Fundet om overvågning med huller betyder, at nogle af koncernens selskaber, lokationer eller systemer ikke er omfattet af den overvågning, koncernen tror, den har. Hullerne er sjældent besluttet. De er opstået, fordi et selskab kom til efter handlen, fordi et system blev sat op lokalt, eller fordi ingen har ansvaret for at holde dækningen ajour. Fundet handler om dækning og ansvar på tværs af selskaber, ikke om teknikken i selve overvågningen.
Det er sitets vurdering, at hullerne i en koncern typisk følger organisationens sømme: overgangen mellem selskaber, mellem koncernens drift og lokal drift, og mellem egen drift og leverandørers.
Sådan ser fundet ud
Koncernen har en central overvågning, måske drevet af en intern funktion eller en leverandør. Bestyrelsen har fået at vide, at koncernen er overvåget. Når en vurdering spørger, hvilke selskaber og systemer der faktisk sender data til overvågningen, viser det sig, at to selskaber kun er delvist med, at produktionsnettet i et tredje slet ikke er med, og at de systemer, ét selskab har i en ekstern cloudtjeneste, aldrig er koblet på.
Ingen har skjult hullerne. Ingen har bare haft til opgave at se efter dem.
Hvad målestokkene siger
Punkt 3.2.3 i forordning 2024/2690’s bilag gør dækningen til en beslutning: På grundlag af risikovurderingen opstilles en liste over de aktiver, der skal være omfattet af logning, og i punkt 3.2.4, at logfilerne gennemgås regelmæssigt. Forordningen gælder kun de digitale udbydere, den selv opregner. For andre koncerner er punktet en god målestok, fordi det gør dækningen til en bevidst beslutning: Der skal være en liste, og den skal bygge på en vurdering af risiko.
CISA og NSA nævner utilstrækkelig overvågning af det interne netværk som en af de ti systemiske svagheder i store organisationer i deres fælles rådgivning fra oktober 2023.
Dækning er et spørgsmål om ansvar
I en koncern er det centrale spørgsmål, hvem der har ansvaret for, at dækningen er fuldstændig. Den centrale overvågningsfunktion overvåger det, den får data fra. Selskaberne går ud fra, at de er dækket, fordi koncernen har en overvågning. Leverandøren overvåger det, kontrakten nævner. Ingen af dem har til opgave at spørge, hvad der mangler.
Det er praksis at give én funktion ansvaret for dækningen på koncernniveau og at gøre det til en fast del af integrationen af nye selskaber og nye systemer, at de kobles på overvågningen. Ansvarsfordelingen mellem koncern og selskaber er uddybet i uklart ansvar mellem koncern-CISO og enhederne.
Sådan vurderes dækningen
En vurdering af dækningen begynder med listen over aktiver, der skal være omfattet. Findes den ikke, er det første fund. Findes den, sammenlignes den med de aktiver, der faktisk sender data, og med de aktiver, koncernen kender. Forskellen viser hullerne.
Det er praksis at gå frem pr. selskab og pr. type af miljø: kontornet, produktionsnet, cloudtjenester og systemer drevet af leverandører. Hullerne er sjældent jævnt fordelt. De samler sig typisk i nyere selskaber, i produktionen og hos leverandørerne.
Er koncernens aktivoversigt mangelfuld, kan dækningen kun vurderes for de aktiver, man kender, og det skal stå ved konklusionen. Det er beskrevet i vurdering uden en samlet aktivoversigt. De tekniske kontrolpunkter for logning og overvågning står under tekniske kontrolpunkter.
Et tænkt eksempel
Tænk jer en koncern med en central overvågning, der dækker hovedkontoret og de tre største selskaber. To mindre selskaber, der er kommet til de seneste år, har deres egen lokale drift og er aldrig blevet koblet på. En fabrik har et produktionsnet, som af gode grunde er adskilt fra kontornettet, men som ingen overvåger. Koncernens rapport til bestyrelsen siger, at “koncernen overvåges døgnet rundt”. Eksemplet er tænkt, men det viser, hvordan en korrekt sætning om overvågningen kan give et forkert billede af dækningen.
Fundet og scoren
I en modenhedsmåling scorer selskaberne ofte overvågning ud fra, om der findes en overvågning. Et selskab, der er delvist dækket, kan svare ja. Sitet foreslår, at målingen beder om dækningsgraden pr. selskab og pr. miljø, og at koncernens samlede score for overvågning bør vise den laveste dækning, ikke gennemsnittet. Dækningsgrad som nøgletal er uddybet i dækningsgrad som nøgletal.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over de aktiver, der skal overvåges, en funktion med ansvar for dækningen og en fast procedure for at koble nye selskaber og systemer på. Det kræver også, at rapporteringen til bestyrelsen siger, hvad der er dækket, og hvad der ikke er.
Lader man det være, tror koncernen, at den er overvåget, mens en hændelse i et af hullerne kan stå på længe, før nogen opdager den.
Det skal I lade være med
- At rapportere, at koncernen er overvåget, uden at angive dækningen · sætningen kan være sand og vildledende på én gang.
- At glemme overvågningen, når et nyt selskab integreres · hullerne opstår ved overgangene.
- At vise gennemsnittet som koncernens dækning · det svageste selskab bærer risikoen.
Det skal gennemgangen kunne vise
- ☐ En liste over aktiver, der skal være omfattet af overvågning, baseret på risiko.
- ☐ En sammenligning af listen med de aktiver, der faktisk sender data.
- ☐ En funktion med ansvar for dækningen på koncernniveau.
- ☐ Dækningsgrad pr. selskab og pr. type miljø.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 3.2.3 og 3.2.4, læst 14. november 2026.
- CISA og NSA, Top Ten Cybersecurity Misconfigurations (AA23-278A), 5. oktober 2023, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg den centrale overvågningsfunktion, hvilke selskaber og miljøer der sender data, og læg svaret ved siden af koncernoversigten.
Læs også: Den svageste enhed · Hændelser, der ikke når koncernen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
