En købt overvågningstjeneste kan kun reagere på det, den modtager data fra. Kontrollen består i at afstemme de kilder, leverandøren faktisk får data fra, mod jeres egen liste over systemer, der skal overvåges, og at se, hvilke hændelsestyper der kommer med fra hver kilde.
Det er en kontrol, driften kan lave selv. Den kræver ingen audit af leverandøren, kun en liste fra leverandøren og jeres egen systemliste lagt side om side. Hvordan selve leverandøren kontrolleres, med kontrakt, erklæringer og revisionsret, hører hjemme på sitet om kundens kontrol af IT-leverandøren.
Hvad målestokkene giver
Ingen regel beskriver, hvordan en købt overvågning skal afstemmes. Afstemningen er praksis. Men flere kilder giver byggestenene.
SAMSIK’s vejledning om logning anbefaler, at I stiller krav til leverandører om, hvilke logs der skal genereres hos partnere, og hvordan de kan tilgås. Vejledningen anbefaler også, at logpolitikken afstemmes med dem, der skal bruge loggene, og nævner udtrykkeligt et sikkerhedsfirma, man har en aftale med.
I bilaget til forordning 2024/2690 findes to lister, der passer til opgaven. Punkt 3.2.3 handler om de aktiver, logningen skal dække, og punkt 3.2.6 om dem, der faktisk logges. Kun de enheder, forordningen nævner, er bundet af dem. Andre kan låne dem, og netop de to lister er grundlaget for afstemningen.
DORA’s tekniske standard, artikel 23, kræver for finansielle enheder, at mekanismen til detektion kan indsamle og analysere underretninger fra tredjepartsudbydere. Det siger, at leverandørens overvågning er en del af jeres egen detektion, og at den skal hænge sammen med resten.
Tre lister
Afstemningen bygger på tre lister.
Den første er jeres egen liste over systemer, der skal overvåges. Den kommer fra risikovurderingen og fra dækningskortet over logkilder. Den skal være jeres egen, ikke leverandørens.
Den anden er leverandørens liste over tilkoblede kilder. Bed om den som et udtræk fra deres system, ikke som en beskrivelse i aftalen. Udtrækket skal vise hver kilde med navn, type og tidspunkt for seneste modtagne data.
Den tredje er listen over de hændelsestyper, leverandøren har regler for pr. kilde. Det er den sværeste at få, men den er den vigtigste. En kilde kan være tilkoblet, men hvis der ingen regler er for dens hændelser, bliver den ikke overvåget i praksis.
Afstemningen
Læg den første og den anden liste ved siden af hinanden. Tre slags fund kan opstå.
Systemer, der står på jeres liste, men ikke hos leverandøren, er ikke overvåget. Det kan være en bevidst afgrænsning i aftalen, men det skal være en beslutning, ingen glemsel.
Kilder, der står hos leverandøren, men hvor seneste data er gamle, er holdt op med at levere. Det kan skyldes en ændring på jeres side, fx en ny firewall eller en server, der er flyttet. Notér datoen for seneste data, og find årsagen.
Kilder hos leverandøren, som ikke står på jeres liste, kan være gamle systemer, der er lukket, eller systemer, I har glemt. Begge dele er værd at vide.
Den tredje liste afgør, hvad overvågningen dækker inden for hver kilde. Et tænkt eksempel: firewallen er tilkoblet, men leverandøren har kun regler for blokeret trafik udefra. Så bliver usædvanlig udgående trafik ikke set, selv om kilden står som dækket.
Hvem hos jer modtager leverandørens besked
Afstemningen af kilder har en tvilling: afstemningen af modtagere. Når leverandøren ser noget, skal beskeden nå en person hos jer, der kan handle. Træk leverandørens liste over kontaktpersoner og eskaleringsveje, og se, om personerne stadig er ansat og har den rolle, listen siger. SAMSIK’s anbefaling om at afstemme logpolitikken med dem, der bruger loggene, gælder også denne vej tilbage.
Ingen typiske huller som fakta
Der findes ingen læst kilde, der beskriver, hvad en købt overvågningstjeneste typisk modtager eller mangler. Hullerne afhænger af den konkrete aftale og det konkrete miljø. Derfor giver afstemningen mere end en standardliste. Den viser jeres egne huller.
Ændringer undervejs
Overvågningens dækning ændrer sig, hver gang miljøet gør. Nye systemer skal kobles på, og lukkede systemer skal fjernes. En enkel praksis er at gøre tilkobling til overvågningen til et punkt i den proces, der sætter nye systemer i drift, og at gentage afstemningen med faste mellemrum, som I selv fastsætter.
Afstemningen kan også bruges som et af målepunkterne, når sikkerhedsmodenheden følges år for år.
Hvad det kræver, og hvad det koster at lade være
Afstemningen kræver jeres egen systemliste og et udtræk fra leverandøren. Er leverandøren ikke vant til at levere et sådant udtræk, kan det tage en henvendelse eller to, og det er værd at skrive ind i aftalen ved næste fornyelse.
Uden afstemningen betaler I for en overvågning, hvis dækning I ikke kender. Den dag, en hændelse rammer et system, der aldrig blev koblet på, er der ingen alarm, og ingen har opdaget, at der manglede noget.
Det skal I lade være med
- At bruge leverandørens liste som jeres egen · jeres liste skal komme fra jeres risikovurdering.
- At regne en kilde for overvåget, fordi den er tilkoblet · spørg efter reglerne for dens hændelser.
- At sætte nye systemer i drift uden at koble dem på · gør tilkoblingen til et fast trin.
Det skal gennemgangen kunne vise
- ☐ Jeres egen liste over systemer, der skal overvåges.
- ☐ Et udtræk fra leverandøren med tilkoblede kilder og tidspunkt for seneste data.
- ☐ En afstemning med de systemer, der mangler, og de kilder, der er holdt op.
- ☐ Leverandørens regler pr. kilde, holdt op mod de hændelser, I vil have opdaget.
Kilder
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave januar 2023, s. 7-8, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 3.2.3 og 3.2.6, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 23, stk. 2, litra a, nr. iii, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om et udtræk af tilkoblede kilder med tidspunkt for seneste data, og læg det ved siden af jeres systemliste.
Læs også: Alarmer: findes reglerne, og reagerer nogen? · Læseadgang til det, driftsleverandøren driver
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
