IT-sikkerhed i praksis: sådan finder du det rigtige niveau

Udgangspunktet: Du skal ikke have maksimal IT-sikkerhed – du skal have nok

Hvad er det egentlig, du prøver at løse, når du arbejder med IT-sikkerhed? Det er sjældent at nå et ideelt, teoretisk maksimum. Det handler om at få tilstrækkelig sikkerhed til din forretning – uden at bruge unødige penge eller gøre hverdagen umulig for brugerne.

Det “rigtige niveau” af IT-sikkerhed er dér, hvor:

• de væsentligste risici er håndteret på et niveau, du kan leve med
• de vigtigste krav (kunder, lovgivning, standarder) er opfyldt
• omkostninger og besvær ved kontrollerne står rimeligt mål med den risiko, de reducerer.

For at lande dét punkt, skal du kende forskel på fire centrale begreber:

• Risikovurdering: Den systematiske analyse af hvad der kan gå galt, hvor sandsynligt det er, og hvad konsekvensen vil være.
• Risikostyring: De valg du træffer på baggrund af risikovurderingen: acceptere, reducere, overføre (fx forsikring/kontrakt) eller helt undgå en risiko.
• Kontroller: De konkrete tekniske og organisatoriske tiltag, der reducerer risikoen – fx backup, adgangsstyring, træning, processer.
• Compliance: At kunne dokumentere, at du lever op til eksterne krav som GDPR, NIS2 eller ISO 27001.

Mange virksomheder starter med kontroller eller compliance, før de har styr på risikovurdering og risikostyring. Resultatet er ofte dyre løsninger, der ikke adresserer de vigtigste problemer. Omvendt kan en simpel, men ærlig risikovurdering være nok til at finde et fornuftigt, begrundet sikkerhedsniveau.

En risikovurdering, der faktisk kan bruges i ledelsen

En risikovurdering skal ikke være en akademisk øvelse. Den skal give dig et prioriteret overblik, som ledelsen kan bruge til at træffe beslutninger om niveau og investeringer. En praktisk tilgang kan deles i fem trin.

Trin 1: Kortlæg de vigtigste aktiver

Start med det, der betyder mest for driften og forretningen:

• Forretningskritiske systemer (ERP, løn, CRM, produktionssystemer, webshop osv.)
• Data, der vil gøre ondt at miste, få lækket eller få ændret (kundedata, persondata, IP, økonomidata)
• Afgørende afhængigheder (netværk, cloud-leverandører, nøgleleverandører, integrationer).

Det er her, en enkel form for data- og systemklassifikation gør en stor forskel. Har du ikke det på plads, kan guides om praktisk data governance og kortlægning af systemlandskab være en god genvej til et overblik.

Trin 2: Identificer relevante trusler

For hvert vigtigt aktiv spørger du: “Hvad kan realistisk gå galt her?” Typiske trusler er fx:

• Ransomware og anden malware
• Phishing og social engineering
• Tekniske fejl, nedbrud eller leverandørsvigt
• Fejl hos medarbejdere (forkert modtager, sletning, forkert konfiguration)
• Fysisk tyveri eller tab af enheder.

Pointen er ikke at lave en fuldstændig trusselsencyklopædi, men at få de væsentlige scenarier frem, hvor både forretning og omdømme reelt er i risiko.

Trin 3: Find de vigtigste sårbarheder

En trussel bliver først til en reel risiko, når den møder en sårbarhed. Sårbarheder kan være:

• Manglende opdateringer eller forældede systemer
• Svage adgangskoder eller manglende multifaktorgodkendelse (MFA)
• Ingen eller svag backup
• Ingen logning eller overvågning
• Manglende træning og uklare processer.

Her er det ofte nok med en kombination af interviews med nøglepersoner, gennemgang af konfiguration på udvalgte systemer og et enkelt spørgeskema til relevante teams.

Trin 4: Vurder sandsynlighed og konsekvens

For hver kombination af aktiv, trussel og sårbarhed vurderer du:

• Sandsynlighed: Hvor ofte forventer vi, at dette scenarie kan ske, givet den måde vi arbejder på i dag?
• Konsekvens: Hvad vil det koste i praksis – i driftstab, ekstraomkostninger, tabt omsætning, bøder og omdømmeskade?

Du behøver ikke komplekse modeller. En simpel skala med fx “lav”, “middel”, “høj” på både sandsynlighed og konsekvens gør det muligt at beregne en samlet risikoscore og sammenligne risici på tværs.

Trin 5: Prioritér og omsæt til en handleplan

Risikovurderingen bliver først værdifuld, når du får en prioriteret liste over de største risici og foreslåede tiltag for hver. Et konkret output kan være en tabel med:

Herfra handler risikostyring om at beslutte, hvilke risici I vil reducere nu, hvilke I kan leve med midlertidigt, og hvilke der kræver større strategiske beslutninger. En enkel beslutningsskabelon kan hjælpe med at gøre de valg mere gennemsigtige.

Fra analyse til handling: kontroller der giver mest sikkerhed for pengene

Når du kender de væsentligste risici, skal de omsættes til konkrete kontroller. Her er det afgørende ikke bare at købe mere teknologi, men at vælge de tiltag, der reducerer mest risiko pr. krone og pr. time.

Centrale kontrolområder – og hvornår de batter mest

På tværs af brancher går de samme typer kontroller igen. De giver typisk god effekt i forhold til omkostningen, især for små og mellemstore virksomheder:

• Adgangsstyring og MFA
  Stram styring af, hvem der har adgang til hvad, og krav om multifaktorgodkendelse på kritiske systemer. Det adresserer mange af de mest almindelige angrebsscenarier med stjålne eller gættede adgangskoder.
• Backup og gendannelse
  Regelmæssig, testet backup af kritiske systemer og data, adskilt fra det primære miljø. Det er din forsikring, når noget endelig går galt – uanset om det er ransomware, fejl eller hardwarehavari.
• Opdateringer og patch management
  Systematisk opdatering af operativsystemer, applikationer og udstyr. Mange angreb udnytter kendte sårbarheder, der allerede findes patches til.
• End point-sikkerhed og netværksbeskyttelse
  Antivirus/EDR på enheder og fornuftigt konfigureret firewall. Ikke revolutionerende, men stadig et nødvendigt grundlag.
• Awareness og træning
  Kort, målrettet træning af medarbejdere i phishing, databehandling og håndtering af mistænkelige hændelser. Det reducerer både sandsynligheden for fejl og øger chancen for tidlig opdagelse.
• Krav til leverandører
  Sikkerhedskrav i kontrakter, opfølgning på kritiske leverandører og klarhed om, hvem der gør hvad ved hændelser. Det er ofte her, nogle af de største og mindst synlige risici ligger.
• Sikker håndtering af enheder
  Kryptering af bærbare, mobil device management, retningslinjer for brug af private enheder. Små tiltag, der forhindrer, at et tabt device bliver til et databrud.

Prioriteringen bør ske direkte ud fra risikovurderingen: Hvor ser du størst kombination af høj sandsynlighed og høj konsekvens? Det er dér, du skal starte – ikke nødvendigvis dér, hvor leverandørernes brochurer ser mest imponerende ud.

Økonomien: mest IT-sikkerhed for pengene

De fleste ledelser vil gerne styrke sikkerheden. Udfordringen er at gøre det på en måde, hvor udgifterne står mål med den risiko, du reducerer. Her er du nødt til at kombinere risikovurderingen med en enkel økonomisk logik.

Tænk i risiko vs. omkostning, ikke i “flere kontroller”

For hver foreslået kontrol bør du som minimum kunne svare på tre spørgsmål:

• Hvilken konkret risiko adresserer tiltaget?
• Hvor meget forventer vi, at det reducerer sandsynlighed eller konsekvens?
• Hvad koster det – i licenser, tid til implementering og løbende drift?

Hvis omkostningen overstiger den sandsynlige gevinst (reduceret forventet tab), bør du overveje et andet tiltag eller acceptere en højere risiko. Har du brug for inspiration til simple regneeksempler, kan indhold under beregningseksempel og investeringscases være en hjælp til at sætte tal på.

Risikoappetit: hvor meget usikkerhed kan I leve med?

Risikoappetit er ledelsens accept af, hvor stor risiko virksomheden er villig til at leve med, før der skal handles. Den bør være eksplicit, fx:

• “Vi accepterer ikke risici, der kan stoppe omsætningen mere end én dag.”
• “Vi accepterer ikke risici, hvor vi potentielt bryder lovgivningen.”
• “Vi accepterer visse datalæk af ukritiske interne data, hvis det er meget dyrt at forhindre dem helt.”

Når risikoappetitten er tydelig, bliver det lettere at vælge, hvilke kontroller der er nødvendige, og hvilke der er “nice to have”. Det hjælper også i budgetdiskussioner, hvor IT-sikkerhed skal prioriteres op imod andre investeringer. Her kan det være nyttigt at lade dig inspirere af principperne i fx budgetter med flere facit, hvor du arbejder med minimum, realistisk og ambitiøst niveau.

Tre praktiske sikkerhedsniveauer: minimum, baseline og moden praksis

For at gøre det mere håndgribeligt kan du tænke i tre overordnede niveauer. De er ikke en officiel standard, men et praktisk sprog, som både IT og ledelse kan bruge.

1. Minimumsniveau – det absolut nødvendige

Minimumsniveauet handler om at reducere de mest oplagte risici og undgå de værste scenarier. Typisk indebærer det:

• Grundlæggende antivirus/EDR og firewall
• Regelmæssige sikkerhedsopdateringer
• Backup af kritiske data (men måske ikke fuldt testet gendannelse)
• Simpele adgangspolitikker og nogenlunde stærke adgangskoder.

Det kan være nok for meget små virksomheder med få systemer og lav regulatorisk eksponering, men vil ofte være utilstrækkeligt, hvis I håndterer persondata, større omsætning eller er afhængige af kompleks IT-drift.

2. Etableret baseline – et niveau, de fleste bør sigte efter

En etableret baseline er der, hvor mange danske virksomheder realistisk bør lande. Her har du typisk:

• MFA på kritiske systemer og følsomme konti
• Struktureret patch management og sårbarhedshåndtering
• Segmenteret netværk og styr på adgange
• Velafprøvet backup og dokumenteret gendannelsesprocedure
• Regelmæssig awareness-træning og klare retningslinjer for medarbejdere
• Dokumenterede krav til kritiske leverandører og en simpel beredskabsplan.

Det er ofte her, risikovurdering, økonomi og compliance kan bringes på fornuftig linje uden at gøre organisationen helt sikkerhedscentrisk.

3. Moden praksis – når krav, kompleksitet eller eksponering er høj

Moden praksis giver mening, når I har høj kompleksitet, stærke regulatoriske krav eller er kritisk leverandør til andre. Her ser man ofte:

• Formel styringsramme (fx baseret på ISO 27001) med politikker, kontroller og audits
• Avanceret overvågning, loganalyse og incident response-processer
• Systematiske øvelser (tabletop, tekniske tests, red teaming)
• Struktureret leverandørstyring og kontrakter med detaljerede sikkerhedskrav
• Tæt kobling mellem forretningsstrategi, risikostyring og sikkerhedsinvesteringer.

Det niveau kræver ofte dedikerede ressourcer og en anden modenhed i organisationens governance. For nogle virksomheder bliver det først relevant, når fx NIS2, DORA eller store kundekrav presser opadgående.

Hvor ofte skal du opdatere risikovurdering og sikkerhedsniveau?

IT-sikkerhed er en løbende proces, ikke et projekt med en slutdato. Alligevel giver det mening at skelne mellem:

• Løbende opdatering: Når der sker væsentlige ændringer i systemlandskab, leverandører, produkter eller organisation, bør du kort genåbne relevante dele af risikovurderingen.
• Regelmæssig tilbagekobling: Kvartalsvise eller halvårlige møder, hvor hændelser, nye trusler og opdateringer fra leverandører bruges til at justere konkrete kontroller.
• Årligt strategisk genbesøg: En gang om året bør ledelsen kigge samlet på risikoappetit, væsentlige risici, sikkerhedsniveau og større investeringer.

Nogle kilder anbefaler årlig risikovurdering, andre hyppigere. I praksis handler frekvens mindre om “rigtigt” eller “forkert” og mere om, hvor meget din forretning og dit systemlandskab ændrer sig. Hurtigt voksende eller stærkt digitaliserede virksomheder vil typisk have behov for kortere cyklusser.

Typiske fejl: for meget eller for lidt sikkerhed

Når man kigger på tværs af virksomheder, går de samme faldgruber igen. De handler sjældent om manglende teknologi, men om beslutninger og forankring.

For meget sikkerhed – men de forkerte steder

• Overinvestering i teknologi: Dyrt udstyr og avancerede løsninger, mens basics som backup, opdateringer og træning halter.
• Urealistiske processer: Policies og procedurer, som ingen efterlever, fordi de ikke passer til hverdagen.
• Ingen kobling til forretning: Kontroller, der beskytter alt lige meget – også systemer og data, der ikke er specielt vigtige.

For lidt sikkerhed – på de mest kritiske områder

• Manglende ledelsesforankring: IT-sikkerhed ses som et teknisk anliggende, ikke som en del af risikostyring og strategi.
• Uklar risikoappetit: Ingen fælles forståelse af, hvor meget risiko man er villig til at tage. Det gør det svært at prioritere.
• Svag leverandørstyring: Ingen reelle krav til dem, der driver kritiske systemer eller håndterer følsomme data på dine vegne.
• Manglende dokumentation og opfølgning: Man har “gjort en masse”, men kan ikke vise, hvad man har besluttet, eller om det stadig virker.

En simpel, ærlig gap-analyse mellem nuværende praksis og ønsket sikkerhedsniveau kan ofte afsløre, hvor I enten overgør eller undervurderer sikkerheden. Hvis du arbejder med NIS2, kan metoderne i fx en hurtig NIS2-gap-analyse overføres til generel IT-sikkerhed.

Koblingen til GDPR, NIS2 og ISO 27001

Mange oplever compliance-kravene som et separat spor ved siden af den praktiske IT-sikkerhed. I praksis er de tæt forbundne – og risikovurderingen er fælles fundament.

• GDPR kræver passende sikkerhed for persondata og dokumentation af de foranstaltninger, du har valgt. Risikovurderingen er det sted, hvor du argumenterer for, hvad “passende” betyder i din kontekst.
• NIS2 stiller krav til risikostyring, beredskab og dokumentation for udvalgte sektorer og virksomheder. Igen er en struktureret risikovurdering og styring af kontroller det, der gør det muligt at efterleve kravene uden panik. Se fx perspektiverne i NIS2 og bedre beslutninger.
• ISO 27001 er en standard for et ledelsessystem for informationssikkerhed. Den kræver, at du både har styr på risikovurderingsprocessen, på valgte kontroller og på løbende forbedring.

Hvis du starter med compliance-paragraffer og spørgeskemaer, bliver arbejdet hurtigt tungt og løsrevet fra virkeligheden. Starter du med en praktisk risikovurdering og en klar forankring i forretning og økonomi, bliver GDPR, NIS2 og ISO 27001 mere et spørgsmål om struktur og dokumentation af det, du alligevel beslutter at gøre.

Sådan kommer du videre – uden at gøre det større end nødvendigt

Hvis du skal omsætte alt dette til næste konkrete skridt, kan du tænke i tre enkle faser:

• 1. Få et overblik
  Skitsér de vigtigste systemer, data og leverandører. Notér 5-10 risici, der umiddelbart virker mest kritiske. Brug eventuelt inspiration fra kategorien om cyber- og informationssikkerhed til at kvalificere billedet.
• 2. Prioritér og vælg niveau
  Vurdér sandsynlighed og konsekvens for de væsentligste risici, og tag en ledelsesdiskussion om risikoappetit. Beslut, om I sigter efter minimum, baseline eller et mere modent niveau – og på hvilke områder.
• 3. Lav en enkel plan med økonomi
  Udvælg 3-7 kontroller, der giver mest reduktion af risiko pr. krone og pr. implementeringstime. Sæt økonomi og ansvar på, og planlæg opfølgning. Brug fx principper for validering af business cases, så sikkerhedsinvesteringer vurderes lige så nøgternt som andre projekter.

Det rigtige niveau af IT-sikkerhed er ikke statisk og ikke perfekt. Det er et bevidst valg, der løbende skal justeres. Med en pragmatisk risikovurdering, tydelig risikoappetit og enkel økonomisk prioritering står du markant stærkere, end mange der køber endnu et sikkerhedsprodukt og håber, det var det.