En gennemgang, der kun læser opsætning, regelsæt og logs, påvirker næsten ikke driften. Det er de aktive teknikker, især scanninger, der kan give belastning, og i produktionsmiljøer med styringsanlæg kan de give forstyrrelser eller nedetid.
Driftens bekymring er rimelig, og svaret afhænger af, hvilken teknik der bruges hvor. Skil læsning fra scanning i planen, så kan hvert system få den behandling, det kan tåle.
Læsning: minimal risiko
NIST beskriver i SP 800-115 fra 2008 gennemgangsteknikkerne som passive. Vejledningen skriver, at de udgør minimal risiko for systemer og net, og at undersøgelser typisk ikke påvirker systemerne ud over den adgang, der skal til for at hente dokumentation, logs og regelsæt.
To forbehold står i vejledningen. Det første gælder hentning af konfigurationsfiler fra fx routere og firewalls. NIST anbefaler, at det gøres af systemadministratorerne selv, så der ikke ved et uheld bliver ændret eller slettet noget. Det andet gælder aflytning af nettrafik. Kræver det, at en netenhed konfigureres om, kan det ifølge NIST forstyrre driften.
For driften er det praktiske råd enkelt. Lad jeres egne folk trække konfigurationen fra netudstyret, og lad den, der gennemgår, arbejde i kopien.
Også store udtræk kan mærkes. Et udtræk af alle konti, grupper og rettigheder fra et stort katalog eller en lejer kan tage tid og bruge ressourcer. Det er almindelig praksis at køre den slags uden for spidsbelastningen, men det kræver sjældent et egentligt servicevindue.
Scanning: trafik og belastning
Aktive teknikker er noget andet. NIST skriver, at enhver test, der direkte rører et system eller et net, kan give uventede stop og andre former for nedbrud. Organisationen bør derfor fastlægge, hvor meget indgriben den vil acceptere, og tests, der er kendt for at give nedbrud, kan udelades.
En netværksbaseret sårbarhedsscanning skaber ifølge vejledningen mere trafik end passive teknikker og kan påvirke de værter og segmenter, der scannes. Det gælder især ældre udstyr, printere, telefonanlæg og andre enheder med små ressourcer.
Produktionsmiljøer med styringsanlæg
I vejledningen til NIS 2-loven fra Styrelsen for Samfundssikkerhed (SAMSIK), juni 2025, står der, at enheden bør scanne for sårbarheder med regelmæssige planlagte mellemrum. I samme afsnit står advarslen om, at aktive scanninger af OT-miljøer kan medføre forstyrrelser eller nedetid.
Som alternativ peger vejledningen på passiv overvågning, fx monitorering og analyse af nettrafik, støttet af regelmæssige sikkerhedsvurderinger af systemkonfigurationer. Det er en anbefaling (“bør”) og et forslag, ikke et lovkrav, men det beskriver den arbejdsdeling, der giver mening i et anlæg, der ikke må stoppe. Konfigurationen læses, trafikken iagttages, og scanneren holdes væk.
Udskyd, når det giver mening
NIST nævner, at en vurdering kan udskydes, til en større opgradering er gennemført. Det samme gælder, hvis kendte svagheder alligevel skal rettes først. At gennemgå en opsætning, der skal skiftes ud om en måned, giver et billede af noget, der snart ikke findes. Ligger der en stor ændring i kalenderen, er det bedre at flytte gennemgangen til efter ændringen og bruge den som kontrol af, at det nye miljø blev sat rigtigt op.
Servicevinduer: praksis, ikke regel
Ingen af kilderne siger noget om servicevinduer. Det er almindelig praksis at planlægge sådan:
- (Katalog og lejer) · Teknik: Læsning og udtræk · Tidspunkt: I arbejdstiden
- (Firewall og switche) · Teknik: Driften eksporterer konfigurationen · Tidspunkt: I arbejdstiden
- (Servere med login-scanning) · Teknik: Scanning med konto · Tidspunkt: Aftalt vindue, overvåget
- (Produktionsanlæg) · Teknik: Kun læsning af konfiguration · Tidspunkt: Efter anlæggets ejer
Planen bør også sige, hvem der kan stoppe en scanning, og hvordan den, der gennemgår, får besked, hvis noget opfører sig mærkeligt. NIST anbefaler, at planen for vurderingen beskriver, hvordan hændelser undervejs håndteres.
Konti til scanning med login
Til en scanning med login skal scanneren have en konto på hvert system, den scanner. Det er almindelig praksis at oprette en konto til netop det formål, give den de rettigheder, scanneren skal bruge, og lukke den, når arbejdet er slut. Kontoen bør ikke deles med andre opgaver, så dens spor i logningen kan genkendes. Hvis kontoen spærres efter for mange forsøg, stopper scanningen, men kontoen kan også spærre for driftens egne processer, hvis den genbruges.
Når der dukker noget op undervejs
NIST anbefaler, at et kritisk fund går direkte til den kontaktperson, der står i planen, uden at vente på rapporten. Det betyder, at driften kan få en henvendelse midt i gennemgangen om en åben administrationsflade eller en konto, der ikke burde findes. Planen bør derfor sige, hvem der modtager den slags beskeder, og hvem der må beslutte en hurtig rettelse.
Udelukkelseslisten
Systemer, der ikke må røres, skrives på en udelukkelsesliste. NIST lægger den ind i planen ved siden af listen over, hvad der må og ikke må gøres, og listen skal være entydig. For driften er listen det vigtigste værn. Står et skrøbeligt system ikke på den, er det med.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften peger på de systemer, der ikke tåler trafik, før planen skrives, og at nogen i driften har telefonen tændt, mens scanningerne kører.
Springes det over, kan en scanning ramme et anlæg, ingen havde tænkt på. Omvendt kan en overdreven forsigtighed betyde, at intet bliver scannet, og at de mest udsatte systemer aldrig bliver set.
Det skal I lade være med
- At give den, der gennemgår, skriverettigheder på netudstyr · eksportér konfigurationen selv.
- At scanne produktionsanlæg som almindelige servere · brug passiv overvågning og læsning.
- At lade udelukkelseslisten være mundtlig · den skal stå i planen.
Det skal gennemgangen kunne vise
- ☐ En plan, der skiller læsning fra aktive teknikker pr. system.
- ☐ En udelukkelsesliste godkendt af driften.
- ☐ Tidspunkt og kontaktperson for hver aktiv scanning.
- ☐ Hvordan konfigurationen fra netudstyret er hentet, og af hvem.
Kilder
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 2.3, 3, 4.3, 6.2 og 6.5, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, § 6 nr. 5, afsnit B, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over de systemer, der ikke tåler aktiv trafik, og giv den til den, der skal gennemgå jer.
Læs også: Adgange til den, der gennemgår · Rettelser uden nedbrud
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
