Sikkerhed: hvad betyder ordet?

“Sikkerhed” betyder overordnet at mindske sandsynligheden for og/eller konsekvensen af uønskede hændelser. I praksis handler det sjældent om at gøre noget “umuligt” at angribe eller fejle, men om at etablere kontroller, processer og adfærd, så risikoen bliver acceptabel set i forhold til formål, omkostninger og trusselsbillede.

Det er også et begreb med flere lag. Du kan tale om teknisk sikkerhed (fx beskyttelse af data eller adgang), organisatorisk sikkerhed (fx procedurer, roller og træning) og operationel sikkerhed (fx hvordan det faktisk bliver driftet og overvåget). Når nogen siger “vi er sikre”, betyder det derfor ofte “vi har taget konkrete skridt og følger dem,” ikke at alt er garanteret.

Et simpelt modelbillede: risiko, kontroller og forventninger

En brugbar måde at forstå sikkerhed på er at se den som en balance mellem:

  • Trusler og svagheder: Hvad kan gå galt, og hvor kan det ske?
  • Risiko: Hvor sandsynligt er det, og hvor alvorligt er udfaldet?
  • Kontroller: Hvilke tiltag reducerer sandsynlighed eller konsekvens?
  • Forventningsafstemning: Hvad kan kontrollerne realistisk opnå i den konkrete situation?

Når du bruger begrebet på en meningsfuld måde, bør du kunne pege på mindst to ting: (1) hvilken type uønsket hændelse man vil undgå, og (2) hvilke kontroller der skal gøre en forskel. Uden det bliver “sikkerhed” let et vagt ord.

Forskelle og grænser: hvad sikkerhed ikke er

Selvom sikkerhed ofte lyder som et endeligt mål, er det normalt en løbende proces. Her er de vigtigste begrænsninger, du bør kende:

  1. Trusler og systemer ændrer sig Sikkerhed bygger på en antagelse om, at trusselsbilledet er nogenlunde kendt. I virkeligheden ændrer angrebsmetoder, konfigurationer og afhængigheder sig. Derfor kan det, der var “tilstrækkeligt” tidligere, blive mindre effektivt senere.

  2. “Stærk teknik” er ikke altid “stærk praksis” Et system kan være designet med gode sikkerhedsegenskaber, men stadig blive sårbart, hvis det opsættes forkert, overvåges dårligt eller brugerne omgår regler i pressede situationer.

  3. Sikkerhed kan være målspecifik Man kan være relativt stærk mod én type risiko og svag mod en anden. Derfor giver det mening at spørge: sikkerhed mod hvad, og målt i forhold til hvilke konsekvenser?

  4. Ingen absolut garanti Uanset tilgang findes der typisk en rest-risiko. “Sikkerhed” handler derfor om at styre risiko, ikke om at eliminere den helt.

Praktisk brug: sådan kan du selv vurdere “sikkerhed”

Når du møder ordet sikkerhed i en samtale, en rapport eller en teknisk beskrivelse, kan du teste forståelsen ved at stille nogle konkrete kontrolspørgsmål:

  • Hvilken uønsket hændelse er i fokus (fx tab af fortrolighed, manipulation eller afbrydelser)?
  • Hvilke kontroller nævnes, og hvordan forventes de at reducere risiko?
  • Hvad bygger vurderingen på (design, proces, løbende drift)?
  • Hvad er antagelserne og begrænsningerne i den konkrete sammenhæng?

Hvis teksten kun beskriver resultater uden at forklare kontroller, antagelser eller drift, bør du være skeptisk. Hvis den derimod kobler sikkerhed til en risikoforståelse og en løbende proces, er den ofte mere gennemsigtig.

Beslægtede begreber, du bør kende

“Sikkerhed” overlapper med flere andre begreber. Her er nogle, der ofte hjælper med at gøre definitionen konkret:

  • Risikovurdering: at vurdere sandsynlighed og konsekvens.
  • Trusselsmodel: at beskrive mulige angribere, mål og angrebsveje.
  • Tillid og adgangskontrol: hvem/ hvad der får lov at gøre hvad.
  • Robusthed og overvågning: hvordan man opdager afvigelser og reagerer.
  • Helhedssikkerhed: samspillet mellem teknik, mennesker og processer.

At kende disse ord gør det lettere at skelne mellem generelle løfter og faktisk styring af risiko. Det hjælper også med at forstå, hvorfor sikkerhedsjargon ofte lyder præcis: den skal beskrive, hvad man beskytter, hvordan man gør det, og hvor man accepterer usikkerhed.