Digital suverænitet

70 13 63 23

Firewalls og sikkerhedsudstyr: hvem ejer det, og hvem opdaterer det

Firewalls og sikkerhedsudstyr: hvem ejer det, og hvem opdaterer det

Firewallen står mellem jeres netværk og omverdenen, men den mangler ofte i oversigten over leverandørafhængigheder. Vurderingen hviler på to spørgsmål, nemlig hvem der ejer producenten, og hvem der bestemmer, hvad der kører på udstyret.

Artiklen gennemgår ejerskab, opdateringsvej, styring fra producentens cloud, licenser og supportophør. Den anbefaler ingen produkter og vurderer alle producenter efter samme målestok.

Sikkerhedsudstyret er også en leverandør

Firewalls, VPN-adgange og andet sikkerhedsudstyr bliver typisk købt som hardware og afskrevet over flere år. I driften opfører de sig mere som en tjeneste. Producenten leverer firmware, signaturer og ofte administrationsportalen.

Mange organisationer har desuden en driftsleverandør, der konfigurerer og overvåger udstyret. Så er der to led mellem jer og firewallen, og begge skal med i vurderingen. Driftsleverandøren bestemmer typisk tidspunktet for opdateringer, mens producenten bestemmer indholdet.

NIS2-direktivets artikel 21, stk. 2, nævner både forsyningskædesikkerhed og sikkerhed ved erhvervelse og vedligeholdelse af systemer. Sikkerhedsudstyret er omfattet på linje med andre leverandører, jf. → NIS2 og leverandørstyring.

Et marked med få store producenter

IDC opgør markedet for sikkerhedsudstyr ud fra omsætningen af hardware. I fjerde kvartal 2024 havde Fortinet 18,95 procent og Palo Alto Networks 18,71 procent. Cisco fulgte med 11,44 procent, Check Point med 7,52 procent og TopSec med 2,88 procent.

De tre største er stiftet i Delaware og har hovedsæde i Californien ifølge deres indberetninger til SEC. Tilsammen stod de for knap halvdelen af omsætningen. Tallene dækker kun hardware, da IDC i 2023 fjernede software og tjenester fra opgørelsen. Firewalls, der kører som software eller i en cloudtjeneste, indgår derfor ikke. I andet kvartal 2024 var Huawei nummer fem med 3,5 procent.

Koncentrationen betyder, at mange organisationer deler samme producent og dermed samme opdateringsvej. Det samme mønster gennemgås for cloudtjenester i → koncentrationsrisiko.

Ejerskabet kan skifte i udstyrets levetid

En firewall kan sidde i drift længe nok til, at producenten skifter ejer. Sophos, der har hovedsæde i Oxford, blev overtaget af kapitalfonden Thoma Bravo 2. marts 2020 og afnoteret fra børsen i London. Thoma Bravo har hovedsæde i San Francisco.

Hewlett Packard Enterprise gennemførte købet af Juniper Networks 2. juli 2025. Europæiske producenter indgår også i koncerner. Franske Stormshield oplyser på sin egen side, at selskabet er et helejet datterselskab af Airbus Defence and Space.

En ny ejer kan ændre produktplaner, licensmodeller og supportperioder, selv om udstyret fortsat virker som før. Ejerskabet skal derfor ses efter igen ved hver fornyelse. Mekanismen uddybes i → ejerskab skifter ved opkøb og kapital.

Opdateringsvejen ejes af producenten

Al firmware kommer fra producenten, og det gælder uanset hjemland. Forskellen ligger i, om organisationen selv bestemmer, hvornår en ny version installeres.

Fortinet oplyser i udgivelsesnoterne til FortiOS 7.6.1, at automatisk firmwareopgradering fra version 7.4.5 er slået til som standard på alle FortiGate-modeller. Udstyret opgraderer sig selv til seneste firmware, medmindre indstillingen ændres manuelt.

Automatiske opdateringer lukker kendte huller hurtigere. De betyder også, at producenten kan ændre funktioner uden, at nogen hos kunden har godkendt det. Begge hensyn skal fremgå af beslutningen, og valget skal være et bevidst valg.

En mellemvej er at installere opdateringer med en fast forsinkelse og efter en kort test på ét stykke udstyr. Kritiske sikkerhedsrettelser kan så få en hurtigere procedure. Uanset model bør det stå skriftligt, hvem der godkender en opdatering, og hvem der kan rulle den tilbage.

Når udstyret styres fra producentens cloud

Mange produkter administreres fra en portal, som producenten driver. Cisco Meraki beskriver i sin dokumentation, hvad der sker, når forbindelsen til Meraki-skyen forsvinder.

Udstyret fortsætter med den seneste sikre konfiguration. Med firmware fra MX 17 genstarter det dog efter otte timer uden forbindelse til portalen. Hvor længe og hvordan udstyret kan administreres uden portalen, er derfor et spørgsmål til producentens dokumentation.

Licensen er en del af driften

Hos nogle producenter hænger udstyrets funktion sammen med en gyldig licens. Meraki skriver i sine ofte stillede spørgsmål om licenser, at udstyr på licensmodellerne Co-Term og PDL holder op med at fungere, når organisationen ikke længere overholder licensvilkårene. Udstyret lader så ikke trafik passere til internettet, og konfigurationen kan ikke ændres.

For en organisation kan en overset fornyelse eller en fejl i licensadministrationen dermed få samme virkning som et nedbrud. Licensens udløbsdato, og hvem der fornyer den, hører derfor med i kortlægningen sammen med firmwareversionen.

Producenten har dermed en mulighed for at stoppe udstyret, som ikke afhænger af nogen myndighed. En sanktion eller et dekret kan virke gennem samme kanal, jf. → sanktioner og dekreter og → sagen om ICC og Microsoft.

Supportophør og nødpatches

Når producenten stopper supporten, stopper opdateringerne. Den amerikanske cybersikkerhedsmyndighed CISA udsendte 25. september 2025 nøddirektivet ED 25-03 om Cisco ASA og Firepower. Cisco forbandt angrebene med aktiviteten ArcaneDoor, der første gang blev set i begyndelsen af 2024.

Føderale myndigheder skulle afbryde ASA-udstyr med supportophør senest 30. september 2025 permanent. Udstyr med supportophør 31. august 2026 skulle opdateres straks og derefter inden for 48 timer efter hver ny udgivelse. Direktivet blev opdateret 23. april 2026 med nye frister for opdatering og genstart. Sagen viser, hvor kort varslet kan blive, når udstyret er gammelt. Udstyr, der kører på en ældre softwareversion, kan desuden være svært at opdatere, når der kommer en akut rettelse. Forholdet mellem brugsret og producentens vedligeholdelse uddybes i → brugsret og vedligeholdelse.

Hvad EU kræver af producenterne fra 2027

Forordningen om cyberrobusthed, Cyber Resilience Act, trådte i kraft 10. december 2024. Ifølge Kommissionens oversigt skal producenten fastsætte en supportperiode, hvor sårbarheder håndteres. Slutdatoen med måned og år skal oplyses ved købet.

Pligten til at indberette aktivt udnyttede sårbarheder gælder fra 11. september 2026. Forordningen gælder fuldt ud fra 11. december 2027. En oplyst slutdato gør det muligt at sammenligne supportperioden med den periode, I forventer at bruge udstyret. Forordningen ændrer derimod intet ved, hvem der ejer producenten eller styrer opdateringerne. Udstyr købt før 2027 er heller ikke nødvendigvis mærket med en slutdato.

Hvad kortlægningen skal indeholde

For hver firewall, VPN-adgang og andet sikkerhedsudstyr bør kortlægningen besvare syv spørgsmål.

  1. Producent og model · Notér producent, model, firmwareversion og dato for seneste opdatering.
  2. Ejer · Find producentens moderselskab og hovedsæde, og kontrollér det ved hver fornyelse, jf. → trin 2 om moderselskabet.
  3. Opdateringsvej · Afklar, om opdateringer installeres automatisk, af jer selv eller af en driftsleverandør.
  4. Administration · Notér, om udstyret styres lokalt eller fra producentens portal, og hvad der sker uden forbindelse.
  5. Licens · Afklar, hvilke funktioner der stopper, når licensen udløber eller ikke fornys.
  6. Supportophør · Find producentens offentliggjorte dato for supportophør og planlæg udskiftningen før den.
  7. Hvem har adgang · Notér, hvem der kan logge ind på udstyret, også producentens support og driftsleverandøren.

Spørgsmålene om at lukke, se og ændre svarer til → trin 4 i exit-planen.

Hvad kortlægningen kan og ikke kan

Kortlægningen kan vise, hvor meget af sikkerheden der afhænger af én producent, og hvor producenten kan ændre eller stoppe udstyret. Den viser også, hvilket udstyr der nærmer sig supportophør.

Den kan ikke vurdere kvaliteten af producentens kode eller forudsige, om en bestemt producent rammes af sanktioner. Et skifte til en anden producent flytter afhængigheden, men fjerner den ikke. Europæiske producenter leverer også firmware, licenser og ofte portaler, som de selv kontrollerer.

Kortlægningen siger heller ikke noget om, hvorvidt konfigurationen er sikker. Det kræver en teknisk gennemgang af regler, adgange og logning.

Pc’er, servere og netværksudstyr gennemgås efter samme målestok i → Fysisk infrastruktur: hvem står bag.

Betydningen for exit-planen

Sikkerhedsudstyr skal stå i exit-planen på samme måde som forretningssystemer, fordi et stop rammer alt bag det.

  • Medtag sikkerhedsudstyret i kortlægningen fra → trin 1, med producent, ejer og opdateringsvej.
  • Planlæg udskiftning efter supportophør, så valget af ny producent ikke træffes under tidspres.
  • Skriv krav om lokal administration, oplyst supportperiode og varsel ved ændringer ind i næste kontrakt, jf. → trin 8.

Når mange lokationer og driftsleverandører deler samme sikkerhedsudstyr, kan en uvildig gennemgang give et samlet billede. Nielco IT’s jurisdiktions- og afhængighedsvurdering vurderer for hvert system, hvem der kan lukke, se og ændre det, og med hvilket varsel.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Rådgivningen er uvildig og uafhængig, og Nielco IT har ikke indgået forhandleraftaler med leverandører.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026