering mellem lejere eller åbne forbindelser mellem net. Forbindelsen gør det tilkøbte miljøs svagheder til jeres egne, og den er svær at stramme bagefter, når brugerne først har vænnet sig til den.

Artiklen handler kun om det tekniske forarbejde til sammenkoblingen. Hele indholdet er praksis. Ingen regel beskriver en teknisk gennemgang ved opkøb.

En væsentlig ændring

Forordning 2024/2690 binder ikke en almindelig virksomhed, kun visse digitale tjenesteudbydere, men dens bilag kan lånes som målestok. I punkt 6.3.3 er væsentlige ændringer en anledning til at se konfigurationerne efter, og punkt 2.3.4 siger det samme om den uafhængige gennemgang. Det er vores tolkning, at en sammenlægning af to IT-miljøer er en sådan ændring.

Tilladelsen kommer først

I SP 800-115 fra 2008 peger NIST på, at ejeren af et net, organisationen ikke selv kontrollerer, normalt også skal give skriftligt samtykke til vurderingen. I tiden mellem aftalen og overtagelsen, eller når det tilkøbte selskab fortsat drives af egen IT-leverandør, er det præcis situationen. Få samtykket på skrift, før der trækkes udtræk eller gives læseadgang, og få det fra den, der faktisk kan give det: selskabets ledelse og den leverandør, der driver miljøet.

Tre spørgsmål før sammenkoblingen

Gennemgangen skal besvare tre spørgsmål.

1. Hvem kan blive administrator i det tilkøbte miljø? Konti med administrative rettigheder i katalog og lejer, servicekonti med brede rettigheder, leverandørkonti og fjernadgang.
2. Hvad står åbent? Tjenester mod internettet, fjernadgang, administrationsflader og forbindelser til tredjeparter.
3. Hvad kan vi stole på? Opdateringsniveau, styring af klienter og servere, logning og backup.

Svarene afgør, hvordan miljøerne kobles sammen. Er svarene gode, kan forbindelsen oprettes med få begrænsninger. Er de dårlige, er det bedre at holde miljøerne adskilt, til det tilkøbte er bragt på niveau, eller at flytte brugere og data over i stedet for at forbinde.

Det, der gennemgås

Rækkefølgen nedenfor er tænkt som udgangspunkt.

• Identitet · Udtræk: Konti, administrative grupper, servicekonti, roller i lejeren · Hvorfor før sammenkoblingen: Tillid mellem kataloger kan give adgang begge veje
• Kanten · Udtræk: Åbne tjenester, VPN, fjernsupportværktøjer · Hvorfor før sammenkoblingen: En vej ind hos dem bliver en vej ind hos jer
• Forbindelser · Udtræk: Faste forbindelser til kunder og leverandører · Hvorfor før sammenkoblingen: De følger med ind i jeres net
• Klienter og servere · Udtræk: Opdateringsniveau, styring, lokale administratorer · Hvorfor før sammenkoblingen: Maskiner uden styring er svære at stramme senere
• Logning · Udtræk: Hvad logges, og hvor længe · Hvorfor før sammenkoblingen: Uden log kan en kompromittering før opkøbet ikke ses
• Backup · Udtræk: Job, opbevaring, gendannelsestest · Hvorfor før sammenkoblingen: Afgør, om data kan genskabes efter en hændelse

Når det tilkøbte selskab har sin egen IT-leverandør

Mange mindre selskaber får deres drift fra en ekstern leverandør. Så er det leverandøren, der skal trække udtrækkene, og leverandørens egne adgange er en del af det, der gennemgås. Spørg, hvilke konti leverandøren bruger, hvordan de logger ind, og om adgangen er personlig eller delt.

Skal driften senere overgå til jer eller til jeres leverandør, er udtrækkene fra gennemgangen også det dokumenterede udgangspunkt for overdragelsen. Hvordan det udgangspunkt bruges, står i ny IT-leverandør.

Hvem hos jer skal med

Den, der ejer jeres katalog, den, der ejer firewallen, og den, der ejer lejeren, skal alle se resultatet, før forbindelserne oprettes. Det er dem, der skal stå inde for, at forbindelsen ikke åbner mere end aftalt. Det er almindelig praksis, at de også godkender hver ny forbindelse mellem miljøerne, på samme måde som de godkender andre ændringer i deres område.

Kobl sammen i trin

Det er almindelig praksis at starte med den smalleste forbindelse, der løser forretningens behov: adgang til enkelte systemer frem for fuld netforbindelse, envejs tillid frem for tovejs, synkronisering af udvalgte konti frem for hele kataloget.

Hver forbindelse, der oprettes, får en navngiven ejer, et skrevet formål og en fast dato, hvor den ses efter. Bilaget til forordningen bruger samme tanke for tjenesteudbyderes forbindelser i punkt 6.7.2, litra h: kun efter anmodning og i en bestemt periode. Brugt som målestok passer det også på en midlertidig forbindelse mellem to selskaber.

Det tilkøbte miljø efter forbindelsen

Når forbindelsen er oprettet, er gennemgangen ikke slut. Det tilkøbte miljø skal holdes op imod den samme målestok som resten af koncernen, og afvigelserne skal ind i den samme plan. Det tager typisk længere tid end selve sammenkoblingen. Så længe forskellen findes, bør den holdes på den side af forbindelserne, hvor den gør mindst skade. Det betyder i praksis, at forbindelserne strammes til det, forretningen bruger, og at de løbende ses efter, mens det tilkøbte miljø bliver bragt på niveau. Når niveauet er nået, kan forbindelserne udvides.

Hvordan sikkerhedsmodenheden følges i en koncern, der vokser ved opkøb, er beskrevet under modenhed i koncernen. Den organisatoriske side af en audit ved store ændringer i virksomheden står under sikkerhedsaudit ved store ændringer.

Hvad det kræver, og hvad det koster at lade være

Det kræver, at IT er med i planen for overtagelsen fra start, så gennemgangen kan ligge før den første forbindelse. Det kræver skriftligt samtykke fra det tilkøbte selskab og dets leverandør, og læseadgang eller udtræk fra miljøet.

Kobles net og kataloger sammen først, er det tilkøbte miljøs svagheder allerede jeres. En gammel administratorkonto hos dem kan efter en tovejs tillid nå systemer hos jer, og ingen af jeres egne kontroller har set den.

Det skal I lade være med

• At oprette tovejs tillid mellem kataloger som første skridt · start med den smalleste forbindelse.
• At trække udtræk uden skriftligt samtykke · ejeren og leverandøren skal sige ja.
• At lade midlertidige forbindelser blive faste · giv dem en dato for gennemsyn.

Det skal gennemgangen kunne vise

• ☐ Skriftligt samtykke fra det tilkøbte selskab og dets leverandør.
• ☐ Svar på de tre spørgsmål med udtræk.
• ☐ En liste over forbindelser mellem miljøerne med ejer, formål og dato.
• ☐ En plan for at bringe det tilkøbte miljø op på samme målestok.

Kilder

• NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 6.5, læst 13. november 2026.
• Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 2.3.4, 6.3.3 og 6.7.2, læst 13. november 2026.

Senest gennemgået: november 2026.

Næste skridt

Skriv de tre spørgsmål ind i IT-delen af planen for overtagelsen, så de er besvaret, før den første forbindelse oprettes.

• Hvad en teknisk gennemgang er, og hvornår den bruges
• Faste forbindelser til kunder, leverandører og søsterselskaber

Læs også: Administratorrettigheder på tværs · Synkroniseringen mellem lokalt katalog og sky

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT