Typiske fund i store organisationer

Rapporten fra en vurdering af en koncern indeholder sjældent overraskelser for dem, der kender huset. Der står noget om rettigheder, om systemer uden support, om beredskabsplaner og om overvågning. Det interessante er, hvad fundene siger om styringen på tværs af selskaberne. Et fund om adgang i ét system kan rettes på en eftermiddag. Et fund om, at ingen proces følger medarbejderne mellem selskaber, kræver en beslutning. Artiklerne her gennemgår de fund, der går igen, og viser, hvordan de beskrives, så de kan lukkes og bliver ved med at være lukket.

Temaet er skrevet til CISO, til de selskaber, der modtager fundene, og til revisionsudvalget, der skal se fundene forsvinde fra rapport til rapport. De tekniske kontrolpunkter bag hvert fund er samlet under tekniske kontrolpunkter i driften.

Styring og ansvar

• De hyppigste fund i modenhedsvurderinger af koncerner Det, fundene siger om styringen.
• Uklart ansvar mellem koncern-CISO og enhederne Mandat, rapportering og tilsyn.
• Lokale risikoregistre, der ikke kan lægges sammen Fælles skala og fælles kategorier.
• Sikkerhedsfunktionen er for lille til opgaven Opgaver, der ikke bliver løst.
• Gentagne fund: hvorfor det samme står i rapporten år efter år Årsagen bag de gentagne punkter.

Drift og processer

• Adgangsstyring i stor skala som procesfund: rolleskift og rettigheder, der hober sig op Processen, der ikke følger medarbejderen.
• Systemer uden for support og teknisk gæld: sådan vurderes og rapporteres det til ledelsen Ejer, plan og beslutning.
• Sikkerhed, der kommer for sent ind i projekter og ændringer Steder i projektmodellen.
• Overvågning med huller: enheder og systemer, ingen holder øje med Dækning og ansvar på tværs.

På tværs af selskaberne

• Leverandørlandskabet i koncernen: ingen har det samlede overblik Afhængighederne lagt sammen.
• Beredskabsplaner pr. enhed, der ikke hænger sammen på koncernniveau Planerne læst og afprøvet samlet.
• Hændelser, der ikke når koncernen: eskalering fra enhed til hovedkontor Reglerne for eskalering.

Kontrollen af den enkelte leverandør hører til audit af IT-leverandøren. Her handler fundet om koncernens eget overblik.

Hvad det kræver, og hvad det koster at lade være

At lukke styringsfund kræver beslutninger på et niveau over den enkelte enhed: hvem har mandat, hvilken skala gælder, og hvem følger op. Det kræver, at fundene beskrives som mangler i processen og ikke som lister over enkeltforhold, og at hvert fund får en ejer med myndighed til at rette det. Gamle fund skal have en beslutning, enten en plan eller en accept.

Beskrives fundene som enkeltforhold, bliver de ryddet op og kommer igen næste år. Rapporten fylder mere for hver gang, revisionsudvalget mister tilliden til opfølgningen, og de reelle svagheder i koncernens styring bliver aldrig taget op.

Det skal I lade være med

• At beskrive et procesfund som en liste over brugere · så kommer det igen.
• At lade et årgammelt fund ligge uafklaret · plan eller accept.
• At læse ti lokale fund som ti problemer · det kan være ét styringsfund.
• At lukke fundet med et nyt dokument · lukningen er en beslutning om ansvar.

Det skal gennemgangen kunne vise

• ☐ Hvilke fund der går igen fra sidste vurdering, og hvorfor.
• ☐ Hvem der ejer hvert fund, og om ejeren har mandat til at lukke det.
• ☐ Hvilke fund der er fælles for flere selskaber.
• ☐ Hvordan lukkede fund er efterprøvet.

Senest gennemgået: november 2026.

Næste skridt

• De hyppigste fund i koncerner
• Gentagne fund

Læs også: Auditprogram over flere år · Budget, prioritering og måling over tid

→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT