Skal I vælge, hvem der gennemgår jeres opsætning, er det vigtigste spørgsmål, om vedkommende kan læse et regelsæt, en politik og en log og forstå dem i sammenhæng. Et værktøj kan måle mod en benchmark, men det kræver erfaring med drift at se, hvilke afvigelser der betyder noget, og at forklare dem, så driften kan rette dem.
De spørgsmål, der følger, bygger på NIST’s beskrivelse af de færdigheder, gennemgangsteknikkerne kræver. De er et udgangspunkt for samtalen før valget.
Hvad NIST siger om færdighederne
NIST’s vejledning fra 2008 har en tabel over de grundlæggende færdigheder, hver gennemgangsteknik kræver (SP 800-115, tabel 3-2). Tabellen er forskudt i den udgave, vi har læst, så parringen mellem teknik og færdighed er læst ud fra rækkefølgen ⚠. Med det forbehold siger den:
- Dokumentgennemgang · Generel sikkerhedsviden set fra politikkens side
- Loggennemgang · Kendskab til logformater og evne til at fortolke og analysere logdata, også med automatiske værktøjer
- Regelsætsgennemgang · Kendskab til formater for regelsæt og evne til at sammenholde og analysere regelsæt fra forskellige enheder
- Konfigurationsgennemgang · Viden om sikker opsætning, herunder hærdning og sikkerhedspolitik for flere styresystemer, og evne til at bruge automatiske værktøjer til konfigurationstest
I afsnit 6.4.1 skriver NIST om valget af den, der vurderer. Der kræves bred viden om net, firewalls, systemer til at opdage indtrængen, styresystemer, programmering og protokoller. Driftserfaring foretrækkes frem for undervisning eller laboratorietræning. Og den, der vurderer, skal kunne formidle skriftligt til læsere, der er mindre tekniske. For særlige systemer, fx styringsanlæg, kan der være brug for en fagekspert.
Spørgsmål, der skiller
Spørgsmålene er sitets forslag. De er bygget, så svaret viser, om vedkommende kan læse en opsætning, ikke kun køre et værktøj.
Om regelsæt
- Hvordan læser du et regelsæt fra en firewall, og hvad ser du efter ud over åbne porte?
- Hvordan sammenholder du regler fra flere enheder, fx en ydre og en indre firewall?
Om politikker og effektive indstillinger
- Hvordan finder du ud af, om en politik faktisk gælder på maskinerne?
- Hvad gør du, når en indstilling afviger på nogle maskiner og ikke på andre?
Om logs
- Hvilke logkilder vil du bede om, og hvad vil du bruge dem til?
- Hvordan ser du, om logningen har været slået fra i en periode?
Om værktøjer
- Hvad viser dit måleværktøj ikke, og hvordan dækker du det?
- Hvordan vurderer du, om værktøjets risikoniveau passer til vores miljø?
Om formidling
- Kan vi se et anonymiseret eksempel på et fund, som det står i en rapport?
- Hvordan skriver du et fund, så driften selv kan kontrollere rettelsen?
Gode svar er konkrete. De nævner, hvad der læses, hvordan det sammenholdes, og hvad der kan gå galt. Svar, der kun nævner værktøjets navn, er et tegn på, at værktøjet gør arbejdet.
Uafhængighed
NIST nævner interessekonflikt, fx når én person både gennemgår og er ansvarlig for at rette fundene (afsnit 6.4.1). Det taler for, at den, der byggede opsætningen, ikke gennemgår den alene. Eksterne giver efter NIST et uafhængigt syn, men adgang for udefrakommende kan også give ekstra risiko.
For de udbydere, som forordning 2024/2690 omfatter, skal den uafhængige gennemgang laves af personer med passende auditkompetence (bilaget, punkt 2.3.2). Hvad passende kompetence er, siger forordningen ikke. For andre virksomheder er punktet en målestok.
Spørg derfor også, om vedkommende har interesser i bestemte produkter eller leverandører. En uvildig og uafhængig gennemgang uden forhandleraftaler giver fund, der ikke peger mod et bestemt produkt.
Tillid og håndtering af data
NIST anbefaler, at eksterne undersøges for færdigheder, erfaring og integritet, at de følger organisationens politikker, har skriftlig bemyndigelse og underskriver fortrolighedsaftaler, og at de beskytter data, også ved håndtering, overførsel, opbevaring og sletning af alt indsamlet materiale og rapporter (afsnit 6.4.1). Spørg, hvordan udtrækkene opbevares, og hvornår de slettes. Bed også om at se, hvordan sletningen bekræftes, når rapporten er afleveret.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen i driften deltager i samtalen før valget og stiller de tekniske spørgsmål. Det er driften, der bagefter skal arbejde med fundene, og det er driften, der bedst kan høre, om svarene holder.
Vælges den, der gennemgår, alene på papir, kan I få en rapport, der gengiver værktøjets output. Den ser grundig ud, men den skiller ikke det vigtige fra det ligegyldige, og driften bruger tiden forkert.
Det skal I lade være med
- At vælge ud fra værktøjet · det er læsningen af resultatet, der tæller.
- At lade den, der byggede opsætningen, gennemgå den alene · det er en interessekonflikt.
- At glemme at spørge til håndtering af udtrækkene · de er følsomme.
Det skal gennemgangen kunne vise
- ☐ En beskrivelse af metoden, der viser, hvad der læses i hånden, og hvad der måles automatisk.
- ☐ Fund formuleret, så driften kan kontrollere rettelsen.
- ☐ En aftale om håndtering og sletning af udtræk.
- ☐ En erklæring om uafhængighed af produkter og leverandører.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, tabel 3-2 og afsnit 6.4.1, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 2.3.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv tre af spørgsmålene ned, og stil dem til de kandidater, I overvejer, med en fra driften til stede.
Læs også: Forløbet fra første møde til rapport · Konfigurationsudtræk hos auditoren
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
