De fleste fund fra en teknisk gennemgang kan rettes uden risiko. Men nogle stramninger kan stoppe et gammelt system, hvis de slås til overalt på én gang: en gammel protokol, der lukkes, en krypteringsindstilling, der skærpes, eller en regel, der fjernes fra firewallen. De skal indføres i trin med måling før, test, gradvis udrulning og en plan for at rulle tilbage.
Fremgangsmåden er ikke ny. Den er den almindelige ændringsstyring brugt på de rettelser, hvor risikoen for driften er størst.
Hvad målestokkene siger
Hos de omfattede enheder dækker ændringsprocedurerne efter punkt 6.4.2 i bilaget til forordning 2024/2690 udgivelser, ændringer, nødændringer og konfigurationsændringer. Ændringer dokumenteres og testes og vurderes i lyset af de potentielle virkninger, inden de gennemføres. Punkt 6.4.3 beder om, at nødændringer uden normal procedure dokumenteres med begrundelse. Punkt 6.6.1, litra b, beder om, at sikkerhedsopdateringer testes før produktion.
DORA’s tekniske standard, artikel 17, kræver for finansielle enheder, at ændringsprocedurerne angiver nødprocedurer og ansvar, også for at afbryde en ændring eller genoprette efter en ændring, der ikke lykkedes. Standarden kræver også, at den, der godkender en ændring, er uafhængig af den, der gennemfører den.
NIST SP 800-115 fra 2008 anbefaler at teste afhjælpningen på testsystemer, der efterligner produktionsnettet, før ændringer i produktion. NIST tilføjer, at det mindsker risikoen, men ikke fjerner den. Den britiske NCSC skriver for internetvendte og interne tjenester, at opdateringer installeres i et testmiljø eller på en backup først. SAMSIK’s Cyberforsvar der virker anbefaler opdatering efter en fastlagt proces, så kompatibilitetsproblemer afdækkes, før ændringen kommer i produktion.
SAMSIK’s guide Beskyttelse af OT fra 2026 skriver, at det kan være en god idé at teste ændringer og have en rollback-plan klar for at holde driften stabil i OT-systemer. Anbefalingen står i en guide om OT. At bruge den på stramninger i det almindelige IT-miljø er sitets tolkning, men tanken passer.
Først måle, så stramme
Den vigtigste del sker, før noget ændres. Mål, hvem og hvad der bruger det, I vil slå fra. Skal en gammel protokol lukkes, så slå logning af brugen til og lad den køre en periode. Skal en firewallregel fjernes, så se i loggen, om den har ramt trafik. Målingen viser, hvilke systemer der vil holde op med at virke, og giver en liste over dem, der skal rettes først.
Et tænkt eksempel: logningen viser, at en gammel godkendelsesprotokol stadig bruges af to printere og et fagsystem. Så er planen klar. Printerne og fagsystemet opdateres eller omkonfigureres, målingen gentages, og først når den er tom, slås protokollen fra.
Test og trinvis udrulning
Når målingen er gjort, testes ændringen. Har I et testmiljø, der ligner produktionen, testes den dér. Har I ikke, kan den første gruppe i produktionen fungere som test: en lille gruppe maskiner eller brugere, der kender til ændringen og kan melde fejl.
Derefter rulles ændringen ud i trin. Hvert trin har en gruppe, en dato og en kontrol bagefter. Mange indstillinger kan i første omgang sættes i en tilstand, hvor de kun logger, hvad de ville have blokeret. Det er en mild form for test, der viser virkningen uden at stoppe noget.
Planen for tilbagerulning
Før hvert trin skrives det ned, hvordan ændringen fortrydes, og hvem der beslutter det. Planen skal være konkret: hvilken indstilling sættes tilbage, hvor, og hvor lang tid tager det. Den skal være testet, hvis det er muligt. En plan, der aldrig er prøvet, viser sig ofte at mangle et trin.
DORA’s krav om procedurer for at afbryde en ændring og genoprette efter en mislykket ændring er en god målestok også uden for den finansielle sektor.
Hvem godkender
DORA’s krav om, at den, der godkender en ændring, er uafhængig af den, der gennemfører den, gælder kun finansielle enheder. Men tanken er nyttig i alle virksomheder, når en stramning kan stoppe noget for forretningen. Den, der godkender, bør kende både fundet og de systemer, målingen pegede på, og kunne tage stilling til, hvornår ændringen generer mindst. I en lille drift kan det være IT-chefen, der godkender det, en tekniker har forberedt.
Dokumentationen
Hver ændring dokumenteres i den almindelige ændringsproces: hvad ændres, hvorfor (med henvisning til fundet), resultat af målingen, testresultat, trin og datoer, plan for tilbagerulning og godkendelse. Dokumentationen er samtidig beviset for den opfølgende gennemgang. Den viser, at fundet er rettet, og hvordan.
Hvad det kræver, og hvad det koster at lade være
Fremgangsmåden kræver tid til måling og trin, som en hurtig rettelse ikke ville tage. For de fleste fund er det ikke nødvendigt. For de få, der kan stoppe noget, er det den tid, der gør rettelsen mulig.
Uden fremgangsmåden ender stramningen ofte på én af to måder. Enten slås den til, noget stopper, og den rulles tilbage i hast og bliver aldrig forsøgt igen. Eller den bliver aldrig slået til, fordi ingen tør. I begge tilfælde står fundet åbent.
Det skal I lade være med
- At slå en stramning til overalt på én gang · tag en lille gruppe først.
- At ændre uden at måle brugen · målingen viser, hvad der vil stoppe.
- At skrive tilbagerulningen efter ændringen · den skal ligge klar før.
Det skal gennemgangen kunne vise
- ☐ En måling af brugen før stramningen.
- ☐ Testresultat og trin med grupper og datoer.
- ☐ En skrevet plan for tilbagerulning for hvert trin.
- ☐ Ændringsdokumentation med henvisning til fundet og godkendelse.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 6.4.2, 6.4.3 og 6.6.1, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 17, stk. 1, litra b og e, læst 13. november 2026.
- SAMSIK, Beskyttelse af OT (2026), s. 2, læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker, 4. udgave juli 2023, område 1, læst 13. november 2026.
- NIST SP 800-115, september 2008, afsnit 8.3, læst 13. november 2026.
- NCSC, Put in place a policy to update by default, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg den stramning fra jeres fundliste, I er mest nervøse for, og slå logning af brugen til i dag.
Læs også: Fra fundliste til plan · Ændringsloggen som bevis
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
