En ekstern IT-leder skal have de adgange, rollen kræver, gennem personlige konti, som virksomheden selv opretter, ejer og kan lukke. Adgangene logges og gennemgås jævnligt. Fortroligheden aftales skriftligt, før de første dokumenter udveksles, og den gælder også efter ophøret. Alt det, den eksterne udarbejder undervejs, fra kortlægningen og strategien til beslutningsloggen, tilhører virksomheden og ligger i virksomhedens egne systemer fra første dag. Artiklen gennemgår, hvad ledelsen bør tage stilling til på de tre områder. Selve formuleringen af bestemmelserne i aftalen er en opgave for jeres advokat.
Rollen bestemmer adgangen
Forskellige roller har brug for forskellige adgange. En ekstern IT-chef, der styrer leverandører og budget, skal kunne læse kontrakter, fakturaer og supportsager, men har sjældent brug for at ændre opsætningen af en server. En ekstern sikkerhedsansvarlig skal kunne se logfiler, sikkerhedsindstillinger og rapporter fra overvågningen. En ekstern IT-driftschef følger driften tæt og har derfor ofte brug for flest rettigheder.
Skriv derfor ned, hvad den eksterne skal kunne se, og hvad den eksterne skal kunne ændre. Læseadgang dækker det meste af en ledelsesrolle. Rettigheder til at ændre gives til konkrete opgaver og gerne for en afgrænset periode. Princippet kaldes mindst mulige rettigheder og betyder, at hver bruger har adgang til det, opgaven kræver, og intet ud over det.
Hvilke systemer der er tale om, kommer frem i gennemgangen ved start. Listen over adgange kan udarbejdes samtidig og vedlægges aftalen om ekstern IT-ledelse som bilag.
Personlige konti i virksomhedens navn
Den eksterne bør have sin egen konto i hvert system med sit eget navn på. Fælles konti og delte adgangskoder skjuler, hvem der har gjort hvad, og en fælles konto kan ikke lukkes for én person uden at ramme de andre brugere. Kontoen oprettes af virksomheden eller af driftsleverandøren efter virksomhedens anmodning og noteres på en liste, som den interne kontaktperson holder ajour.
Tofaktorgodkendelse bør være slået til på alle konti med adgang til administration, økonomi eller personoplysninger. Aftal desuden, hvilket udstyr den eksterne arbejder fra, og om jeres filer må gemmes lokalt på det.
Det samme gælder hos leverandørerne. Opretter den eksterne en konto i en leverandørportal, skal kontoen stå i virksomhedens navn og kunne overtages af en anden. Opgavefordelingen mellem jer og driftsleverandøren gennemgås i IT-ledelse og IT-leverandøren.
En administratorkonto giver teknisk adgang til meget. Hvad den eksterne faktisk må beslutte med den, afgøres af mandatet.
Logning og løbende kontrol
Logning vil sige, at systemerne registrerer, hvem der loggede ind, hvornår, og hvad der blev ændret. De fleste cloudtjenester og forretningssystemer kan det, men funktionen er ikke altid slået til, og loggen gemmes nogle gange kun i kort tid. Spørg driftsleverandøren, hvad der logges i dag, og hvor længe loggen opbevares.
Logningen beskytter begge parter. Opstår der tvivl om en ændring, kan loggen vise, hvem der foretog den, og det har den eksterne lige så stor interesse i som virksomheden.
Gennemgå listen over adgange et par gange om året. Bruger den eksterne stadig alle sine rettigheder, eller hænger der adgange tilbage fra et afsluttet projekt? Når listen føres løbende, tager kontrollen kort tid, og den kan indgå som et fast punkt i rapporteringen.
Fortrolighed før, under og efter
Den eksterne ser kontrakter, økonomi, planer og ofte oplysninger om medarbejdere og kunder. Fortroligheden bør derfor være på plads, inden de første dokumenter bliver sendt.
Ledelsen bør afklare tre spørgsmål. Hvad regnes som fortroligt, hvor længe gælder forpligtelsen efter ophøret, og må den eksterne bruge erfaringer fra jeres virksomhed i anonymiseret form i andet arbejde? Generel faglig erfaring bliver naturligt hos den eksterne. Jeres konkrete oplysninger, planer og kendte svagheder må aldrig bruges hos andre opdragsgivere.
Mange vælger at samle forpligtelsen i en selvstændig fortrolighedsaftale. Nielco IT underskriver en fortrolighedsaftale (NDA) på forespørgsel. Hvad aftalen skal dække i jeres branche, og hvordan den formuleres, er et spørgsmål til jeres advokat.
Bed også den eksterne om at oplyse om forhold, der kan give en interessekonflikt, fx opgaver for en konkurrent eller for en af jeres leverandører. Spørgsmålene om bindinger og provision er uddybet i artiklen om uvildig IT-rådgivning.
Dokumentationen tilhører virksomheden
I et samarbejde om ekstern IT-ledelse omfatter dokumentationen typisk:
- Kortlægningen af systemer, leverandører, kontrakter og adgange.
- IT-strategien og den aktuelle prioriteringsliste.
- Risikovurderinger, politikker og procedurer.
- Beslutningsloggen, hvor hver beslutning noteres med dato, begrundelse og navnet på den, der besluttede.
- Rapporter til direktion og bestyrelse.
- Skabeloner, der er tilpasset virksomheden.
Ledelsen bør have det skrevet ind i aftalen, at alt dette tilhører virksomheden. Den eksterne kan have egne metoder og grundskabeloner, som fortsat er den eksternes. Afklar derfor, at virksomheden frit kan bruge, ændre og give den tilpassede udgave videre, også efter samarbejdet er slut. Den juridiske formulering af ejerskab og brugsret hører hjemme hos advokaten.
Beslutningsloggen er det dokument, der oftest mangler. Uden den står en efterfølger med resultatet af en beslutning og intet kendskab til begrundelsen. Så bliver det svært at vurdere, om valget stadig holder.
Hvor dokumentationen skal ligge
Placér dokumentationen i virksomhedens egen fildeling eller dokumentsystem, i en mappe, som direktionen og den interne kontaktperson altid kan åbne. Den eksterne arbejder i mappen fra første dag. Det er enklere end at aftale en aflevering senere, og intet går tabt, hvis samarbejdet stopper brat.
Forestil jer et lille softwarehus, hvor en stor kunde forlanger dokumentation efter ISO 27001. Når kunden beder om at se politikken for adgangsstyring, skal virksomheden kunne finde den selv. Ligger politikken i den eksternes mailboks, afhænger svaret af en person uden for huset.
Ved ophør gennemgås mappen og listen over adgange efter tjeklisten i artiklen om afslutning af samarbejdet.
Det skal I kræve af den eksterne
- ☐ Personlige konti og ingen delte adgangskoder.
- ☐ Tofaktorgodkendelse på alle konti med administrative rettigheder.
- ☐ En opdateret liste over egne adgange som fast punkt i rapporteringen.
- ☐ En underskrevet fortrolighedsaftale, før dokumenter udveksles.
- ☐ Oplysning om mulige interessekonflikter.
- ☐ Al dokumentation og beslutningsloggen placeret i jeres systemer.
Det skal I lade være med
- At give administratoradgang til alt fra start · rettighederne kan udvides, når en opgave kræver det.
- At lade leverandøren oprette konti i den eksternes navn · kontoen skal kunne overtages af en anden.
- At sende kontrakter og planer, før fortroligheden er aftalt · rækkefølgen er svær at rette op på bagefter.
- At acceptere, at dokumenter ligger på den eksternes udstyr · de kan være svære at få tilbage ved ophør.
- At springe beslutningsloggen over · en efterfølger har ellers kun resultaterne at arbejde ud fra.
Næste skridt er at lave listen over de systemer, den eksterne skal have adgang til, og oprette den fælles mappe til dokumentationen, før samarbejdet går i gang.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Aftalen om ekstern IT-ledelse · Den interne kontaktperson
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
