Falsk tryghed i compliance kan blive en dyr genvej

En ny sag fra TechCrunch rammer et ømt punkt hos både private virksomheder og offentlig sektor: mange køber compliance for at sænke risiko, men hvis dokumentationen ikke holder, står ansvaret stadig hos kunden. Kilden beskriver en amerikansk compliance-startup, der ifølge en anonym whistleblower har overbevist hundreder af kunder om, at de levede op til krav om privatliv og sikkerhed. Whistlebloweren peger direkte på mulig HIPAA-eksponering og store GDPR-bøder.

💡 Kort fortalt Kilden beskriver påstande om 100% compliance, falsk bevismateriale og trust pages med kontroller, som ifølge whistlebloweren aldrig var sat i drift. Sagen nævner også to auditfirmaer, Accorp og Gradient, som skulle have stået bag de endelige rapporter. Virksomheden bag værktøjet afviser anklagerne og siger, at endelige rapporter alene udstedes af uafhængige, licenserede auditorer.

Det mest interessante i sagen er ikke dramaet. Det er mønsteret. Hvis et værktøj kan udfylde skabeloner, samle screenshots og få en proces til at se færdig ud, så er det let at forveksle papir med kontrol. TechCrunch gengiver, at whistlebloweren beskylder startupen for at producere fake evidence, for at lade auditor-konklusioner tage form før en uafhængig gennemgang og for at bruge trust pages, der beskrev sikkerhedsforanstaltninger, som ikke var implementeret.

Whistlebloweren hævder også, at næsten alle kunder gik gennem de samme to auditfirmaer, og at de i praksis bare godkendte rapporter genereret af platformen. Senere i forløbet beskrev sikkerhedsfolk på X adgang til følsomme data som baggrundstjek på medarbejdere og oplysninger om aktieprogrammer, samt flere huller i den eksterne angrebsflade. Det er fortsat påstande, men de er alvorlige nok til, at enhver sikkerheds- eller indkøbschef bør reagere.

For danske virksomheder er læringen enkel. En attest er ikke det samme som en reel kontrol. Hvis du køber en løsning til ISO 27001, SOC 2 eller GDPR-arbejde, skal du vide præcis, hvem der producerer beviserne, hvem der tester dem, og hvem der skriver under. Offentlig sektor bør stille samme krav i udbud: navn på auditor, metode for stikprøver, krav til logning og ret til egen verifikation.

🛠️ Gør det nu Bed leverandøren vise tre konkrete kontroller i drift, ikke kun skabeloner. Tjek om trust page, politikker og teknisk opsætning faktisk matcher. Få skrevet ind i kontrakten, at falsk eller genbrugt dokumentation er misligholdelse.

Den praktiske pointe er, at AI og automation kan spare meget arbejde i compliance. Det ændrer bare ikke på, at ansvar, kontrol og underskrift stadig lander hos dig.