Auditor beder om systemernes egne spor, fordi et spor viser, hvad der faktisk skete, og hvornår. En forklaring fra en medarbejder fortæller, hvordan arbejdet er tænkt, mens loggen viser, om det blev gjort den dag, det gjaldt.
Et spor er dog kun bevis, hvis det kan tåle at blive set efter i sømmene. Tre forhold afgør det: at tiden er rigtig, at kilden er kendt, og at ingen har kunnet ændre indholdet bagefter.
Audit log og audit trail: to ord for to ting
En audit log er den registrering, et system laver, når noget sker. Det kan være et login, en ny bruger, en udvidet rettighed eller en ændret opsætning. Hver linje er en hændelse med tid, handling og den konto, der stod bag.
Et audit trail, på dansk et ændringsspor, er rækken af registreringer, der tilsammen viser, hvad der skete med én bestemt ting. Det kan være en brugerkonto fra oprettelse til lukning eller en firewallregel fra ændringsanmodning til godkendt ændring. Sporet kan gå på tværs af flere systemer, fx sagssystemet, katalogtjenesten og selve firewallen. Forskellen er en forenkling, men den er nyttig i en audit, fordi auditor sjældent spørger til én linje. Spørgsmålet er som regel, om forløbet hænger sammen.
Hvorfor auditor foretrækker sporet
Standarderne for intern revision beskriver, hvornår en oplysning er pålidelig. Den er stærkere, når auditor selv har hentet den, når den kan bekræftes fra mere end én kilde, eller når den kommer fra et system, der selv har effektive kontroller. En log trukket direkte fra systemet opfylder ofte flere af de betingelser på én gang.
Et interview er stadig nyttigt. Det forklarer, hvorfor tingene er indrettet, som de er. Men et udsagn om, at alle ændringer godkendes, bliver først til bevis, når et udvalg af ændringer kan følges fra anmodning til godkendelse. Hvordan sådan et udvalg vælges, står i stikprøver i en audit.
Det, der gør et spor troværdigt
Tid. Skal logs fra flere systemer lægges sammen, skal klokkerne gå ens. Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger peger på synkroniseret tid i alle systemer, så logs kan holdes op mod hinanden. For de digitale enheder, som forordning 2024/2690 gælder for, er synkroniserede tidskilder et krav, i det omfang det er muligt.
Kilde. En kyndig læser skal kunne se, hvilket system beviset kommer fra, hvornår det er trukket, og hvilken periode det dækker. Det er standardernes eget eksempel på, hvordan en oplysning dokumenteres. Et regneark uden oplysninger om, hvor tallene kommer fra, er en påstand.
Beskyttelse mod ændring. Vejledningen kræver for NIS2-omfattede enheder, at logdata sikres mod manipulation og beskyttes mod uautoriseret adgang. Den anbefaler også, at logfiler opbevares og sikkerhedskopieres i en fastsat periode. Kan den, der administrerer systemet, også slette i loggen uden at det efterlader et spor, er loggen svag som bevis for netop den persons handlinger.
Hvilke spor en audit typisk beder om
Vejledningen nævner eksempler på, hvad der kan logges. Det omfatter oprettelse, ændring og sletning af brugere, udvidelse af rettigheder, privilegeret adgang, ændringer i kritiske konfigurations- og backupfiler, logs fra sikkerhedsværktøjer og fysisk adgang til lokalerne. Listen gælder NIS2-enheder, men den er en brugbar målestok for alle.
I de spørgsmål, Styrelsen for Samfundssikkerhed stillede kommunerne i maj 2026, spørges der til, om logfiler vedligeholdes, dokumenteres og analyseres, og om logdata er beskyttet mod manipulation. Skemaet er skrevet til kommuner, men spørgsmålene viser, hvad en myndighed lægger vægt på.
Hvilke felter og systemer der konkret bør logges, er et teknisk spørgsmål, som behandles under de tekniske kontrolpunkter. For NIS2-omfattede står kravene i logning og overvågning.
Når sporet ikke findes
Mangler loggen, eller er den overskrevet, kan auditor ikke efterprøve påstanden. Det fører typisk til et fund om manglende dokumentation, også selv om arbejdet måske er udført korrekt. Er I omfattet af NIS 2-loven, er manglende beskyttelse af logdata desuden et fund mod et krav i vejledningen. Hvordan fundet klassificeres, står i opfyldt, delvist opfyldt, ikke opfyldt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen har besluttet, hvilke hændelser der logges, hvor længe loggen gemmes, og hvem der kan ændre den. Tidskilden skal være den samme på tværs af systemerne. Før auditten er det en god idé at prøve at trække et spor selv, fx for en medarbejder, der er stoppet.
Uden brugbare spor bliver auditten bygget på interviews og dokumenter. Konklusionen bliver svagere, og efter en hændelse er der intet at rekonstruere forløbet ud fra.
Det skal I lade være med
- At aflevere skærmbilleder uden dato og kilde · auditor kan ikke se, hvor og hvornår de er taget.
- At lade administratorerne være eneste vogtere af loggen · så beviser loggen intet om deres egne handlinger.
- At gemme logs kortere end den periode, auditten dækker · så kan perioden ikke efterprøves.
Det skal auditten kunne vise
- ☐ En beslutning om, hvilke hændelser der logges, og hvor længe de gemmes.
- ☐ Synkroniseret tid på de systemer, hvis logs skal sammenholdes.
- ☐ Beskyttelse af logdata mod ændring og uautoriseret adgang.
- ☐ Et spor, der kan følges fra anmodning til udført ændring.
- ☐ Kilde, dato og periode på hvert udtræk, der afleveres.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 2.b, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, 19. maj 2026, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag 3.2.5 og 3.2.6, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg én medarbejder, der er stoppet i år, og prøv at følge kontoen fra oprettelse til lukning i jeres egne logs.
Læs også: Følg én sag fra start til slut · Hvad tæller som bevis i en NIS2-audit?
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
