Et budget for IT-sikkerhed kan blive til ud fra sidste års tal og en fornemmelse af, hvad der er brug for. En pentestrapport giver et mere konkret udgangspunkt, fordi den peger på forhold, der skal rettes, og dermed på opgaver, der koster tid og penge.
Rapporten kan bruges som grundlag for budgettet, men den er ikke et budget i sig selv. Den viser, hvor der er svagheder i det, der blev testet. Hvad det koster at rette dem, og hvordan pengene skal fordeles, kræver jeres egen vurdering og leverandørernes bud. Hvis budgettet skal dække en enkelt test, er det et andet spørgsmål. → Budgettet rækker til én test
Fra fund til omkostning
Et fund i rapporten fortæller ikke, hvad rettelsen koster. Det første skridt er derfor at omsætte fundene til opgaver og få et skøn over indsatsen for hver af dem. Skønnet kan komme fra jeres egne IT-folk, fra driftsleverandøren eller fra den softwareleverandør, der står bag systemet.
Bed om skøn, der skelner mellem den hurtige afhjælpning og den varige løsning. De to kan kræve meget forskellig indsats og falde på forskellige tidspunkter. Hvis budgettet kun dækker den første, skal det fremgå, så ingen tror, at problemet er løst for godt.
Arbejdet går lettere, når opgaverne allerede står i en handlingsplan med ejer og rækkefølge. Så er budgettet blot planens økonomiske side, og de to dokumenter kan holdes ajour sammen.
Skønnene behøver ikke være præcise fra starten. Et groft skøn for hver opgave er nok til at se, hvilke rettelser der kan klares inden for den løbende drift, og hvilke der kræver en særskilt bevilling. Skriv, hvem skønnet kommer fra, og hvad det bygger på. Når en leverandør senere giver et egentligt tilbud, kan tallet erstattes, og forskellen kan forklares for ledelsen. → Fra rapport til handlingsplan
Fire slags poster
Det hjælper at sortere omkostningerne, fordi de opfører sig forskelligt i budgettet.
- Engangsrettelser · konkrete ændringer, der laves én gang, fx en ændret opsætning i webshoppen eller lukning af en gammel adgang.
- Udviklingsopgaver · ændringer, der kræver leverandørens udviklere og skal ind i en planlagt udgivelse af kundeportalen eller ERP-systemet.
- Løbende omkostninger · nye rutiner, ekstra driftstimer eller en udvidet aftale med driftsleverandøren, som fortsætter år efter år.
- Kontrol og opfølgning · retest af de vigtigste rettelser og en senere test, der skal vise, om forholdene holder.
Den sidste post bliver let glemt. Uden den kan virksomheden ikke dokumentere, at pengene til rettelserne har haft den ønskede virkning. → Retest efter penetrationstest
Saml fund, der deler årsag
Flere fund kan have samme rod. Glemte konti i ERP-systemet, på kontornettet og i fjernadgangen kan alle skyldes, at der ikke findes en fast procedure ved fratrædelse. Det er billigere og mere holdbart at budgettere med én løsning på årsagen end med tre separate rettelser.
Kig derfor efter mønstre i rapporten, før der sættes tal på. Spørg testeren på afslutningsmødet, om flere fund kan føres tilbage til samme forhold. En budgetpost, der løser en organisatorisk årsag, kan dække flere fund og forhindre, at de samme forhold dukker op igen. → Fund, der kræver en ny proces
Leverandørens tid og jeres egen
Nogle rettelser skal udføres af leverandører. Tjek, hvad de eksisterende aftaler dækker. Nogle ændringer kan ligge inden for en løbende serviceaftale, mens andre bliver faktureret som ekstraarbejde. Afklar det tidligt, så budgettet ikke bygger på en forkert antagelse. → Hvem retter? Ansvar mellem virksomhed og leverandør
Medtag også den interne tid. Nogen skal styre opgaverne, teste ændringer, informere medarbejderne og følge op på leverandørerne. Den tid kan være usynlig i et budget, men den er en reel omkostning, og den konkurrerer med andre opgaver.
Hvis næste test skal med i budgettet, afhænger omfanget af, hvad den skal dække: antallet af systemer, roller og funktioner, om der skal testes med login, og om retest af de vigtigste rettelser skal indgå. Når opgaven er beskrevet, kan den bruges som grundlag for pris og tilbud.
Timing i forhold til budgetåret
Rapporten lander ikke nødvendigvis samtidig med, at budgettet lægges. Nogle rettelser kan ikke vente på næste budgetår, mens andre passer naturligt ind i en planlagt udskiftning eller opgradering. Sortér opgaverne efter, om de skal finansieres nu af en reserve eller den løbende drift, eller om de kan indgå i det kommende budget.
Hvis en større ændring af ERP-systemet alligevel er planlagt, kan nogle rettelser lægges ind i det projekt. Det kræver, at projektet kender fundene, og at fristen for rettelsen passer til projektets tidsplan. Ellers kan en alvorlig svaghed stå åben længere end acceptabelt.
Fremlæg budgettet for ledelsen
Ledelsen skal kunne se sammenhængen mellem fund, risiko og pengene. Fremlæg derfor budgettet i samme rækkefølge som prioriteringen: de vigtigste forhold først, med en kort forklaring af, hvad der står på spil, hvis de ikke rettes. → Prioritering af rettelser efter testen
Vis også det, der ikke er med. Hvis ledelsen vælger at udskyde eller fravælge en rettelse, er det en beslutning om at acceptere en risiko. Den bør registreres sammen med grunden og et tidspunkt, hvor spørgsmålet tages op igen. → Risikoaccept: når et fund ikke rettes
Undgå at bruge rapporten til at presse et større budget igennem end behovet. Hvis tallene ikke hænger sammen med fundene, svækker det tilliden til både rapporten og den, der fremlægger den.
Det skal I lade være med
- At lade rapporten stå som budget · den viser svagheder, ikke omkostninger.
- At budgettere kun med den hurtige afhjælpning · den varige løsning skal også have en plads, eller et bevidst fravalg.
- At glemme kontrollen · uden retest kan virkningen af pengene ikke dokumenteres.
- At overse den interne tid · styring og opfølgning tager timer, også når leverandøren udfører arbejdet.
- At bruge fundene til at puste behovet op · budgettet skal kunne føres tilbage til rapporten.
Hvad kan og ikke kan konkluderes
En pentestrapport kan pege på konkrete forhold, der kræver penge for at blive rettet, og den kan hjælpe med at prioritere dem. Den kan ikke vise det samlede behov for IT-sikkerhed, fordi den kun dækker det område, der blev testet.
Et budget, der dækker alle fund i rapporten, er derfor ikke det samme som et fuldt sikkerhedsbudget. Områder uden for testen, uddannelse, beredskab og den daglige drift skal vurderes særskilt.
Tjekliste til budgetarbejdet
- ☐ Er alle relevante fund omsat til opgaver med et skøn over indsatsen?
- ☐ Er hurtig afhjælpning og varig løsning budgetteret hver for sig?
- ☐ Er posterne sorteret i engangsrettelser, udvikling, løbende omkostninger og kontrol?
- ☐ Er fund med samme årsag samlet i én post?
- ☐ Er det afklaret, hvad leverandøraftalerne dækker?
- ☐ Er den interne tid medregnet?
- ☐ Er fravalg registreret som risikoaccept?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Budgettet rækker til én test · Fra rapport til handlingsplan
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
