En sikkerhedsaudit er en systematisk gennemgang af, hvordan en virksomhed styrer og udfører sin IT-sikkerhed, målt mod kriterier, der er aftalt på forhånd. Auditor samler bevis, vurderer det og skriver resultatet i en rapport, der viser, hvor kravene er opfyldt, og hvor de ikke er.
Ordet audit bliver brugt om meget forskelligt. Nogle kalder en samtale med IT-leverandøren for en audit, andre en automatisk scanning af systemerne udefra. Her står, hvad der kendetegner en egentlig audit, så I kan genkende den, når I bestiller, og vide, hvad svaret kan bruges til.
Definitionen, de fleste bygger på
Den internationale definition, som bl.a. den amerikanske standardiseringsmyndighed NIST gengiver i sin ordliste, lyder i vores oversættelse sådan: en systematisk, uafhængig og dokumenteret proces, hvor der indsamles auditbevis, som vurderes objektivt for at fastslå, i hvilket omfang auditkriterierne er opfyldt.
Fire ord bærer definitionen. Systematisk betyder, at der er en plan og en metode. Uafhængig betyder, at den, der vurderer, ikke selv har ansvaret for det, der vurderes. Dokumenteret betyder, at en anden kan følge, hvad der blev set og hvorfor. Kriterierne er målestokken, som beviset holdes op imod.
En note til definitionen skelner mellem intern audit, som organisationen selv udfører eller får udført på sine vegne, og ekstern audit ved en kunde eller en uafhængig tredjepart. Den forskel er udfoldet i intern og ekstern audit.
Fire spørgsmål, en audit kan besvare
Sikkerdigital.dk beskriver i sin vejledning til myndigheder, der arbejder med ISO 27001, fire spørgsmål, som måling og intern audit drejer sig om. Vejledningen er skrevet til det offentlige, men spørgsmålene passer til enhver virksomhed.
- Har vi det, vi siger, at vi har?
- Gør vi det, vi siger, at vi gør?
- Opfylder det formålet?
- Virker det efter hensigten?
De to første kan ofte besvares med dokumenter, udtræk og stikprøver. De to sidste kræver, at auditor vurderer, om en foranstaltning faktisk dækker den risiko, den blev indført for. En audit, der stopper ved det første spørgsmål, bliver en optælling af papirer.
Hvad en audit måler imod
Uden kriterier er der intet at måle. Vejledningen på sikkerdigital.dk siger det ligeud. Man kan ikke auditere ud fra udtryk som “best practice” eller “tilstrækkelig sikkerhed”. Kravene skal være gjort konkrete i politikker, procedurer, aftaler eller kontrolbeskrivelser.
Målestokken kan være jeres egen sikkerhedspolitik, et anerkendt rammeværk, en kundes krav eller en lov som NIS 2-loven. Valget gennemgås i artiklen om auditkriterier.
Sådan adskiller auditten sig fra beslægtede ydelser
Rådgivning. En rådgiver hjælper med at bygge politikker, processer og løsninger. En auditor vurderer, om det byggede lever op til kriterierne. Den samme person bør ikke gøre begge dele på det samme område, fordi vurderingen så gælder eget arbejde. Det er uddybet i uvildig sikkerhedsaudit.
Test. NIST beskriver en penetrationstest som en metode, hvor testere under aftalte rammer forsøger at omgå eller bryde et systems sikkerhedsfunktioner. Testen svarer på, om et bestemt angreb kan lykkes. Auditten svarer på, om virksomheden har styr på sin sikkerhed, og kan bruge et testresultat som bevis. Valget mellem dem står i audit, pentest eller scanning.
Certificering. Et certifikat efter ISO/IEC 27001 udstedes af et certificeringsorgan, som i Danmark kan være akkrediteret af DANAK. En sikkerhedsaudit giver en rapport og intet certifikat. Se tre slags ISO 27001-audit.
Hvad der kommer ud af den
Resultatet er en rapport med fund, deres alvor og anbefalinger i prioriteret rækkefølge. En audit kan være bred og dække hele virksomhedens sikkerhed, eller den kan gå i dybden med ét område som adgangsstyring eller backup. De typiske områder er beskrevet i hvad indgår i en sikkerhedsaudit.
Rapporten beskriver tilstanden på det tidspunkt, hvor beviset blev samlet ind. Den lover intet om, hvad der sker i morgen. Grænserne er samlet i hvad en sikkerhedsaudit ikke kan.
Vil I vide, hvor moden sikkerheden er, og følge udviklingen over flere år, er det et andet spørgsmål, som en vurdering af sikkerhedsmodenhed besvarer. Skal opsætningen af de enkelte systemer gås efter punkt for punkt, er det en gennemgang af de tekniske kontrolpunkter.
Den vejledning, faget bruger
ISO 19011 er den internationale vejledning i audit af ledelsessystemer. Ifølge Dansk Standards beskrivelse dækker den forløbet fra planlægning af et auditprogram til den færdige rapport og beskriver også de kompetencer og den adfærd, en auditor bør have. Den er skrevet til ledelsessystemer, men bruges bredt som grundlag for, hvordan en audit gennemføres. Hvordan en standard bliver til den målestok, auditten måler op imod, gennemgås under auditkriterier.
Hvad det kræver, og hvad det koster at lade være
En audit kræver, at I ved, hvilket spørgsmål I vil have svar på, og at nogen hos jer kan finde dokumenter frem, give læseadgang og stille op til interviews. En fokuseret audit lægger beslag på få dage hos jer fordelt over nogle uger. En bred audit kræver mere, især når meget af driften ligger hos leverandører.
Uden en audit bygger ledelsen sit billede af sikkerheden på det, IT-folkene eller leverandøren fortæller. Billedet kan sagtens være rigtigt. Ingen har dog efterprøvet det mod et kriterium, og ingen kan vise en kunde, en bestyrelse eller et tilsyn, at det er sket.
Det skal I lade være med
- At kalde en samtale for en audit · uden kriterier og bevis mangler det, der gør den til en audit.
- At bestille, før spørgsmålet er klart · så fastlægger auditor selv opgaven.
- At forvente et certifikat · auditten ender i en rapport med fund og anbefalinger.
Det skal auditten kunne vise
- ☐ Hvilke kriterier der er målt imod, og hvor de kommer fra.
- ☐ Hvilket bevis hvert fund bygger på: dokument, udtræk, interview eller stikprøve.
- ☐ Hvem der har udført auditten, og at de ikke har ansvar for det vurderede.
- ☐ Hvornår beviset er samlet ind, og hvad der lå uden for omfanget.
Kilder
- NIST, Computer Security Resource Center, Glossary, “audit”, https://csrc.nist.gov/glossary/term/audit, læst 12. november 2026.
- NIST, Computer Security Resource Center, Glossary, “penetration testing”, https://csrc.nist.gov/glossary/term/penetration_testing, læst 12. november 2026.
- Sikkerdigital.dk, Audit og måling, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- Dansk Standard, Internal audit, ISO 19011, https://www.ds.dk/en/about-standards/management-systems/iso-19011-internal-audit, læst 12. november 2026.
- DANAK, Om akkreditering, https://danak.dk/om-akkreditering, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit, revision, gennemgang og tjek · Valg af auditor
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
