Sådan vælger du en sikker softwareleverandør

Annonce – sponsoreret indhold.

Når du skal vælge en sikker softwareleverandør til din næste app, platform eller IT-løsning, handler det ikke kun om funktioner og pris. Det handler om at beskytte din forretning, dine kunders data og dit brand mod sikkerhedsbrister, der kan koste dyrt — både økonomisk og omdømmemæssigt. Mange iværksættere og virksomhedsejere ved, at sikkerhed er vigtigt, men færre ved præcis, hvad de skal spørge om, eller hvilke kriterier der adskiller en professionel leverandør fra en, der tager genveje. Denne guide giver dig konkrete spørgsmål, tjeklister og kontraktkrav, du kan bruge allerede i næste leverandørdialog.

Hvorfor sikkerhed i leverandørvalget påvirker din forretning direkte

Når du får bygget software af en ekstern leverandør, overtager du ansvaret for det færdige produkt. Det betyder, at hvis leverandøren har taget genveje i sikkerhedsarbejdet, og der senere opstår en sikkerhedsbrist, er det din virksomhed, der står med konsekvenserne. Det kan være alt fra datalæk og bøder til tabt kundetillid og negativ presseomtale.

For voksende virksomheder er dette særligt kritisk. Du er måske ved at bygge den platform, der skal skalere din forretning, eller den app, der skal give dine kunder en bedre oplevelse. Hvis fundamentet er usikkert, risikerer du at skulle rive ned og bygge op igen — eller værre, at opdage problemet først, når skaden er sket.

En professionel leverandør bør kunne dokumentere sin sikkerhed i udviklingsprocessen med konkrete processer, værktøjer og kontroller. Det er ikke nok at få et mundtligt løfte om, at “vi tager sikkerhed alvorligt”. Du har brug for at se, hvordan de arbejder, og hvilke standarder de følger.

Lovgivningsmæssigt er kravene også skærpet. NIS2-direktivet stiller krav til virksomheder i en række sektorer om at sikre deres digitale infrastruktur, og Cyber Resilience Act (CRA) indfører krav til producenter af produkter med digitale elementer. ISO 27001-certificering er en anerkendt standard for informationssikkerhed, som mange professionelle leverandører arbejder efter. Datatilsynet håndhæver GDPR-reglerne i Danmark, og bøder for manglende datasikkerhed kan være betydelige.

Konkrete spørgsmål du skal stille en potentiel softwareleverandør

Inden du vælger leverandør, bør du have en struktureret dialog om sikkerhed. Her er de spørgsmål, der afslører, om en leverandør arbejder professionelt med sikkerhed, eller om de improviserer:

Spørgsmål om proces og metode

• Hvordan integrerer I sikkerhed i jeres udviklingsproces? — En professionel leverandør bør kunne beskrive en struktureret tilgang, hvor sikkerhed indgår i alle faser fra planlægning til drift. Vær skeptisk, hvis svaret er vagt eller fokuserer udelukkende på test til sidst.
• Hvordan håndterer I sikkerhedskrav i opstartsfasen af et projekt? — Leverandøren bør spørge ind til, hvilken type data løsningen skal håndtere, hvilke brugere der skal have adgang, og hvilke lovkrav der er relevante.
• Udfører I trusselsmodellering eller risikovurdering? — Dette er en systematisk måde at identificere, hvor løsningen kan være sårbar, før man begynder at bygge. Hvis leverandøren ikke kender begrebet, er det et advarselstegn.
• Hvilke retningslinjer følger jeres udviklere for sikker kodning? — Professionelle leverandører har dokumenterede retningslinjer, ofte baseret på anerkendte frameworks som OWASP.

Spørgsmål om test og kvalitetskontrol

• Hvilke typer sikkerhedstest udfører I, og hvornår i processen? — Svarene bør inkludere begreber som SAST (statisk analyse), DAST (dynamisk analyse), penetrationstest og code review. Timing er også vigtigt — test bør ske løbende, ikke kun lige før lancering.
• Hvordan håndterer I fund fra sikkerhedstest? — Der bør være en klar proces for at prioritere, dokumentere og rette sårbarheder, samt kriterier for hvornår en løsning er klar til release.
• Bruger I tredjepartssikkerhedstest eller kun intern test? — Ekstern penetrationstest giver en uafhængig vurdering og kan afdække blinde vinkler.

Spørgsmål om tredjepartskomponenter og afhængigheder

• Hvordan holder I styr på open source-komponenter og biblioteker i løsningen? — De fleste moderne softwareløsninger bruger mange tredjepartskomponenter. Leverandøren bør have værktøjer og processer til at holde øje med kendte sårbarheder i disse.
• Hvad er jeres proces, når der opdages en kritisk sårbarhed i en komponent, I bruger? — Svaret bør vise, at de aktivt overvåger og har en plan for hurtig håndtering.

Spørgsmål om drift og vedligeholdelse

• Hvad sker der med sikkerheden efter lancering? — Software kræver løbende vedligeholdelse, herunder sikkerhedsopdateringer. Afklar, hvad der er inkluderet i leverancen, og hvad der koster ekstra.
• Hvordan håndterer I sårbarhedsrapporter efter lancering? — Der bør være en klar proces for at modtage, vurdere og reagere på rapporter om sikkerhedsproblemer.

Sådan vurderer du svarene fra leverandøren

Det er ikke nok at stille spørgsmålene — du skal også kunne vurdere kvaliteten af svarene. Her er nogle pejlemærker:

Positive tegn:

• Leverandøren kan give specifikke eksempler på, hvordan de har håndteret sikkerhed i tidligere projekter
• De stiller opfølgende spørgsmål til dig om dine sikkerhedsbehov og lovkrav
• De kan vise dokumentation for deres processer, fx i form af interne retningslinjer eller certificeringer
• De er ærlige om begrænsninger og anbefaler evt. eksterne specialister til særligt kritiske områder
• De har erfaring med relevante standarder som ISO 27001 eller branchespecifikke krav

Advarselstegn:

• Vage eller generiske svar som “vi tager sikkerhed alvorligt” uden konkrete eksempler
• Manglende kendskab til grundlæggende sikkerhedsbegreber og -værktøjer
• Modvilje mod at dokumentere sikkerhedsprocesser eller inkludere dem i kontrakten
• Fokus udelukkende på funktionalitet og pris, med sikkerhed som en eftertanke
• Ingen erfaring med sikkerhedstest eller tredjepartsvurderinger

Sikkerhedskrav du bør formulere i leverandørkontrakten

En god dialog er vigtig, men den skal følges op af skriftlige aftaler. Kontrakten er dit juridiske værn, hvis noget går galt. Her er de områder, du bør dække:

Krav til udviklingsprocessen

Beskriv i kontrakten, at leverandøren skal følge en dokumenteret sikker udviklingsproces. Det kan formuleres som:

• Leverandøren skal følge anerkendte principper for sikker softwareudvikling, herunder sikkerhedskrav i planlægningsfasen, sikker kodning, code review og sikkerhedstest
• Leverandøren skal kunne dokumentere, hvilke sikkerhedsaktiviteter der er udført i projektet
• Ændringer i løsningen skal risikovurderes i forhold til sikkerhed

Krav til test og dokumentation

• Løsningen skal gennemgå dokumenteret sikkerhedstest før endelig levering, herunder som minimum [specificer relevante testtyper baseret på projektets risikoprofil]
• Leverandøren skal levere en rapport over udførte sikkerhedstest og håndtering af identificerede sårbarheder
• Kritiske og høj-risiko sårbarheder skal være udbedret før løsningen accepteres

Krav til tredjepartskomponenter

• Leverandøren skal levere en oversigt over alle tredjepartskomponenter og biblioteker, der indgår i løsningen (Software Bill of Materials)
• Leverandøren skal have en proces for at overvåge og opdatere komponenter med kendte sårbarheder
• Brug af komponenter med kendte, uløste sikkerhedsproblemer skal godkendes skriftligt af kunden

Krav til drift og vedligeholdelse

• Kontrakten skal specificere, hvem der har ansvar for sikkerhedsopdateringer efter lancering, og hvilke responstider der gælder for kritiske sårbarheder
• Leverandøren skal have en procedure for at modtage og håndtere sårbarhedsrapporter
• Ved kritiske sikkerhedshændelser skal leverandøren orientere kunden inden for [specificer tidsramme]

Ansvar og garantier

• Definer klart, hvem der bærer ansvaret, hvis en sikkerhedsbrist skyldes mangler i leverandørens arbejde
• Overvej at inkludere en garantiperiode, hvor leverandøren skal udbedre sikkerhedsfund uden ekstra omkostninger
• Specificer, hvilken dokumentation leverandøren skal levere som bevis for udført sikkerhedsarbejde

Det kan være en god idé at få en advokat med erfaring i IT-kontrakter til at gennemgå aftalen, særligt ved større projekter eller løsninger, der håndterer følsomme data.

Sikkerhed som en del af dit brand og kundetillid

For mange virksomheder er den digitale løsning en central del af kundeoplevelsen. Om det er en app, en kundeportal eller en e-handelsplatform, så former den, hvordan kunderne opfatter dit brand.

En sikkerhedshændelse kan ødelægge den tillid, du har brugt år på at opbygge. Kunder forventer, at deres data er sikre, og de holder dig — ikke din leverandør — ansvarlig, hvis noget går galt. Det er dit brand, der står på spil i overskrifterne, hvis der sker et datalæk.

Omvendt kan en bevidst tilgang til sikkerhed være en konkurrencefordel. Hvis du kan dokumentere, at din løsning er bygget efter høje sikkerhedsstandarder, kan det være et salgsargument over for sikkerhedsbevidste kunder og samarbejdspartnere. Mange større virksomheder stiller krav til deres leverandørers sikkerhed, så en solid sikkerhedsprofil kan åbne døre til nye kundesegmenter.

Når du arbejder med positionering og differentiering af dit brand, er sikkerhed et område, hvor du kan skille dig ud fra konkurrenter, der tager lettere på det.

Typiske fejl virksomheder begår ved leverandørvalg

Selvom de fleste virksomheder ved, at sikkerhed er vigtigt, ser jeg ofte de samme fejl gentage sig:

At vælge udelukkende på pris: Den billigste leverandør har sjældent råd til at gøre sikkerhedsarbejdet ordentligt. Besparelsen kan hurtigt blive ædt op af omkostninger til at rette problemer senere — eller værre, af konsekvenserne af en sikkerhedshændelse.

At antage at sikkerhed er standard: Mange tror, at sikkerhed automatisk er en del af enhver professionel softwareleverance. Det er det ikke. Uden eksplicitte krav og aftaler vil leverandøren fokusere på det, der er specificeret — typisk funktionalitet og deadline.

At vente med sikkerhed til sidst: Sikkerhed skal tænkes ind fra starten. At tilføje sikkerhed til en færdig løsning er som at installere fundament efter huset er bygget — dyrt, besværligt og ofte utilstrækkeligt.

At stole blindt på certificeringer: En ISO 27001-certificering er et godt tegn, men den garanterer ikke automatisk, at hver enkelt leverance lever op til standarden. Spørg ind til, hvordan certificeringen afspejles i det konkrete projekt.

Ikke at definere ansvar efter lancering: Mange kontrakter slutter ved levering, men sikkerhedsarbejdet fortsætter så længe løsningen er i drift. Uklare aftaler om vedligeholdelse og sårbarhedshåndtering kan give ubehagelige overraskelser.

En praktisk tjekliste til din næste leverandørdialog

Brug denne tjekliste, når du skal i dialog med potentielle softwareleverandører:

Før mødet:

• Identificer hvilken type data løsningen skal håndtere (persondata, betalingsdata, forretningskritiske data)
• Undersøg hvilke lovkrav der gælder for din branche og løsning (GDPR, NIS2, branchespecifikke krav)
• Forbered de konkrete spørgsmål fra denne guide

Under mødet:

• Stil spørgsmål om proces, test, tredjepartskomponenter og vedligeholdelse
• Bed om eksempler fra tidligere projekter
• Spørg til certificeringer og standarder
• Noter kvaliteten af svarene — er de specifikke eller vage?

Efter mødet:

• Bed om skriftlig dokumentation for sikkerhedsprocesser
• Sammenlign flere leverandører på sikkerhedsparametre, ikke kun pris og funktionalitet
• Formuler eksplicitte sikkerhedskrav til kontrakten
• Overvej at få en uafhængig vurdering af kritiske leverancer

Ofte stillede spørgsmål

Hvad koster det ekstra at få sikker softwareudvikling?

Sikkerhed bør ikke være et ekstra tilkøb, men en integreret del af en professionel leverance. Leverandører, der arbejder systematisk med sikkerhed, vil typisk have dette indregnet i deres normale prissætning. Vær skeptisk over for leverandører, der præsenterer grundlæggende sikkerhed som en dyr tilføjelse — det kan tyde på, at deres standardprocess ikke inkluderer det. Omvendt vil særligt grundig sikkerhedstest, ekstern penetrationstest eller compliance-dokumentation til specifikke standarder ofte være separate poster.

Hvordan ved jeg, om min leverandør faktisk gør det, de lover?

Bed om dokumentation. En professionel leverandør kan levere testrapporter, oversigt over udførte code reviews, liste over tredjepartskomponenter og dokumentation for deres processer. Ved kritiske løsninger kan det være relevant at hyre en uafhængig tredjepart til at udføre en sikkerhedsvurdering af det færdige produkt, før du accepterer leverancen.

Er ISO 27001-certificering nok til at sikre, at leverandøren er god?

ISO 27001 er en anerkendt standard for informationssikkerhedsledelse og et godt udgangspunkt. Men certificeringen dækker leverandørens egne systemer og processer — den garanterer ikke automatisk kvaliteten af hver enkelt leverance til dig. Spørg ind til, hvordan de anvender deres sikkerhedsstyringssystem i praksis på kundeleverancer, og bed om konkrete eksempler.

Hvad skal jeg gøre, hvis jeg allerede har fået bygget software uden sikkerhedsfokus?

Det er ikke for sent at handle. Overvej at få en ekstern sikkerhedsvurdering (penetrationstest) af den eksisterende løsning for at identificere de mest kritiske sårbarheder. Prioriter udbedring af fundene baseret på risiko, og etabler en plan for løbende sikkerhedsvedligeholdelse fremover. Ved alvorlige, grundlæggende sikkerhedsproblemer kan det være nødvendigt at overveje en større omskrivning.

Skal jeg selv have sikkerhedskompetencer for at vurdere en leverandør?

Du behøver ikke være sikkerhedsekspert, men du skal vide, hvad du skal spørge om. Denne guide giver dig de grundlæggende spørgsmål. Ved komplekse eller kritiske projekter kan det være en god investering at hyre en uafhængig sikkerhedsrådgiver til at deltage i leverandørvurderingen og gennemgå kontrakten.