Cyber Security Incident Responder — løn 2026: 64.304 kr. om måneden

En cyber security incident responder er den, der rykker ud, når noget er galt. Rollen er teknisk — den leder ikke selve krisen, men finder ud af, hvad der faktisk er sket.

Et forløb ser sådan ud:

• Bekræftelse: er alarmen ægte, eller er den falsk — de fleste er falske
• Afgrænsning: hvilke maskiner og konti er berørt, og hvornår begyndte det
• Sporing: hvordan kom angriberen ind, og hvad har de gjort siden — logfiler, hukommelse og diskbilleder gennemgås
• Inddæmning: isolere maskiner, spærre konti og lukke den vej, der blev brugt
• Bevissikring: gemme spor korrekt, så de kan bruges i en anmeldelse eller en forsikringssag
• Genopretning: sikre at systemerne er rene, før de sættes i drift igen
• Rapport: en beskrivelse af forløbet og af, hvad der skal ændres

Det svære er at arbejde hurtigt uden at ødelægge spor. Slukker man en maskine for at stoppe angrebet, forsvinder hukommelsen, og med den ofte den bedste dokumentation for, hvad der skete.

Rollen findes i større virksomheders egne sikkerhedsafdelinger og hos de leverandører, der sælger beredskab som en tjeneste — mange virksomheder har en aftale med en sådan i stedet for eget hold.

En del af arbejdet er også det stille: at gennemgå gamle hændelser og lede efter tegn på angreb, ingen har opdaget.

Alarmerne kommer fra virksomhedens overvågningssystem — Microsoft Sentinel, Splunk, Elastic Security — og fra det værktøj, der sidder på maskinerne: CrowdStrike Falcon, Microsoft Defender for Endpoint eller SentinelOne, som også kan isolere en maskine på afstand.

Den retstekniske del bruger Velociraptor, KAPE eller Autopsy til at hente og gennemgå spor, og Volatility til hukommelsen. Netværkstrafik analyseres i Wireshark eller Zeek.

Mistænkelige filer undersøges i et afskærmet testmiljø, aldrig på en almindelig arbejdsmaskine. Oplysninger om kendte angribere hentes fra trusselsdatabaser, og forløbet dokumenteres i et sagsværktøj, hvor hvert skridt får et tidsstempel.