Fund om opdagelse frem for forebyggelse: sådan prioriteres de

Hvert skridt, holdet tog uden at blive stoppet, kan give to fund på én gang: vejen var åben, og forsvaret så ikke, at den blev brugt. Prioriteringen hviler på at holde de to fra hinanden og spørge, hvad der sker, hvis forebyggelsen en dag svigter, for det er netop dér, opdagelsen skal bære.

Kort sagt er et detektionsfund ikke et mindre vigtigt fund, fordi det ikke lukker noget. Det er svaret på et andet spørgsmål: hvor længe en modstander kan arbejde i miljøet, før nogen griber ind.

To fund fra samme skridt

NIST’s Cybersecurity Framework 2.0 skelner mellem funktionen Protect, der skal forhindre eller mindske sandsynligheden og virkningen af uønskede hændelser, og funktionen Detect, der skal finde og analysere mulige angreb i tide, så reaktion og genopretning kan lykkes. De tekniske reguleringsstandarder for TLPT bruger samme tankegang og nævner i kravene til udbedringsplanen forbedringer af identifikations-, beskyttelses-, detektions- og indsatskapaciteten.

Et tænkt eksempel gør forskellen konkret. Holdet bevægede sig fra en almindelig medarbejders maskine til en server, der ikke burde kunne nås derfra. Forebyggelsesfundet handler om adskillelsen mellem de to. Detektionsfundet handler om, at bevægelsen ikke udløste noget i overvågningen. Rettes kun det første, ved I stadig ikke, om den næste uventede vej bliver set. Rettes kun det andet, står vejen åben, men bliver brugt under opsyn. → Fra fund til bedre overvågning

En enkel måde at få de to spor frem på er at gå tidslinjen igennem og give hvert skridt én af tre markeringer: forhindret, set eller hverken eller. Skridt, der blev set, men ikke forhindret, er ikke fejl i sig selv; de viser, at forsvaret havde en chance. Skridt med markeringen hverken eller er dem, der skal deles i to fund. Øvelsen leverer markeringerne, men det er sikkerhedsfunktionen, der beslutter, hvilket af de to fund der skal løses først, og hvem der skal eje det.

Hvorfor detektionsfund taber i prioriteringen

Fund om forebyggelse er lette at forklare. Der er et hul, det kan lukkes, og bagefter kan det kontrolleres. Fund om opdagelse er mere diffuse. De handler om data, regler, bemanding og beslutninger, og løsningen kan ikke afkrydses på samme måde. I en prioritering, der belønner det konkrete, glider de nedad.

Hertil kommer, at detektionsfundene kan ramme en leverandør eller en funktion med begrænset kapacitet, mens forebyggelsen kan løses af den interne drift. Den organisatoriske modstand kan derfor være større, selv om fundet er vigtigere. Det er et argument for at gøre afvejningen eksplicit i stedet for at lade den ske af sig selv. → Tid til opdagelse

Hvornår vejen skal lukkes først

Forebyggelsen bør komme først, når mindst ét af følgende gælder:

Vejen er kort og enkel at lukke · en ændring med lav indsats fjerner et skridt helt.
Mange veje går gennem samme punkt · én rettelse bryder flere mulige forløb.
Skridtet er svært at se under alle omstændigheder · opdagelse ville kræve uforholdsmæssigt meget.
Konsekvensen indtræffer med det samme · der er ingen tid at reagere i, når skridtet først er taget.

Angrebsvejen i rapporten hjælper med at se, hvilke punkter flere forløb deler. → Angrebsvejen som rapportens rygrad

Hvornår det er vigtigere at se

Opdagelsen bør vægte tungest, når mindst ét af følgende gælder:

Vejen kan ikke lukkes · forretningen har brug for adgangen, eller den går gennem mennesker og leverandører.
Lukningen flytter blot problemet · en modstander vil finde en anden vej til samme sted.
Skridtet ligger tæt på målet · det er sidste chance for at gribe ind.
Forsvaret så slet intet i forløbet · så mangler organisationen evnen til at reagere på det ukendte.

Den sidste situation er den alvorligste. Hvis forsvaret ikke så noget fra start til mål, betyder det, at enhver vej, øvelsen ikke prøvede, sandsynligvis heller ikke ville blive set. Det fund vejer tungere end nogen enkelt åben vej.

Spørgsmål, der vejer de to op mod hinanden

Når budget og tid ikke rækker til alt, kan disse spørgsmål bruges i prioriteringsmødet:

Hvad sker der, hvis forebyggelsen i dette punkt svigter om et år?
Kan vejen lukkes helt, eller kun gøres sværere?
Hvor mange andre forløb går gennem samme punkt?
Hvis en alarm kommer, er der nogen, der kan handle på den inden for den tid, der er til rådighed?
Hvem skal bære indsatsen, og har de kapacitet til det?

Det fjerde spørgsmål forhindrer en almindelig fejl: at prioritere nye alarmer, som ingen har tid til at følge op. En alarm uden handling er ikke opdagelse. → Oversete alarmer

Begge spor i planen

Prioriteringen betyder ikke, at det ene spor venter på det andet. Hvert skridt kan stå som to punkter i handlingsplanen med hver sin ejer, prioritet og dato. Forebyggelsen kan ligge hos drift eller identitetsstyring, opdagelsen hos overvågningen og dens leverandør. → Handlingsplan efter red teaming

Gør det tydeligt over for ledelsen, at de to spor svarer på forskellige risici. Et samlet tal for “lukkede fund” skjuler, om organisationen er blevet bedre til at se det, den ikke kan forhindre. Vis i stedet, hvor mange skridt fra øvelsen der nu er lukket, og hvor mange der nu ville blive set. → Nøgletal til ledelsen

Kontrollen af detektionsforbedringerne kræver en afprøvning, ikke en konfigurationsgennemgang. En åben gennemgang sammen med holdet er den mest direkte måde at vise, at et skridt nu bliver set. → Purple teaming

Det skal I lade være med

At rangere alle fund på én skala · forebyggelse og opdagelse svarer på forskellige spørgsmål.
At nedprioritere opdagelse, fordi den er svær at afkrydse · det er netop den, der bærer, når noget andet svigter.
At tro, at en lukket vej gør opdagelsen overflødig · næste vej er ukendt.
At bestille alarmer uden bemanding · forsvaret drukner i dem.
At rapportere ét samlet tal for lukkede fund · det skjuler forskellen på at lukke og at se.

Hvad kan og ikke kan konkluderes

Øvelsen viser, hvilke skridt i de afprøvede forløb der var åbne, og hvilke der gik ubemærket hen. Den kan ikke vise, hvilke andre veje der findes, eller om forsvaret ville se dem. Netop derfor kan et fund om manglende opdagelse være mere generelt end et fund om en åben vej: det siger noget om forsvarets evne, ikke kun om ét punkt i miljøet.

Tjekliste til prioriteringen

☐ Er hvert skridt delt i et forebyggelsesfund og et detektionsfund, hvor det er relevant?
☐ Er det vurderet, hvad der sker, hvis forebyggelsen svigter?
☐ Er punkter, flere forløb deler, markeret?
☐ Er bemandingen vurderet for hver ny alarm?
☐ Rapporteres lukkede og sete skridt hver for sig?
☐ Er der aftalt en afprøvning af detektionsforbedringerne?

Kilder

NIST Cybersecurity Framework 2.0: funktionerne Protect og Detect og deres formål (CSWP 29, februar 2024).
Kommissionens delegerede forordning (EU) 2025/1190: artikel 13, stk. 2, litra b, om identifikations-, beskyttelses-, detektions- og indsatskapacitet i udbedringsplanen.

Senest gennemgået: oktober 2026.