Når noget går galt med IT, er et af de første spørgsmål: hvad vidste ledelsen, og hvad besluttede den? Har I skrevet beslutningerne ned, med begrundelse, kan I vise, at I har taget stilling. Har I ikke, står det ofte hukommelse mod hukommelse. Dokumentationen skal laves løbende, mens beslutningerne træffes, ikke bagefter.
Artiklen er til direktion og bestyrelse i mindre og mellemstore virksomheder. Den handler om den praktiske side: hvad der skal skrives ned, hvor det skal ligge, og hvordan det bliver en vane frem for en byrde.
Hvorfor det betyder noget
Ledelsen træffer hele tiden beslutninger om IT. Hvilken licens I køber. Om backup skal testes. Om en gammel server kan køre et år mere. Om en anbefaling fra IT-leverandøren skal følges nu eller senere. De fleste af beslutningerne er fornuftige ud fra den viden og det budget, der var.
Problemet opstår, når en hændelse rammer, og nogen spørger, om ledelsen har handlet forsvarligt. Det kan være en ejer, en långiver, et forsikringsselskab, en kurator eller en myndighed. Uden dokumentation er det svært at vise, at et fravalg var et bevidst valg og ikke en forglemmelse. → Ledelsesansvar: mails og bestyrelsesmateriale som bevis
For virksomheder, der er omfattet af NIS2-reglerne, er der særlige krav til ledelsens rolle i cybersikkerheden. Om jeres virksomhed er omfattet, skal I have afklaret. → NIS2 og bevisberedskab
Hvad skal dokumenteres?
Ikke alt. Fokusér på beslutninger, der handler om risiko, og som det kan blive relevant at forklare senere.
- Valg og fravalg af sikkerhedstiltag: for eksempel om flerfaktorgodkendelse, logning, backup eller licensniveau.
- Accept af en kendt risiko: når ledelsen vælger at vente med et tiltag.
- Anbefalinger fra IT eller leverandør: hvad blev anbefalet, og hvad blev besluttet.
- Budget: hvad blev bevilget, og hvad blev udskudt.
- Hændelser og opfølgning: hvad skete, og hvad besluttede ledelsen bagefter.
- Svar til forsikring, banker og kunder: hvad har virksomheden oplyst om sin sikkerhed.
Det sidste punkt overses ofte. Svarer I på et spørgeskema fra cyberforsikringen, at backup testes hvert kvartal, skal det også ske. → Cyberforsikringens spørgeskema
Sådan gør I i praksis
- Brug en fast beslutningslog. Ét dokument, hvor hver beslutning får en linje: dato, emne, beslutning, begrundelse, ansvarlig og eventuel opfølgningsdato. → Skabelon: ledelsens beslutningslog
- Henvis til grundlaget. Hvis beslutningen bygger på en rapport, en mail fra leverandøren eller et tilbud, skal det stå, hvor det ligger.
- Skriv det i referatet. Beslutninger, der træffes på direktions- eller bestyrelsesmøder, skal fremgå af referatet eller protokollen i korte, saglige vendinger.
- Gem anbefalingerne. Rapporter, tilbud og anbefalinger fra IT-leverandøren skal ligge i virksomhedens systemer, ikke kun i en medarbejders postkasse.
- Følg op. En accepteret risiko bør have en dato, hvor den vurderes igen.
En linje i loggen kan være så enkel som: “Dato. Leverandøren anbefaler logning i længere tid. Ledelsen beslutter at vente til næste budgetår på grund af prioritering af ny server. Vurderes igen i marts.” Det tager to minutter og kan spare meget senere.
Typiske beslutninger, der bliver spurgt til
Nogle beslutninger går igen, når ledelsens ansvar bliver et tema efter en hændelse. Det er værd at have styr på dokumentationen netop her:
- Flerfaktorgodkendelse: blev det indført for alle, og hvis ikke, hvorfor?
- Backup: hvor ofte tages den, er den adskilt fra det øvrige net, og er gendannelse testet?
- Opdateringer: hvordan håndteres systemer, der ikke længere får sikkerhedsopdateringer?
- Logning: hvilke logs gemmes, og hvor længe?
- Adgange: hvem har administratorrettigheder, og hvornår blev det sidst gennemgået?
- Leverandører: hvad er aftalt om sikkerhed og bistand ved hændelser?
For hvert punkt er der ikke ét rigtigt svar. Det afgørende er, at ledelsen har forholdt sig til det, kendte risikoen og traf et valg, den kan forklare.
Husk også, at beslutningerne skal kunne forstås af en, der ikke var med. Skriv derfor forkortelser ud, og undgå intern jargon. Den, der læser loggen om tre år, kan være en ny direktør, en revisor eller en sagkyndig.
Hvem gør hvad?
- Direktion · Træffer og begrunder beslutningerne
- IT-ansvarlig · Leverer anbefalinger skriftligt
- Bestyrelse · Følger op og stiller spørgsmål
- Sekretær eller assistent · Fører loggen og referaterne
Hvor skal dokumentationen ligge?
Et sted, hvor den ikke forsvinder, når en medarbejder stopper, og hvor den ikke kan ændres uden spor. Et dokumentbibliotek med versionshistorik i virksomhedens eget system er som regel nok. Undgå personlige drev, private mailkonti og løse filer på skrivebordet.
Sørg også for, at dokumentationen ikke bliver slettet af en automatisk oprydning. Hvis I har en slettepolitik, bør ledelsens beslutningsgrundlag have en længere opbevaringstid end almindelig korrespondance.
Det skal I lade være med
- At skrive dokumentationen bagefter. En log, der er skrevet efter en hændelse, har mindre værdi, og det kan ofte ses på filens metadata.
- At ændre i gamle beslutninger. Lav en ny linje, der henviser til den gamle, i stedet for at rette.
- At skrive mere, end der er besluttet. Hold det sagligt og kort.
- At lade IT-leverandøren eje dokumentationen. Ledelsen skal selv have den.
- At gemme anbefalinger, I ikke har tænkt jer at forholde jer til. Tag stilling, også når svaret er “ikke nu”.
Gør det til en del af årshjulet
Dokumentation virker bedst, når den er en fast rutine. Sæt IT-risici på dagsordenen et par gange om året, og gennemgå beslutningsloggen. Hvad blev udskudt sidste gang? Er forudsætningerne ændret? → Årshjul for bevisberedskab
Overvej også at lade bestyrelsen se et kort uddrag af loggen én gang om året. Det giver bestyrelsen indsigt i de risici, direktionen har accepteret, og det dokumenterer samtidig, at bestyrelsen har ført tilsyn. Uddraget kan være en side med de vigtigste beslutninger og de punkter, der er udskudt.
Brug også gennemgangen til at tjekke, at den dokumentation, I har, faktisk kan findes. Prøv at finde begrundelsen for en bestemt beslutning fra sidste år. Tager det mere end et par minutter, er systemet ikke godt nok.
Hvornår skal I have hjælp udefra?
Hvis der allerede er sket en hændelse, og spørgsmålet om ledelsens ansvar er rejst, er situationen en anden. Så skal eksisterende dokumentation, mails og logs bevares med det samme, og I bør tale med en advokat, før der skrives nyt.
En IT-sagkyndig kan hjælpe med at sikre den dokumentation, der findes, og vise, hvornår dokumenter er oprettet og ændret. Nielco IT er uvildig og arbejder for parter, advokater og domstole. Er der brug for hurtig sikring, kan det aftales, men hastesager koster ekstra. → Pris og tilbud
Læs også: Bestyrelsens spørgsmål om bevisberedskab · Bestyrelsesmedlemmer, der bruger privat mail
→ Uvildig IT-undersøgelse for bestyrelsen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
