CTO’en bygger, og CISO’en udfordrer det byggede. Den Chief Technology Officer, der ejer produktet og dets teknologi, vil have hastighed, nye funktioner og en arkitektur, der kan bære. Den Chief Information Security Officer, der ejer sikkerhedsarbejdet, vil vide, hvad der kan gå galt, og om ledelsen har accepteret risikoen. I en lille softwarevirksomhed kan én person godt dække begge dele, og i de første år er det ofte det eneste rimelige. Det holder op med at fungere, når kunder eller myndigheder vil have et uafhængigt svar, når sikkerheden taber hver gang til næste leverance, eller når der ikke længere er tid til begge dele.
Forskellen på en CISO og en IT-chef hos dem, der bruger IT, står i CISO og IT-chef (CIO). Her handler det om virksomheden, der laver software.
To opgaver, der trækker i hver sin retning
CTO’en svarer for, hvad der bliver bygget, hvordan det bliver bygget, og om udviklerne kan levere. Rollen er forklaret for direktøren i Hvad er en CTO?. CISO’en svarer for, at ledelsen kender risiciene, at sikkerhedsarbejdet er styret og dokumenteret, og at nogen har overblikket, når noget går galt, se Hvad er en CISO?.
Modsætningen er selve meningen med at have to perspektiver. Når en ny funktion skal på markedet fredag, og en udvikler har fundet en svaghed torsdag, er der to rimelige hensyn. Hvem afgør det, og hvem skal kende afgørelsen? Hvis svaret er den samme person, er hensynet til fredag som regel det, der vinder, fordi det er det, der kan ses.
Sådan kan ejerskabet fordeles:
- Arkitektur og teknologivalg · ejes af CTO’en. CISO’en stiller krav og vurderer risikoen.
- Sikker udvikling i hverdagen · udføres af udviklerne under CTO’en. CISO’en fastlægger, hvad der skal kunne vises.
- Risikovurdering og rapport til ledelsen · ejes af CISO’en.
- Svar til kunder om sikkerhed · samles af CISO’en, med fakta fra CTO’en.
- Hændelser · CTO’en leder den tekniske udbedring. CISO’en holder styr på helheden, kommunikationen og opfølgningen.
Hvorfor det er enkelt i den lille virksomhed
Med tre til ti udviklere findes der sjældent grundlag for to ledere. CTO’en, ofte en af stifterne, kender hver del af produktet og ved bedre end nogen anden, hvor det er svagt. Der er få kunder, få krav, og afstanden til direktøren er kort. Her er det fornuftigt at samle rollen hos CTO’en og aftale nogle få faste rutiner.
Betingelsen er, at sikkerhedsarbejdet er synligt. Det kan være en kort risikoliste, som CTO’en gennemgår med direktøren hvert kvartal, og en beslutning om, hvad der er udskudt og hvorfor. Får virksomheden ikke den vane tidligt, er det svært at indføre den, når kravene kommer.
Der er også en række opgaver, som en stærk tekniker ikke får lavet af sig selv. Politikker, leverandørstyring, beredskabsplan og ledelsesrapportering hører sjældent til det, CTO’en vælger først, og det er forståeligt. Det er alligevel det, kunderne beder om at se.
Tegn på, at det ikke længere kan være én person
Disse tegn peger på, at rollerne skal skilles ad:
- Kunderne spørger til uafhængighed. En stor kunde vil vide, hvem der kontrollerer den, der bygger.
- Sikkerhedsspørgeskemaerne hober sig op. CTO’en bruger dage på at svare og tager tiden fra produktet. Hvad spørgeskemaet kræver af virksomheden, står på cto-as-a-service.dk under kundens sikkerhedsspørgeskema.
- I er eller kan blive omfattet af NIS2. Så skal ledelsesorganet efter lovens § 7 godkende foranstaltningerne og føre tilsyn med dem, og det kræver nogen, der forbereder det. Spørgsmålet er gennemgået under er jeres SaaS omfattet af NIS2?.
- Fund bliver liggende. Svagheder fra test og gennemgange bliver stående på listen, fordi nye funktioner går forud.
- Direktøren får kun ét svar. Ledelsen hører om sikkerhed fra den person, der også har bygget det, der skal vurderes.
Ét tegn er nok til at tage samtalen. To eller flere betyder som regel, at noget skal ændres.
Tre måder at skille rollerne på
Adskillelsen behøver ikke at betyde en ny fuldtidsstilling.
CTO’en beholder rollen, og en ekstern kigger efter. Her er sikkerheden stadig CTO’ens, men en udefra gennemgår arbejdet med faste mellemrum og giver direktøren et selvstændigt billede. Det er den mindste ændring og passer, når kravene endnu er få.
En ekstern CISO nogle dage hver måned. CISO’en ejer risikolisten, rapporten og kundernes spørgsmål, mens CTO’en ejer det tekniske. Det frigør CTO’en og giver den uafhængighed, kunderne spørger efter. Hvad det kræver, står i hvornår det giver mening at hente en ekstern CISO og i Kan én ekstern dække flere roller?.
En fast sikkerhedsansvarlig i teamet. Giver mening i større softwarevirksomheder. En person, der refererer til CTO’en, kan drive meget af arbejdet, men vurderingen af, om CTO’en selv prioriterer rigtigt, bør ledelsen stadig kunne få fra en anden kant.
Referencevejen afgør det meste
Lige meget hvilken model I vælger, skal én ting være på plads. Den, der ejer sikkerhedsvurderingen, skal kunne nå direktøren uden om CTO’en, når det er nødvendigt. Så kan ledelsen selv træffe beslutningen om risikoen, og den bliver ikke afgjort i udviklingsteamet.
Et tænkt eksempel: Et softwarehus med tolv ansatte får en stor kunde, der kræver dokumentation for sikkerheden. CTO’en har hidtil båret alt. Direktøren henter en ekstern CISO nogle dage hver måned, og vedkommende samler dokumentationen og holder et kvartalsmøde med direktøren. Teknologivalg og prioritering af udviklernes tid forbliver hos CTO’en. Når CISO’en vurderer, at en udskudt rettelse er for risikabel, går sagen til direktøren, som beslutter og skriver begrundelsen ned.
Tegn fordelingen op, før I vælger model. Brug ansvarsmatricen, så det er klart, hvem der ejer, udfører og kontrollerer.
Det skal I lade være med
- At se uenighed mellem de to som en fejl · den er grunden til at have begge perspektiver.
- At give CISO’en ansvaret uden adgang til direktøren · så forbliver sikkerheden et spørgsmål inde i teamet.
- At lade CISO’en bestemme over udviklernes prioritering · rollen skal vise risikoen, og ledelsen vælger.
- At vente, til en kunde stiller kravet · dokumentation tager tid at bygge op.
Det skal I kræve af den eksterne
- ☐ En skriftlig grænse mellem CTO’ens og CISO’ens opgaver.
- ☐ Respekt for, at produktbeslutninger forbliver hos CTO’en.
- ☐ En risikoliste med fravalg, som direktøren kan forholde sig til.
- ☐ Svar til kunder, der stemmer med det, teamet faktisk gør.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Softwarehus og startup · Bruger I IT, eller laver I software?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
