En rapport fra en teknisk gennemgang er brugbar, når en tekniker kan rette hvert fund ud fra den uden at skulle spørge, hvad der er ment. Det kræver, at hvert fund har bevis i form af et udtræk, en liste over de berørte objekter og en konkret rettelse, og at rapporten siger, hvordan gennemgangen blev lavet.
Målestokken “kan en tekniker rette ud fra den” er sitets egen og står ikke i nogen regel. Men den er nyttig for IT-chefen, fordi den kan bruges, både når rapporten skal bestilles, og når den modtages.
Hvad målestokkene siger om rapporten
Ingen regel beskriver indholdet af en rapport fra en teknisk gennemgang. To kilder giver dog dele af svaret.
Ifølge NIST SP 800-115 fra 2008 munder analysen ud i en rapport, som identificerer sårbarheder og anbefalede afhjælpninger. For hvert fund bør der være anbefalinger, også resultatet af en analyse af den grundlæggende årsag. Anbefalingerne kan være tekniske, fx en bestemt opdatering, og ikke-tekniske, fx en ændring i opdateringsprocessen. NIST påpeger også, at en rapport ofte har flere slags læsere, som hver kan have brug for sin egen form, og at interne rapporter bør indeholde metode, resultater, analyse og en handlingsplan.
Bilaget til forordning 2024/2690 beder i punkt 6.5.2, litra c, om, at en sikkerhedstest dokumenteres med sin type, sit omfang, sit tidspunkt og sine resultater. For hver konstatering vurderes det, hvor kritisk den er, og hvad der kan afbøde den. Punktet handler om sikkerhedstest efter enhedens egen politik. At bruge det som målestok for en gennemgangsrapport er sitets tolkning.
Fundets fem felter
Et fund, en tekniker kan rette ud fra, har typisk fem felter. Felterne er praksis.
Beskrivelsen siger, hvad der er galt, i én eller to sætninger. Den nævner indstillingen ved navn.
Beviset er udtrækket, kommandoen eller skærmbilledet, der viser fejlen, med dato. Det skal kunne gentages, så det samme udtræk senere kan vise, at fejlen er rettet.
De berørte objekter er listen over de konkrete servere, konti, regler eller politikker, fundet gælder. En sætning som “flere servere” kan ikke rettes. En liste med navne kan.
Alvorligheden er vurderet ud fra eksponering, rettigheder og konsekvens i jeres miljø. En score fra en scanner kan indgå, men den står ikke alene.
Rettelsen er konkret: hvilken indstilling der ændres til hvad, og hvor det gøres. Er der flere mulige rettelser, nævnes de. Er der en risiko ved rettelsen, fx at et gammelt system holder op med at virke, står den også.
Et tænkt fund
Et tænkt eksempel viser forskellen. Et svagt fund lyder: “Revisionspolitikken er utilstrækkelig på flere servere.” Et brugbart fund lyder: “Underkategorien Security Group Management står til ingen revision på tre filservere (navne i bilag 4). Udtræk fra auditpol /get /category:* af 4. november. Indstillingen kommer fra standardpolitikken for serverenheden. Ret gruppepolitikken til succes og fejl, og tag udtrækket igen.”
Det sidste fund kan en tekniker gå i gang med samme dag. Det første kræver et møde.
Metoden og afgrænsningen
Rapporten skal også sige, hvordan gennemgangen blev lavet. Hvilke systemer indgik, og hvilke blev holdt ude? Hvilken baseline blev opsætningen holdt op mod? Hvilke adgange blev brugt, og hvornår? Uden afgrænsningen kan læseren tro, at alt er set, og at alt, der ikke står som fund, er i orden.
Det er også her, rapporten skal sige, hvad den ikke dækker. En teknisk gennemgang læser opsætning. Den forsøger ikke at udnytte sårbarheder, og det skal fremgå.
Når rapporten modtages
Det er almindelig praksis at gennemgå rapporten med en tekniker, før den godkendes. Teknikeren tager tre eller fire fund og forsøger at gå i gang med rettelsen ud fra teksten alene. De spørgsmål, der opstår, er de mangler, rapporten skal rettes for. Det er langt lettere at få et udtræk eller en objektliste med, mens gennemgangen er frisk, end flere måneder senere, når adgangene er lukket.
Flere læsere
NIST’s bemærkning om flere målgrupper passer til virkeligheden. Teknikerne har brug for fundene med objekter og rettelser. IT-chefen har brug for et overblik over alvorlighed og omfang. Ledelsen har brug for få budskaber. En rapport, der prøver at være alt for alle i én tekst, bliver ofte for teknisk til ledelsen og for løs til teknikerne. En hoveddel med fund og bilag med udtræk kombineret med et kort resumé er en almindelig opbygning.
Rapportens videre vej til ledelsen og ind i en samlet sikkerhedsaudit følger sine egne regler.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at kravene til rapporten aftales, før gennemgangen begynder. Det er lettere at få fem felter pr. fund, når de står i aftalen, end at bede om dem bagefter.
En rapport uden udtræk og berørte objekter giver mange spørgsmål og få rettelser. Fundene bliver liggende, fordi ingen ved præcis, hvad der skal gøres, og ved næste gennemgang står de der igen.
Det skal I lade være med
- At acceptere fund uden liste over berørte objekter · uden navne kan ingen rette.
- At acceptere fund uden udtræk · så kan rettelsen ikke efterprøves bagefter.
- At læse en rapport uden afgrænsning som et rent helbredsbevis · det, der ikke blev set, står der ikke.
Det skal gennemgangen kunne vise
- ☐ En rapport med metode, afgrænsning og den anvendte baseline.
- ☐ For hvert fund: beskrivelse, udtræk med dato, berørte objekter, alvorlighed og rettelse.
- ☐ Bilag med de udtræk, fundene bygger på.
- ☐ Et resumé til ledelsen adskilt fra den tekniske del.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 8.1 og 8.2, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 6.5.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag tre fund fra jeres seneste rapport, og se, om hvert af dem har udtræk, berørte objekter og en konkret rettelse.
Læs også: Fra fundliste til plan · Alvorlighed af konfigurationsfund
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
