Datacentersikkerhed skal kunne skaleres

Udgivet

5 Oktober 2026 12:00

2026_SecTech_DK-Michael-Bagge_KAM_portrait

Når kapaciteten vokser, flytter en del af sikkerhedsrisikoen fra det enkelte site til overgangene mellem adgangsbeslutninger, sikkerhedssystemer og lokale regler.

Et datacenter kan have velfungerende adgangskontrol, videoovervågning og alarmer og alligevel mangle et samlet svar på, hvorfor en person fik adgang, hvordan en hændelse udviklede sig, eller om den samme risiko bliver håndteret ens på tværs af lokationer.

Problemet bliver mere aktuelt i takt med branchens vækst samt skærpede sikkerhedskrav fra myndigheder og kunder. Det Internationale Energiagentur oplyser, at de globale investeringer i datacentre næsten er fordoblet siden 2022 og nåede omkring 500 milliarder dollar i 2024. Samtidig forventes sektorens elforbrug at stige fra cirka 415 TWh i 2024 til omkring 945 TWh i 2030. Tallene viser ikke, hvor mange sites den enkelte operatør får, men de viser tempoet og omfanget af udbygningen.¹

Michael Bagge, Global Account Manager, Securitas Technology - Global Client Team (GCT), arbejder med globale datacenterkunder. I samtalerne med kunderne møder han især udfordringer med eksterne leverandører og teknikere, forskelle mellem sites og manglende overblik, når oplysninger om den samme hændelse ligger i flere systemer. Det peger på et fælles problem: Den fysiske kapacitet kan vokse hurtigere end organisationens evne til at bevare kontrollen på tværs.²

“Når en datacenterportefølje vokser, opstår risikoen ikke kun ved døre eller perimeteren. Den opstår også i overgangene mellem den lokale drift, de centrale regler og de systemer, der skal dokumentere, hvad der er sket.”
Global Account Manager, Securitas Technology - Global Client Team (GCT)

Risici opstår mellem godkendelse og ophør

Kontrollen med eksterne leverandører og teknikere er ifølge Michael Bagge en tilbagevendende udfordring hos globale datacenteroperatører. Adgangen skal gives hurtigt nok til, at arbejdet kan udføres, uden at et midlertidigt behov bliver til en permanent rettighed. ²

En teknikers adgang begynder ikke ved døren. Den begynder, når opgaven bliver bestilt, og nogen beslutter, hvilke områder teknikeren skal kunne komme ind i. Først når arbejdet er afsluttet, og rettigheden er fjernet, er forløbet slut. Kontrollen kan svigte undervejs, selv om kortlæsere fungerer korrekt.

Michael Bagge oplever derfor en stigende efterspørgsel efter forhåndsregistrering via et Visitor Management System (VMS). Her kan oplysninger om den besøgendes identitet, arbejdsgiver, arbejdsordre og kontaktperson registreres før ankomsten, og besøget kan godkendes på forhånd. Det kan forkorte ventetiden ved indgangen og gøre det lettere at give den nødvendige adgang, når teknikeren møder op.

Et Visitor Management System forbereder besøget og samler oplysningerne om godkendelsen. Biometri kan derefter styrke kontrollen af personens identitet, mens et digitalt adgangskort på mobiltelefonen kan gøre det lettere at tildele og fjerne rettigheder. Teknologierne løser dermed forskellige dele af processen. Ingen af dem kan dog afgøre, om arbejdsopgaven berettiger adgang til den pågældende zone.

ENISA anbefaler for digitale adgangsrettigheder, at tredjepartsadgang begrænses i omfang og varighed, at midlertidige konti får en udløbsdato, og at ændringer kan spores. Vejledningen vedrører net- og informationssystemer, men princippet er også relevant for fysisk adgang: En rettighed skal kunne følges fra godkendelse til ophør.³

På et enkelt site kan en glemt rettighed måske opdages og fjernes lokalt. Hvis den samme mangel går igen på flere lokationer, er problemet ikke længere den enkelte forglemmelse. Så mangler organisationen kontrol med den samlede adgangsproces.

En hændelse findes sjældent i ét system

Et tilsvarende tab af sammenhæng opstår, når noget skal undersøges. Et kamera, en kortlæser og en alarm kan hver især fungere korrekt, uden at operatøren får et samlet billede af hændelsen. Michael Bagge peger på det som en central svaghed ved separate sikkerhedssystemer.²

Forestil dig en ekstern tekniker, der servicerer et køleanlæg uden for normal arbejdstid. Adgangssystemet kan vise, at en dør er blevet åbnet. Den registrering fortæller ikke, hvem der godkendte besøget, hvilke områder teknikeren måtte bruge, eller om video og sensorer registrerede noget usædvanligt. Den enkelte oplysning kan være korrekt, mens det samlede forløb stadig er uklart.

Når adgangsloggen, videoen og alarmen ligger i hver sit system, skal hændelsen først rekonstrueres. Operatøren skal finde registreringerne, afgøre hvilke der hører sammen og opbygge en tidslinje, før situationen kan vurderes. Flere sites og lokale systemer øger risikoen for, at det samme forløb bliver forstået forskelligt.

Værdien af integration ligger i at bevare forbindelsen mellem godkendelsen, den fysiske adgang, alarmen og reaktionen. Uden den forbindelse kan organisationen have store mængder sikkerhedsdata uden at have et pålideligt billede af, hvad der er sket.

Lokale forskelle kan forvrænge risikobilledet

Manglende standardisering mellem lokationer er ifølge Michael Bagge en anden tilbagevendende udfordring. Når sites bruger forskellige teknologier, procedurer og serviceaftaler, skal teknikerne kunne arbejde i flere systemer, og reservedele og specialistkompetencer kan ikke udnyttes lige så effektivt på tværs af porteføljen.²

Forskellene påvirker også ledelsens billede af risikoen. Hvis den samme jobfunktion giver forskellige adgangsrettigheder fra site til site, bliver en central kontrol af rettighederne usikker. Hvis hændelser registreres forskelligt, kan en global rapport vise forskelle i risiko, som reelt skyldes forskellige måder at registrere på. Dataene ser sammenlignelige ud, men betyder ikke nødvendigvis det samme.

Datacentre kan ikke indrettes efter én fast skabelon. Bygningernes indretning, nationale krav, beredskabet og det lokale trusselsbillede varierer. Den afgørende skelnen går derfor mellem en lokal tilpasning, som organisationen har valgt og dokumenteret, og en særregel, der er vokset frem over tid uden en tydelig beslutning.

Standardisering betyder derfor ikke, at alle sites skal være ens. Fælles definitioner og minimumskrav gør det muligt at se, hvor sikkerheden er tilpasset lokale forhold, og hvor praksis har udviklet sig i en anden retning end den fælles model.

Ifølge Michael Bagge kan en global leverandør understøtte den balance ved at gennemføre det samme sikkerhedsprogram på tværs af lande, samtidig med at lokale teams står for leverancen og kommunikationen på det lokale sprog. Når manualer, arbejdsbeskrivelser og standardiserede løsninger også tilpasses sprogligt, mindskes risikoen for, at de fælles krav bliver forstået forskelligt fra site til site.

Dokumentationen skal vise den faktiske drift

Den danske NIS 2-lov trådte i kraft den 1. juli 2025. Omfattede virksomheder skal blandt andet gennemføre cybersikkerhedsforanstaltninger og underrette om væsentlige hændelser. ENISA's tekniske vejledning til de digitale sektorer omfatter også perimeter, fysiske adgangspunkter, overvågning og de miljøer, hvor net- og informationssystemerne befinder sig.^{3, 4}

Datacentertjenester indgår samtidig i den digitale infrastruktursektor under CER-loven. Det betyder ikke, at alle datacentre automatisk er udpeget som kritiske enheder. Det viser, at fysisk modstandsdygtighed indgår i myndighedernes vurdering af de tjenester, samfundet er afhængigt af.⁵

Lovgivningen skaber ikke forbindelsen mellem fysisk og digital sikkerhed. Den gør behovet for dokumentation tydeligere. En politik kan beskrive, hvordan adgangen bør fungere, men den viser ikke, hvordan en konkret adgang blev godkendt, hvilke kontroller der var aktive, eller hvordan en hændelse blev håndteret i den daglige drift.

For en operatør med flere sites bliver dokumentationen derfor mere end et revisionsspor. Den er grundlaget for at afgøre, om de fælles sikkerhedsprincipper faktisk bliver fulgt, og om lokale afvigelser er begrundede.

Fælles styring skal følge med kapaciteten

For at bevare kontrollen, når porteføljen vokser, skal operatøren styre sikkerheden efter en fælles model på tværs af lokationerne. Modellen skal fastlægge, hvordan adgang godkendes og ophører, hvordan hændelser registreres, og hvilken dokumentation der skal kunne sammenlignes på tværs.

Den centrale sikkerhedsledelse fastlægger definitioner, roller og krav til rapportering. De lokale teams tilpasser udførelsen til bygningen, lovgivningen og det lokale trusselsbillede. Når et site har brug for en anden løsning, skal organisationen kunne se forskellen, forstå begrundelsen og beslutte, hvornår den skal vurderes igen.

”Det enkelte datacenter kan være godt sikret, uden at operatøren har den samme kontrol over hele porteføljen. Den kontrol findes først, når organisationen kan følge en adgang fra godkendelse til ophør, samle en hændelse på tværs af systemer og forklare de lokale afvigelser. Det er den styring, der skal kunne skaleres sammen med datacentrenes kapacitet.”
Michael Bagge.

Læs mere om datacentre her

Om Michael Bagge

Michael Bagge er Global Account Manager, Securitas Technology - Global Client Team (GCT) og arbejder med globale datacenterkunder. Han rådgiver blandt andet om fysisk sikkerhed, standardisering og sikkerhedsprogrammer på tværs af sites og lande.