En teknisk gennemgang ser på, hvordan systemerne er sat op lige nu. En audit af styringen ser på, hvordan virksomheden sikrer, at opsætningen bliver ved med at være i orden: hvem der ejer den, hvordan ændringer godkendes, og hvordan fejl bliver opdaget. Den første finder fejlene, den anden forklarer, hvorfor de opstår.
For mange IT-chefer er den tekniske gennemgang det naturlige sted at starte. Fund i en firewall eller en domæneopsætning er konkrete og kan rettes. Men retter I fundene uden at se på styringen bag, kommer de ofte igen. Artiklen her viser, hvordan I kan se forskel, og hvordan de to gennemgange kan bruge hinandens bevis.
Hvad en teknisk gennemgang ser
En teknisk sikkerhedsgennemgang undersøger systemerne indefra. Den kigger på konfigurationen af servere, klienter, netudstyr, cloudtjenester og identiteter. Typiske fund er systemer, der ikke er opdateret, fejlkonfigurationer, glemte systemer, ingen kender til, og manglende dokumentation.
Mange af de problemer opstår, fordi systemerne er kommet til lidt efter lidt, og ingen har haft hele billedet. Den tekniske gennemgang giver det overblik og kan bruges som grundlag for en modenhedsvurdering eller en fuld audit. De enkelte kontrolpunkter, og hvordan de påvises, er emnet for de tekniske kontrolpunkter ét for ét.
Hvad en audit af styringen ser
I vejledningen om audit og måling på sikkerdigital.dk deles foranstaltningerne i to slags: de systemspecifikke og de tværgående. De systemspecifikke, som antivirus, backup og opdatering, kan ofte måles direkte. De tværgående, som politikker, processer og fysisk sikkerhed, auditeres ved inspektion, interview, gennemgang af dokumentation og stikprøver.
En audit af styringen arbejder især med det tværgående. Den spørger, hvem der ejer opsætningen af hvert system, hvordan ændringer besluttes og registreres, hvordan nye systemer kommer på listen, og hvordan ledelsen får besked, når noget ikke er, som det skal være.
Når et teknisk fund er et symptom
Nogle tekniske fund står alene. Andre er tegn på, at styringen halter. Tre tænkte eksempler viser forskellen.
Et glemt system. En gammel server står stadig og kører, og ingen har opdateret den i to år. Teknisk er fundet, at serveren mangler opdateringer. Styringsmæssigt er fundet, at der ikke er en liste over systemer med en ejer til hvert. Retter I kun serveren, dukker den næste glemte op ved næste gennemgang.
Brugere, der ikke er lukket. Konti for medarbejdere, der er stoppet, er stadig aktive. Det tekniske fund er kontiene. Fundet om styringen er, at fratrædelser ikke bliver meldt til IT, eller at ingen gennemgår rettighederne med faste mellemrum.
En åben regel i firewallen. En regel blev åbnet midlertidigt og aldrig lukket. Teknikken siger, at reglen er for bred. Styringen siger, at midlertidige ændringer ikke har en udløbsdato og en ejer.
Det er en vurdering, ikke en statistik, at virksomheder, der kun retter testfund, ofte står med de samme problemer året efter, fordi processerne bag ikke er modne nok. Netop det mønster er en god grund til at se på styringen.
Sådan lægges de to, så de bruger hinanden
Der er to almindelige rækkefølger.
Teknik først. Den tekniske gennemgang leverer fund og udtræk. Auditten af styringen bruger dem som bevis og følger hvert fund tilbage til den proces, der skulle have forhindret det. Det passer, når IT-miljøet er uoverskueligt, og ingen helt ved, hvad der kører.
Styring først. Auditten kortlægger ejere, processer og kriterier. Den tekniske gennemgang tester derefter, om processerne virker, fx ved at sammenligne listen over brugere med HR’s liste over ansatte. Det passer, når processerne er beskrevet, og spørgsmålet er, om de følges.
I begge tilfælde er det værd at aftale, at udtræk og fund fra den ene gennemgang bruges som bevis i den anden. Hvordan opsætningen i forhold til en angriber testes, står i audit, pentest eller scanning.
Hvem har brug for hvad
Den virksomhed, der aldrig har haft overblik over sine systemer, får mest ud af at starte med teknikken. Den virksomhed, der har haft flere tekniske gennemgange med de samme fund, får mest ud af at se på styringen. Hvor modent arbejdet er på tværs af områderne, er et tredje spørgsmål, som er beskrevet i modenhed eller efterlevelse.
Hvad det kræver, og hvad det koster at lade være
En teknisk gennemgang kræver læseadgang til systemerne og en person, der kan svare på spørgsmål om opsætningen. En audit af styringen kræver interviews med dem, der ejer processerne, og adgang til politikker, ændringslog og lister over systemer og brugere.
Nøjes I med teknikken, retter I fejlene én ad gangen og betaler for at finde dem igen næste år. Nøjes I med styringen, ved I, at processerne står på papir, men ikke om opsætningen faktisk er i orden.
Det skal I lade være med
- At rette tekniske fund uden at spørge hvorfor · årsagen bliver i organisationen.
- At lade de to gennemgange arbejde hver for sig · beviset kan bruges begge steder.
- At læse en ren teknisk rapport som en vurdering af styringen · den så på opsætningen.
Det skal auditten kunne vise
- ☐ En liste over systemer med en ejer til hvert.
- ☐ Hvordan ændringer i opsætningen besluttes, registreres og følges op.
- ☐ Tekniske fund koblet til den proces, der skulle have forhindret dem.
- ☐ Fund, der går igen fra tidligere gennemgange.
Kilder
- Sikkerdigital.dk, Audit og måling, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når IT-leverandøren vurderer sin egen drift · Følg én sag fra start til slut
→ Kontakt · Tlf. 70 13 63 23 · Teknisk gennemgang hos Nielco IT
