Netværksudstyrets egen sikkerhed gennemgås på fire punkter: firmwareversion og support, konti og adgang, standardopsætning og hærdning samt logning af administrationen. Det er udstyr, der står i årevis uden at blive set på, fordi det virker.
Gennemgangen handler om selve boksen. Hvilken trafik den lader passere, er et andet kontrolpunkt, beskrevet i firewallens regelsæt.
Firmware og support
I staten omfatter kravet til interne it-systemer bl.a. firewalls, mail- og navneservere, softwareudrulning og systemer til styring af privilegerede adgange. For enheder, hvor producenten udsender sikkerhedsopdateringer til firmware, er firmwareopdatering med i kravet. Software på internetvendte tjenester, herunder firewalls, skal være under aktiv support.
SAMSIK anbefaler i “Cyberforsvar der virker”, at firmware på netværksudstyr opdateres, når leverandøren frigiver nye versioner, og at det sker efter en fastlagt proces med frister.
Kontrolpunktet er derfor tredelt:
- Hvilken version kører på hver enhed?
- Er versionen den nyeste, producenten har udsendt til den model, eller er der en begrundelse for at vente?
- Er modellen stadig under producentens support?
Udtrækket er en liste over enheder med model, serienummer, firmwareversion og dato for seneste opdatering. Mange styringssystemer kan trække den direkte. Findes der ikke et, kan versionen læses på hver enhed med dens indbyggede visningskommando.
Statens krav binder kun myndigheder. Andre kan vælge at bruge dem som facitliste.
Konti og administrationsadgang
Her ser gennemgangen på:
- hvilke lokale konti der findes på enheden, og om de er personlige
- om login sker mod et centralt katalog, så fratrådte mister adgangen ét sted
- om fabrikkens standardkonti og standardadgangskoder er ændret eller slået fra
- hvorfra enhedens administrationsflade kan nås
Standardadgangskoderne er et kendt hul. SAMSIK’s OT-guide skriver det direkte: skift standard-passwords. For netværksudstyr generelt har vi ingen læst kilde, der siger det med samme ord, men det følger af kravet om hærdning nedenfor. Det er god praksis og ikke et selvstændigt krav.
Hvorfra administrationsfladen kan nås, er et kontrolpunkt for sig, gennemgået i administrationsflader, der kan nås fra brugernettet.
Hærdning og sessioner
For finansielle enheder stiller DORA-standarden (2024/1774) krav om en sikker konfigurationsstandard for alle netværkskomponenter og hærdning af netværk og udstyr efter leverandørens instruktioner, standarder og førende praksis (artikel 13, litra k). Den kræver også, at system- og fjernsessioner begrænses, låses og afsluttes efter inaktivitet (litra l). Andre virksomheder er ikke bundet af den.
Forordning 2024/2690 formulerer det bredere i sit bilag. Sikre konfigurationer af hardware, software, tjenester og net fastlægges, håndhæves og gennemgås med planlagte mellemrum (punkt 6.3). Det er bindende for en udvalgt gruppe tjenesteudbydere. Andre kan låne punktet som rettesnor.
I praksis betyder hærdning af netværksudstyr fx, at ubrugte tjenester på selve enheden er slået fra, at administration sker over krypterede protokoller, at ubrugte porte er lukket, og at tidsgrænsen for inaktive sessioner er sat. Producenternes egne hærdningsvejledninger er den nærmeste målestok. Den konkrete liste afhænger af model og bør tage udgangspunkt i producentens vejledning.
Logning af administrationen
Bilaget til 2024/2690 nævner logning af adgang til og brug af netudstyr (punkt 3.2.3, litra j). SAMSIK anbefaler, at routere, der kan blokere trafik, logger, hvordan trafikken håndteres.
For gennemgangen er to spørgsmål vigtige. Sendes enhedens log til et centralt sted, hvor den ikke kan slettes fra enheden selv? Og viser loggen, hvem der loggede på, og hvilke ændringer der blev gjort?
Konfigurationen som bevis
Det enkleste bevis er den gemte konfiguration fra hver enhed, taget på samme dag. Den viser konti, tjenester, sessionsgrænser og logmål i én fil. Sammenholdt med en standard for modellen viser den afvigelserne direkte. Gemte konfigurationer er også det, der skal til for at genetablere en enhed. Det kontrolpunkt står i backup af konfigurationer.
Det kan driften selv
Listen over udstyr og firmware er driftens egen. Lav den en gang, og hold den ved lige, når udstyr skiftes. Notér samtidig, hvornår producenten stopper supporten for hver model, så udskiftningen kan planlægges, før datoen nås. Log på hver enhed med en personlig konto, og se, hvilke lokale konti der står der. Slet dem, der ikke bruges.
Gem konfigurationen fra hver enhed et fast sted. Sammenlignes den med sidste gemte udgave, ses ændringer, ingen har meldt. Det er en enkel kontrol, der ikke kræver andet end de filer, I allerede har.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over enhederne og en gemt konfiguration fra hver. Begge dele kan driften trække selv. Det tager længst at finde de enheder, ingen har på listen, fx en switch i et mødelokale eller en router fra en tidligere leverandør.
Netværksudstyr uden support får ingen rettelser. Udstyr med fabrikkens adgangskode kan administreres af alle, der kender modellen. Og udstyr uden central log kan ændres, uden at nogen opdager det.
Det skal I lade være med
- At lade en kørende enhed være, fordi den virker · firmware og support skal stadig kontrolleres.
- At dele én lokal administratorkonto mellem hele driften · den viser ikke, hvem der gjorde hvad.
- At lade loggen blive på enheden · den kan slettes af den, der ændrede noget.
Det skal gennemgangen kunne vise
- ☐ En liste over alt netværksudstyr med model, firmwareversion og supportstatus.
- ☐ Ændrede eller deaktiverede standardkonti på alle enheder.
- ☐ En sikker konfigurationsstandard pr. model og afvigelserne fra den.
- ☐ Tidsgrænse for inaktive administrationssessioner.
- ☐ Central opsamling af enhedernes log.
Kilder
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 3.9 og 3.10, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 13, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 3.2.3 og 6.3, læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker (juli 2023), område 1, læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar (januar 2023), læst 13. november 2026.
- SAMSIK, Beskyttelse af OT, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk en liste over alt netværksudstyr med firmwareversion, og slå supportstatus op for hver model.
Læs også: Kantudstyr først · Udgåede systemer
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
