En god rapport fra et IT-sikkerhedstjek er kort, skrevet til ledelsen og bygget op om fundene. Hvert fund har en beskrivelse, en vurdering af, hvor alvorligt det er, en anbefaling og et forslag til næste skridt, og fundene står i den rækkefølge, de bør løses.
Rapporten er det, virksomheden har tilbage, når tjekket er slut. Er den lang og teknisk, bliver den læst af IT-leverandøren og ingen andre. Er den kort og klar, kan ejerlederen bruge den til at træffe beslutninger. Artiklen giver en målestok, I kan holde en sikkerhedstjek-rapport op imod. Målestokken er praksis.
Længden
Et tjek dækker få områder, og rapporten bør afspejle det. Få sider er nok, når fundene er præcise. Det, der gør en rapport lang, er ofte beskrivelser af det, der er i orden, gentagelser og tekniske detaljer, ledelsen ikke har brug for. Tekniske detaljer kan stå i et bilag til den, der skal udføre rettelserne.
Opbygningen
En rapport, der er let at bruge, har typisk fem dele:
1. Sammenfatning på én side. Hvad blev gennemgået, hvad er de vigtigste fund, og hvad bør ske først? Er der kun tid til at læse én side, skal det være denne.
2. Omfang og kriterier. Hvilke områder er gennemgået, hvilke er holdt ude, og hvad er målt imod? Uden den del ved læseren ikke, hvad rapporten udtaler sig om. Sikkerdigital.dk skriver, at man ikke kan auditere mod vage udtryk som “tilstrækkelig sikkerhed”.
3. Fundene. Hvert fund med de fire felter, der beskrives nedenfor.
4. Det, der er i orden. En kort liste over områder uden væsentlige fund. Den er vigtig, fordi den viser, at området faktisk er undersøgt.
5. Bilag. Tekniske detaljer, listen over beviser og eventuelle udtræk.
De fire felter pr. fund
Fund. Hvad er konstateret, og hvordan? Et fund bør beskrive en tilstand, der kan vises, fx “to tidligere medarbejdere har aktive konti i mailsystemet”. En vending som “adgangsstyringen er svag” kan ingen handle på.
Alvor. Hvor meget betyder fundet? En simpel skala med tre trin, fx høj, middel og lav, er nok i et tjek. Det vigtige er, at skalaen er forklaret, så læseren ved, hvad høj betyder.
Anbefaling. Hvad bør gøres? Anbefalingen bør være konkret nok til, at den kan gives videre til IT-leverandøren som en opgave.
Næste skridt. Hvem bør gøre hvad, og hvornår? Det er her, fundet får en ejer. Hvordan ejerskabet fordeles i en virksomhed uden IT-ansvarlig, står i ingen IT-ansvarlig i huset.
Rækkefølgen
Fundene bør stå sorteret efter, hvad der bør ske først. En rapport, der begynder med adgangsstyring, fordi det er det første område, hjælper ikke ledelsen, hvis det alvorligste fund ligger under backup. Rækkefølgen kan tage hensyn til både alvor og indsats. Et alvorligt fund, der kan løses på en time, bør stå øverst.
Sproget
Rapporten er skrevet til ledelsen. Fagudtryk forklares første gang, eller de undgås. Fund beskrives som tilstande, uden at pege på personer. Det gør det lettere at tale om dem med IT-leverandøren og medarbejderne bagefter.
Gennemgangen bagefter
En rapport bør gennemgås på et møde med dem, der har bestilt tjekket. Sikkerdigital.dk beskriver i sin vejledning om audit et afsluttende møde, hvor afvigelser gennemgås, og misforståelser rettes. Det samme gælder et tjek. Mødet er stedet, hvor faktuelle fejl i rapporten bliver opdaget, og hvor fundene får ejere. Det er en fordel, at IT-leverandøren deltager.
Når rapporten ikke lever op til målestokken
Mangler rapporten omfang og kriterier, kan I bede om at få dem tilføjet. Er fundene vage, kan I bede om eksempler på, hvad der konkret er set. Er der ingen rækkefølge, kan I bede om én. Det er rimelige krav til enhver, der laver et tjek. Hvordan en fuld auditrapport er bygget op, er beskrevet i NIS2-auditrapporten, som bygger på de samme principper i større skala.
Hvad det kræver, og hvad det koster at lade være
En god rapport kræver, at den, der laver tjekket, har fået et klart omfang, og at ledelsen afsætter tid til mødet bagefter. Det kræver også, at I læser rapporten med målestokken i hånden og beder om rettelser, før den bliver endelig.
Når I sammenligner tilbud, er det værd at bede om at se en anonymiseret rapport eller en skabelon, så I kan holde den op mod målestokken her. Hos Nielco IT er rapporten fra et tjek typisk på 5 til 10 sider, og den gennemgås på et møde bagefter.
En rapport, der ikke kan bruges, bliver lagt væk. Så har virksomheden brugt tid og penge på et tjek, der ikke fører til ændringer, og fundene står åbne, til de bliver opdaget på den hårde måde.
Det skal I lade være med
- At acceptere fund uden bevis · bed om det, der er set.
- At læse rapporten uden at holde møde om den · misforståelser bliver stående.
- At sortere fundene efter område · det vigtigste kan gemme sig sidst.
Det skal auditten kunne vise
- ☐ En sammenfatning på én side.
- ☐ Omfang, kriterier og det, der er holdt ude.
- ☐ Hvert fund med alvor, anbefaling og næste skridt.
- ☐ En rækkefølge for rettelserne og dato for gennemgangsmødet.
Kilder
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Klassificering af fund · Uenig i et fund
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
