AI-sikkerhed i maskintempo: Er jeres patchproces hurtig nok?

AI-sikkerhed handler også om, at angribere kan få hjælp til at finde svagheder, automatisere dele af et angreb og arbejde hurtigere end klassiske sikkerhedsprocesser.

Virksomheden skal derfor kunne opdage, prioritere og håndtere kritiske sårbarheder, mens tidsvinduet bliver mindre.

Artiklen viser, hvordan ledelsen kan styrke patchprocessen uden at erstatte faglig vurdering med automation.

EU-Kommissionen offentliggjorde 7. juli 2026 en handlingsplan for cybersikkerhed og kunstig intelligens. Kommissionen vurderer, at AI både kan hjælpe med at opdage og afhjælpe sårbarheder og misbruges til at identificere svagheder og automatisere cyberoperationer. Det Europæiske Udvalg for Systemiske Risici advarede samme dag om, at avancerede AI-modeller kan give trusselsaktører en fordel, særligt i den finansielle sektor.

Det dokumenterer ikke, at alle angreb allerede er fuldautomatiske. Det peger på, at tiden mellem offentliggørelse, analyse og mulig udnyttelse kan blive presset yderligere. Langsomme godkendelseskæder, uklart systemejerskab og manglende overblik bliver dermed en større risiko.

Den danske betydning er operationel

Sikkerdigital anbefaler, at programmer opdateres løbende, at ansvaret placeres tydeligt, og at virksomheder stiller krav til it-leverandørernes opdateringsprocesser. Styrelsen for Samfundssikkerhed har samtidig gjort håndtering af kritiske sårbarheder til et konkret tilsynsområde i telesektoren i 2026.

Sårbarhedsstyring er derfor en ledelsesopgave. En teknisk liste over fejl er ikke nok, hvis virksomheden ikke ved, hvilke systemer der understøtter betalinger, produktion, borgerkontakt eller andre kritiske funktioner. Relevante styringsmål er andelen af kritiske systemer med navngiven ejer, tiden fra varsel til risikovurdering, overskredne hastefrister og midlertidige afværgninger uden slutdato.

Fra patchkalender til risikobaseret beredskab

En månedlig patchdag kan være nyttig til almindelig vedligeholdelse, men bør suppleres med et beredskab for sårbarheder, der kræver hurtigere handling. Målet er ikke ukritisk at installere enhver opdatering. Målet er at prioritere på et dokumenteret grundlag og vælge mellem opdatering, afværgning, isolering, øget overvågning eller accepteret risiko.

1. Skab systemoverblik. Registrér internetvendte systemer, kritiske funktioner, versioner, systemejere og leverandørafhængigheder.
2. Definér hastebanen. Aktiv udnyttelse, interneteksponering, høj forretningskritikalitet og fravær af afværgende kontroller bør veje tungt.
3. Giv tydeligt mandat. Aftal, hvem der kan godkende en hasteændring, acceptere midlertidig risiko og kommunikere med ledelse, kunder og myndigheder.
4. Stil målbare krav til leverandører. Bed om varsling, forventet rettetid, testdokumentation, midlertidig afværgning og eskalationsvej.
5. Øv et realistisk forløb. Mål tiden fra første varsel til ejeridentifikation, beslutning, implementering og efterkontrol.

Brug AI defensivt, men behold menneskelig kontrol

AI kan hjælpe med at sammenholde varsler med systemdata, opsummere leverandørinformation og foreslå prioriteringer. Automatisering bør dog have klare datagrænser, adgangskontrol, logning, test og mulighed for menneskelig godkendelse. Et genereret forslag er ikke det samme som en verificeret risikovurdering.

Vælg ét kritisk system, kortlæg afhængighederne, fastlæg hastekriterierne og gennemfør en øvelse. Brug resultatet til at fjerne den største forsinkelse, hvad enten den skyldes manglende data, uklare roller, leverandøraftaler eller et for snævert ændringsvindue.

AI-sikkerhed bliver mest konkret, når virksomheden kan træffe en hurtig, begrundet og reversibel beslutning, mens presset er højt.