Vælg efter spørgsmålet. En sårbarhedsscanning fortæller, hvilke kendte svagheder der findes i de systemer, den når. En penetrationstest viser, om en angriber kan udnytte dem. En sikkerhedsaudit vurderer, om virksomheden styrer sin sikkerhed, så svaghederne bliver fundet og rettet.
De tre ydelser bliver ofte tilbudt i samme åndedrag, og nogle gange under samme navn. For en direktør eller bestyrelse er det svært at se, hvilken der passer. Den letteste vej er at formulere det spørgsmål, ledelsen vil have besvaret, og så vælge den metode, der faktisk kan svare på det.
Hvad hver af de tre er
Sårbarhedsscanning. Et værktøj søger automatisk efter kendte svagheder, fx manglende opdateringer eller åbne tjenester, og laver en liste. Det er en almindelig beskrivelse af metoden. NIST bruger det bredere begreb sårbarhedsvurdering om en systematisk undersøgelse af et system for at afgøre, om sikkerhedsforanstaltningerne er tilstrækkelige, og finde mangler.
Penetrationstest. NIST beskriver den som en testmetode, hvor testerne inden for de rammer, der er aftalt, prøver at komme uden om sikkerhedsfunktionerne i et system eller sætte dem ud af kraft. Testeren går længere end listen og prøver, om en svaghed kan bruges til at komme ind eller komme videre.
Sikkerhedsaudit. En systematisk og uafhængig gennemgang, hvor bevis vurderes mod aftalte kriterier. Den ser på politikker, ansvar, processer og praksis og kan bruge resultater fra scanninger og test som en del af beviset. Begrebet er forklaret i hvad er en sikkerhedsaudit.
Hvad hver kan konkludere
En scanning kan sige, at der på en given dag var et antal kendte svagheder i de systemer, værktøjet kunne se. Den kan ikke sige, om svaghederne betyder noget for netop jeres forretning, eller hvorfor de er der.
En penetrationstest kan sige, at en bestemt vej ind var åben, eller at testerne ikke fandt én inden for de aftalte rammer. Den kan ikke sige, at der ingen andre veje er, og den siger ikke meget om, hvordan virksomheden opdager og håndterer et angreb over tid.
En audit kan sige, om ansvar, processer og kontroller er på plads og fungerer, målt mod kriterierne. Den kan forklare, hvorfor svaghederne opstår, fx at ingen ejer opdateringerne, eller at gamle konti aldrig lukkes. Den kan ikke selv bevise, at et angreb ville mislykkes.
Fire tænkte spørgsmål, og hvilken metode der svarer
Eksemplerne er tænkte og viser logikken.
- “Har vi huller, vi ikke kender til, i det, der vender ud mod internettet?” Det spørgsmål svarer en scanning på.
- “Kan en udefrakommende komme ind til vores kundedata?” Det kræver en penetrationstest.
- “Har vi styr på sikkerheden, og kan vi vise det over for kunder og bestyrelse?” Det er en audit.
- “Hvorfor dukker de samme fund op hver gang?” Det er også en audit, fordi svaret som regel ligger i processerne.
Hvordan de supplerer hinanden
Metoderne udelukker ikke hinanden. En teknisk gennemgang kigger indefra på, hvordan systemerne er sat op. En penetrationstest angriber udefra og viser, hvad der kan udnyttes. De dækker hver sin side af samme sag.
En almindelig rækkefølge er, at auditten ser på, om virksomheden har en fast proces for scanning og test, og bruger de seneste resultater som bevis. Viser auditten, at der ikke er en sådan proces, er det et fund i sig selv. Mangler der viden om, hvordan systemerne faktisk er sat op, kan en teknisk gennemgang eller audit af styringen lægges før eller ved siden af.
De tekniske kontrolpunkter ét for ét, og hvordan de påvises, er emnet for en teknisk audit af systemerne. Hvordan en eksisterende testrapport bruges som bevis i en NIS2-audit, står i penetrationstest som bevis.
En note om kilderne
NIST’s tekniske vejledning SP 800-115 om sikkerhedstest og vurdering er fra september 2008. Den bruges her kun til at skelne mellem begreberne. Den beskriver tekniske teknikker og er efter egen beskrivelse ikke et komplet testprogram.
Hvad det kræver, og hvad det koster at lade være
Valget kræver, at ledelsen skriver det spørgsmål ned, den vil have svar på, og deler det med den, der skal udføre opgaven. Det tager et møde. En scanning lægger lidt beslag på jeres egne folk, en test mere, fordi rammerne skal aftales og nogen skal være klar, hvis noget går galt. En audit kræver dokumenter, adgang og interviews.
Vælges metoden efter vane eller pris, får I svar på et andet spørgsmål end det, I stillede. En lang liste fra en scanning kan give indtryk af styr på tingene uden at sige noget om, hvem der retter hullerne. En vellykket test kan give falsk tryghed, hvis ingen ser på, hvorfor hullet opstod.
Det skal I lade være med
- At købe en scanning og kalde den en audit · listen viser svagheder, ikke styring.
- At læse en test uden fund som bevis for sikkerhed · den dækker kun de rammer, der blev aftalt.
- At bestille alle tre uden et fælles spørgsmål · resultaterne bliver svære at samle.
Det skal auditten kunne vise
- ☐ Om der er en fast proces for scanning og test, og hvem der ejer den.
- ☐ De seneste resultater, og hvad der er gjort ved fundene.
- ☐ Hvordan valget af test hænger sammen med virksomhedens risici.
- ☐ Hvilke fund der går igen, og hvorfor.
Kilder
- NIST, Computer Security Resource Center, Glossary, “penetration testing”, https://csrc.nist.gov/glossary/term/penetration_testing, læst 12. november 2026.
- NIST, Computer Security Resource Center, Glossary, “vulnerability assessment”, https://csrc.nist.gov/glossary/term/vulnerability_assessment, læst 12. november 2026.
- NIST, SP 800-115, Technical Guide to Information Security Testing and Assessment (september 2008), https://csrc.nist.gov/pubs/sp/800/115/final, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad indgår i en sikkerhedsaudit · Hvad en sikkerhedsaudit ikke kan
→ Kontakt · Tlf. 70 13 63 23 · Teknisk gennemgang hos Nielco IT
