Sårbarhedsanalyse: Få overblik over digitale afhængigheder

En sårbarhedsanalyse kan vise, hvor tekniske svagheder og digitale afhængigheder kan påvirke virksomhedens drift. Artiklen giver fem konkrete arbejdsspor til at finde de vigtigste afhængigheder, vurdere konsekvenserne og prioritere de rette sikkerhedsforanstaltninger.

Virksomhedens kritiske processer afhænger sjældent af ét system alene. Webhandel kan eksempelvis være afhængig af cloudinfrastruktur, identitetsstyring, betalingsløsninger, integrationer og eksterne driftsleverandører. Hvis én central tjeneste bliver utilgængelig eller kompromitteret, kan konsekvenserne brede sig til ordrebehandling, produktion, kundeservice og leverancer.

ENISAs trusselsvurdering for 2026 fremhæver, at digitale afhængigheder udvider angrebsfladen og kan øge konsekvenserne af cyberhændelser. Det gør det relevant at se sårbarheder i sammenhæng med de systemer, leverandører og forretningsprocesser, virksomheden er afhængig af.

En teknisk sårbarhedsanalyse identificerer og vurderer svagheder i systemer, applikationer, netværk og konfigurationer. Den kan vise, om software mangler sikkerhedsopdateringer, om tjenester er unødigt eksponeret mod internettet, eller om en forkert opsætning kan give uvedkommende adgang.

Analysen bør ikke stå alene. Et teknisk fund siger ikke nødvendigvis, hvor stor risikoen er for virksomheden. Det kræver også viden om hvilke forretningsprocesser systemet understøtter, hvilke data og integrationer der kan blive påvirket, om flere kritiske funktioner afhænger af den samme løsning, og hvor hurtigt driften skal kunne genetableres.

Derfor skal digitale afhængigheder med i analysen

En kritisk teknisk sårbarhed er ikke automatisk virksomhedens største risiko. Hvis det berørte system er isoleret og ikke anvendes til væsentlige processer, kan konsekvensen være begrænset. Omvendt kan en mindre teknisk fejl få stor betydning, hvis den rammer en fælles identitetsplatform, betalingsintegration eller backupløsning, som mange dele af virksomheden er afhængige af.

Det samme gælder leverandører. En virksomhed kan have gode interne sikkerhedsforanstaltninger og stadig være sårbar, hvis en central cloud- eller driftsleverandør rammes, eller hvis virksomheden ikke kan få adgang til nødvendige data og systemer under en hændelse.

Fem arbejdsspor til en brugbar sårbarhedsanalyse

1. Afgræns de vigtigste forretningsprocesser

Start med de processer, hvor afbrydelser kan påvirke kunder, produktion, leverancer, lovpligtige opgaver eller følsomme data. Beskriv konsekvenserne og hvor længe processen kan være utilgængelig, før påvirkningen bliver uacceptabel.

2. Kortlæg systemer, leverandører og adgangsveje

Registrér systemer, integrationer, data, leverandører og administrative adgange for hver kritisk proces. Markér især løsninger, der går igen på tværs af virksomheden, eksempelvis Microsoft 365, identitetsstyring, netværk, cloudplatforme og backup.

3. Vurder teknisk eksponering og forretningskonsekvens samlet

Sammenhold tekniske fund med systemets anvendelse og betydning for driften. Undersøg, om komponenten faktisk anvendes, om den er tilgængelig fra internettet, hvilke rettigheder den kan give, og om en leverandør kan afhjælpe hurtigt.

4. Beslut, hvordan risikoen skal behandles

Væsentlige fund skal føre til en beslutning med ansvarlig, frist, afhængigheder og en kontrol af, at løsningen virker. Virksomheden kan installere en opdatering, ændre en konfiguration, begrænse adgang, styrke overvågning eller acceptere en resterende risiko med ledelsens godkendelse.

5. Afprøv analysen mod et realistisk scenarie

Test, om overblikket kan bruges, når en central platform eller leverandør bliver utilgængelig. Kan virksomheden hurtigt afgøre, hvilke processer der rammes, hvem der skal reagere, og hvilke systemer der skal genetableres først?

Ledelsen har sjældent brug for hele den tekniske fundliste. Den har brug for et klart overblik over de afhængigheder, der kan få størst betydning for drift, kunder og leverancer, samt hvilke risici der endnu ikke er håndteret.

Rapporteringen kan vise uafklarede kritiske sårbarheder og deres driftsmæssige betydning, fælles platforme for flere kritiske processer, væsentlige leverandører uden dokumenterede beredskabs- eller genopretningsplaner, forsinkede opdateringer og resultatet af test.

En sårbarhedsanalyse skaber størst værdi, når den hænger sammen med risikovurdering, opdateringsstyring, leverandørstyring og IT-beredskabsplan. Det giver virksomheden et bedre grundlag for at prioritere sikkerhedsforanstaltninger og beskytte drift, data og leverancer.