Et andet sikkerhedstjek et år efter det første bør begynde med de fund, der blev gjort sidst, og vise, hvad der er lukket, hvad der står åbent, og hvad der er kommet til. Det er sammenligningen, der gør det andet tjek værdifuldt, og den kræver, at områder, kriterier og skala er de samme som første gang.
Det første tjek gav et billede af, hvor virksomheden stod. Det andet viser, om den har flyttet sig. For ledelsen i en mindre virksomhed er det ofte første gang, det bliver synligt, om indsatsen efter tjekket har gjort en forskel. Emnet er metode, og fremgangsmåden nedenfor er praksis.
Hvad der sammenlignes
Ifølge sikkerdigital.dk bør planen for en audit tage afsæt i, hvad tidligere gennemgange fandt, og hvor langt rettelserne er nået. Det giver lige så god mening for et tjek. Det andet tjek har tre lag:
1. De gamle fund. For hvert fund fra første gang: Er det lukket, og kan det vises? Er det delvist løst? Står det uændret? Et fund er lukket, når det kan vises, at tilstanden er ændret, fx med en ny brugerliste, en ny opsætning eller en dokumenteret prøve på gendannelse. At nogen siger, det er gjort, er ikke nok.
2. De samme områder igen. De seks områder gennemgås på ny, også dem, hvor der ikke var fund. Noget, der var i orden for et år siden, kan have ændret sig. En ny medarbejder kan have fået for mange rettigheder, eller en ny cloudtjeneste kan være taget i brug uden to-faktor-login.
3. Det, der er nyt. Nye systemer, nye leverandører, nye medarbejdere, en ny fjernadgang. Her opstår nye fund let.
Den samme målestok
Sammenligningen holder kun, hvis målestokken er den samme. Det betyder:
- Samme områder. Er et område lagt til eller taget ud, står det tydeligt i rapporten.
- Samme kriterier. Blev der målt mod de ni nationale råd sidst, bør det samme ske igen, ellers bør ændringen forklares.
- Samme skala for alvor. Et fund, der var “middel” sidst, bør kunne sammenlignes med et “middel” i år.
Er det en anden, der laver det andet tjek, er det værd at give vedkommende den første rapport, så målestokken kan følges. Bruges en modenhedsvurdering, er det første resultat en baseline, man måler fremskridt imod. Den tankegang kan også bruges på tjekket.
Tænkt eksempel: Første år blev backuppen vurderet som et alvorligt fund, fordi gendannelse aldrig var prøvet. Andet år er der lavet én prøve, men kun på regnskabsdata. Med samme skala bliver fundet nu vurderet som middel, og rapporten kan vise præcis, hvad der mangler, før det kan lukkes. Uden den fælles skala ville det være svært at sige, om der var sket fremskridt.
Hvordan fremskridt vises
En enkel tabel i rapporten viser udviklingen:
- Tænkt eksempel: backup · Fund sidst: 2 · Lukket: 1 · Åbne: 1 · Nye: 0
Tallene tæller fund og giver ingen karakter. De viser, hvor der er sket noget, og hvor tingene står stille. Står det samme fund åbent for anden gang, er det et fund i sig selv, fordi det viser, at opfølgningen ikke virker. Det emne behandles i handlingsplanen er gået i stå.
Hvornår tjekket bør udvides
Det andet tjek er et naturligt tidspunkt at spørge, om tjekket stadig er den rigtige form. Fire tegn tyder på, at tiden er moden til en fuld audit. Tegnene er et forslag.
- Fundene i de seks områder er stort set lukket. Så er det tid til at se på det, tjekket ikke dækker, fx politikker, beredskab og leverandørstyring i dybden.
- Der er kommet krav udefra. En kunde, en forsikring eller en lov stiller krav, som et tjek ikke opfylder.
- Virksomheden er vokset. Flere systemer, lokationer eller leverandører gør seks områder for snævert.
- Ledelsen vil måle udviklingen over flere år. Så kræver det en mere omfattende målestok.
Valget mellem tjek og fuld audit er gennemgået i IT-sikkerhedstjek eller fuld audit. Skal udviklingen følges systematisk over flere år, er det modenhed, og det er emnet for sikkerhedsmodenhed målt over tid.
Hvornår det andet tjek bør ligge
Et år er et forslag. Er mange fund rettet hurtigt, kan det andet tjek lægges tidligere for at bekræfte det. Er der sket store ændringer, fx et skifte af IT-leverandør, er det et argument for at gøre det før.
Hvad det kræver, og hvad det koster at lade være
Det andet tjek kræver den første rapport, en opdateret liste over fund med status og bevis for det, der er lukket. Det kræver også, at virksomheden fortæller, hvad der er ændret siden sidst.
Uden et andet tjek ved virksomheden ikke, om indsatsen efter det første virkede. Rettelser, der aldrig blev kontrolleret, kan være gjort halvt, og nye svagheder vokser ind, uden at nogen ser dem. Det første tjek bliver så et øjebliksbillede, der langsomt bliver mindre sandt.
Det skal I lade være med
- At skifte målestok uden at sige det · så kan resultaterne ikke sammenlignes.
- At lukke fund på et mundtligt ja · et lukket fund bør kunne vises.
- At springe områder over, fordi de var i orden sidst · tingene ændrer sig.
Det skal auditten kunne vise
- ☐ Status for hvert fund fra første tjek med bevis for det, der er lukket.
- ☐ De samme områder, kriterier og skala som første gang, eller en forklaring på ændringen.
- ☐ Nye fund adskilt fra de gamle.
- ☐ En vurdering af, om tjekket bør udvides til en fuld audit.
Kilder
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Efter tjekket · Hvor ofte uden lovkrav
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
