I tester uden at forstyrre driften ved at holde testen fysisk og logisk adskilt: eget miljø, en kopi af data, egne konti og ingen forbindelse til produktion. Så kan testen fejle uden konsekvenser for nogen. En exit-plan kræver ikke, at produktionen står stille eller flyttes, for det, der skal vises, er om vejen ud kan bruges.
Det svar overrasker mange, fordi ordet test lyder som noget, der går ud over driften. Finans Norges vejledning til finanssektoren fra 2025 siger, at planen skal laves, så den kan testes, og at der ikke stilles krav om test i faktisk drift. Det er et norsk brancheoplæg, og det er hverken tilsynspraksis eller dansk. Dansk tilsynspraksis kender vi ikke. For en virksomhed uden for finans kender vi intet krav om test af en exit-plan, så her afgør I selv formen.
Formål
En isoleret test skal vise, at kopi, vejledning og folk virker, uden at risikere data, kunder eller oppetid. En backup testing procedure, altså en fast fremgangsmåde for at prøve backup, kan bruges som skelet, og den skal bare udvides med det, en exit kræver: et sted uden for det nuværende miljø. Afsnittet her beskriver rammen om testen. Selve testen findes i eksporttesten og i gendannelse et andet sted.
Forudsætninger
- En liste over det, der aldrig må ske under testen, fx mails til kunder, betalinger og ændringer i produktion.
- Et miljø, der er adskilt. Finansielle enheder skal efter art. 12, stk. 3, i DORA have egne systemer til gendannelse fysisk og logisk adskilt fra kildesystemet. Andre kan bruge det som model, og den er god.
- En kopi af data, der ikke kan påvirke originalen.
- En aftale med IT-leverandøren om tidspunkt, hvis de driver noget af det, I bruger.
- En ansvarlig, der må stoppe testen.
Fremgangsmåde i trin
- Beskriv grænsen. Tegn testmiljøet, og skriv, hvad der er indenfor og udenfor. Alle forbindelser ud af testen er lukkede, medmindre de står på listen.
- Afskær integrationer. Sæt mail, betaling, banker, offentlige indberetninger og kunders systemer ud af kraft, eller lad dem pege på attrapper. Det er det vigtigste trin, for her opstår uheldene.
- Brug egne konti. Testen må ikke bruge produktionens konti, nøgler eller adgangsoplysninger. Giv konti en slutdato.
- Hent en kopi af data. Vurder, om rigtige data er nødvendige. Rigtige data giver den bedste test og den største risiko. Kan I maskere eller udvælge dem, så gør det. Må rigtige data bruges, gælder samme beskyttelse som i produktion, se persondata på vej ud.
- Læg belastningen uden for arbejdstid. Eksport kan trække på det levende system. Kør den i et aftalt vindue, og hold øje med svartider.
- Gennemfør testen. Følg den valgte test. Hold en kort log.
- Stop-regel. Viser driften tegn på påvirkning, stopper den ansvarlige testen uden diskussion.
- Afslut. Luk miljøet, slet data, fjern konti, kontroller, at intet sendte noget ud, og at produktion er uændret.
Hvis det ikke kan lade sig gøre
Nogle systemer kan ikke isoleres. Licenser kan forbyde et ekstra miljø, integrationer kan være svære at afskære, og SaaS giver sjældent adgang til et testmiljø, se SaaS-testen. Så har I tre muligheder: spørg leverandøren om et testmiljø, afgræns til en del af systemet, eller lav en gennemgang ved bordet. Finans Norges vejledning peger på bord- og skrivebordsøvelser. DORA-teksten fastlægger ingen testform, så dette er vejledningens læsning og ingen godkendelse fra lovgiver. Niveauerne står i skrivebord, delvis eller fuld.
Overvej også tidspunktet. Test ikke i en periode med månedsafslutning, kampagne eller lageropgørelse, og heller ikke samtidig med en større opdatering. En kalender over travle perioder fra forretningen er nok.
Kriterier, skrevet på forhånd
Ud over testens egne kriterier gælder et sæt for selve rammen. Ingen data eller beskeder har forladt testmiljøet. Ingen målbar påvirkning af produktionen, målt på de svartider, I følger i forvejen. Alle testkonti er lukket, og alle kopier er slettet til aftalt tid. Rammer I ét af punkterne, er testen ikke bestået, uanset hvor godt selve gendannelsen gik. Se hvad er en bestået test?.
Det, der skrives ned
Skriv en tegning af miljøet, listen over afskårne forbindelser, tidsvinduet, loggen, eventuelle tegn på påvirkning og bekræftelsen på oprydning. Det hele kan ligge i testrapporten.
Hvem der godkender
Systemejeren godkender tidspunktet og listen over det, der aldrig må ske. Den, der svarer for sikkerheden, godkender brug af data og miljø. Den ansvarlige for testen bekræfter oprydningen. Ved brug af en IT-leverandør skal denne vide, at testen foregår, så en alarm ikke bliver til en hændelse.
Hvad det kræver, og hvad det koster at lade være
Rammen koster tid til planlægning: tegning af miljøet, afskæring af integrationer og oprydning. Det er ofte mere end selve testen. Dertil kommer leje af et midlertidigt miljø og eventuelle licenser. Anslå hver test lavt og højt med dato, og hold posterne adskilt fra selve testens timer.
Uden en ramme er der to dårlige udfald. Enten bliver testen aldrig lavet af frygt for driften, eller også går den galt, og en faktura ender hos en kunde. Regn i egne tal, hvad en times afbrydelse koster, og sammenhold det med forberedelsen. Rammen kan genbruges, så næste test bliver hurtigere, og den samme adskillelse har værdi for andre former for test.
Det skal I lade være med
- At teste med produktionens konti · så er testen ikke adskilt, uanset hvor den kører.
- At overse udgående mail og betalinger · det er sådan, en test bliver til en hændelse.
- At lade testdata ligge bagefter · de er stadig jeres data.
Det skal planen kunne vise
- ☐ En beskrivelse af testmiljøet og dets grænser.
- ☐ En liste over afskårne forbindelser.
- ☐ Regler for brug af rigtige data.
- ☐ Stop-regel og hvem der bruger den.
- ☐ Bekræftet oprydning med dato.
- ☐ Godkendelse af tidsvindue fra systemejeren.
Kilder
- Finans Norge: Veileder for styring av IKT-tredjepartsrisiko i finansnæringen, 2025: afsnit 4.5.1, s. 21. Norsk brancheoplæg.
- Forordning (EU) 2022/2554 (DORA): art. 12, stk. 3. Gælder finansielle enheder og bruges her som model.
Senest gennemgået: november 2026.
Næste skridt
Tegn grænsen for ét testmiljø, og skriv listen over det, der aldrig må ske. Vurder derefter, hvor meget testen skal rumme, og hvem der skal beslutte det.
Læs også: Gendannelse et andet sted · Exit-plan med egne IT-folk
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
