Er systemlisten forældet, eller findes den kun i nogens hoved, kan den bygges fra de systemer, der allerede ved, hvad der er på nettet. DHCP, DNS, kataloget, virtualiseringsplatformen og cloudmiljøernes API kender hver en del af miljøet, og når kilderne lægges ved siden af hinanden, viser forskellene de maskiner og tjenester, ingen længere ejer.
En gennemgang uden en systemliste kan ikke sige, om den har dækket det hele. Listen er derfor ofte det første, der skal på plads.
Hvorfor listen kommer først
Næsten alle andre kontrolpunkter forudsætter et overblik. Er alle servere med i backuppen? Bliver alle maskiner opdateret? Logger alle systemer? Uden en liste kan ingen af spørgsmålene besvares, kun for de maskiner, nogen husker.
Bilaget til forordning 2024/2690 forlanger af de omfattede udbydere en fortegnelse over aktiverne, der er fuldstændig, nøjagtig og ajourført, og hvor hver ændring kan spores (punkt 12.4.1). Fortegnelsen skal også revideres jævnligt med en historik, der er skrevet ned (punkt 12.4.3). Andre virksomheder kan bruge kravene som et billede af, hvad en god liste kan.
CIS Controls lægger overblikket over aktiver og software som kontrol 1 og 2 af 18. I Storbritannien beskriver Cyber Essentials, version 3.3 fra april 2026, styring af aktiver som noget, der ikke er en selvstændig kontrol, men som hjælper på alle fem og bør behandles som en kernefunktion.
Hvad hver kilde ser
NIST skriver i vejledningen fra 2008, at aktiver kan identificeres både teknisk og ikke-teknisk, fx ved fortegnelser eller en fysisk rundgang (SP 800-115, afsnit 2.2). Tabellen viser de tekniske kilder. Hvad hver kilde ser, er praksis.
- DHCP · Hvad den ser: Enheder, der har fået en adresse, med hardwareadresse og tidspunkt · Hvad den ikke ser: Enheder med fast adresse
- DNS · Hvad den ser: Navne, der peger på adresser, også gamle · Hvad den ikke ser: Om maskinen bag navnet stadig findes
- Katalog · Hvad den ser: Computerkonti og seneste login · Hvad den ikke ser: Maskiner uden for domænet, fx netværksudstyr og apparater
- Virtualiseringsplatform · Hvad den ser: Alle virtuelle maskiner, også slukkede · Hvad den ikke ser: Fysiske maskiner og cloud
- Cloudmiljøernes API · Hvad den ser: Ressourcer pr. abonnement eller konto · Hvad den ikke ser: Andre abonnementer, ingen kender til
- Styringsværktøjer · Hvad den ser: Maskiner, der rapporterer til dem · Hvad den ikke ser: Maskiner, der ikke er tilmeldt
Ingen af kilderne er fuldstændig alene. Det er pointen med at bruge flere.
Afstemningen
Fremgangsmåden er praksis. Den kan gøres i et regneark, men et script er bedre, fordi det kan gentages.
- Træk hver kilde. Gem rådata med tidspunkt.
- Find en fælles nøgle. Navn, adresse eller hardwareadresse. Ofte skal flere bruges, fordi kilderne ikke kender de samme felter.
- Læg kilderne sammen. Én række pr. enhed med en kolonne pr. kilde, der viser, om den kender enheden.
- Se på forskellene. De interessante rækker er dem, hvor kun én eller to kilder kender enheden.
Forskellene falder typisk i tre grupper:
- Spøgelser: navne i DNS eller konti i kataloget for maskiner, der ikke længere findes. De skal ryddes op, fordi de forvirrer og kan misbruges.
- Ukendte: enheder, der får adresse fra DHCP, men ikke findes i katalog eller styringsværktøj. Det kan være apparater, gæster eller maskiner, ingen har tilmeldt.
- Forældreløse: maskiner, der kører, men som ingen kan sige, hvem ejer. Det er dem, der aldrig bliver opdateret.
Ejerskab
En liste uden ejere er halvt færdig. For hver enhed bør der stå, hvem der ejer systemet forretningsmæssigt, og hvem der driver det teknisk. De forældreløse maskiner er dem, hvor ingen af de to felter kan udfyldes.
Det er almindelig praksis, at en maskine uden ejer får en frist. Findes der ikke en ejer inden fristen, slukkes den efter aftale og en periode med overvågning af, om nogen savner den. Hvordan overblikket over aktiver modnes over tid, er et andet emne end den tekniske opbygning.
Hold listen ajour
NIST skriver, at løbende overvågning kan opdage nye ukendte enheder på nettet, og at det kan gøre en periodisk kontrol mindre nødvendig (afsnit 6.2). Afstemningen kan derfor gøres fast: kør scriptet med faste mellemrum, og sammenlign med forrige kørsel. Nye enheder og forsvundne enheder er så det, der skal ses på.
Hvad det kræver, og hvad det koster at lade være
Det kræver læseadgang til de seks kilder, et script eller regneark til afstemningen og tid til at finde ejere. Første gang er der mange forskelle. Derefter er der få.
Uden en liste, der er afstemt mod systemerne, er resten af gennemgangen en gennemgang af det, I kender. Det, I ikke kender, er ofte det, der er sværest at forsvare.
Det skal I lade være med
- At bygge listen fra én kilde · ingen kilde ser det hele.
- At lade spøgelser blive stående i DNS og kataloget · de forvirrer og kan misbruges.
- At slukke en ukendt maskine uden varsel · aftal en frist og en periode med overvågning.
Det skal gennemgangen kunne vise
- ☐ Udtræk fra hver kilde med tidspunkt.
- ☐ En afstemt liste med en kolonne pr. kilde.
- ☐ Ejer og driftsansvarlig for hver enhed, eller en frist for at finde dem.
- ☐ Spor af, at afstemningen gentages, og at nye enheder bliver set på.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 12.4.1 og 12.4.3, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 2.2 og 6.2, læst 13. november 2026.
- CIS, CIS Critical Security Controls, liste over kontrollerne, læst 13. november 2026.
- NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3, april 2026, afsnit D, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk DHCP-tildelingerne og computerkontiene i kataloget, og find de enheder, der kun står i den ene.
Læs også: Scanningsdækning: afstem scannerens mål mod systemlisten · Udgåede systemer
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
