1. Executive Summary
Cyberhoten förändras snabbt och allt fler attacker bygger på enkla misstag – inte avancerad teknik. Ett läckt lösenord, en felaktig inställning i molnet eller en ännu inte uppdaterad server kan räcka för att en angripare ska ta sig in.
Säkerhetsvalidering handlar om att löpande testa och bekräfta att IT-miljön verkligen är skyddad – i praktiken, inte bara på papper. Det är som att regelbundet göra en brandövning: du får svart på vitt om dina skydd fungerar, var brister finns och vad som måste åtgärdas först.
Automatiserade pentester är nästa steg i detta arbete. De kombinerar bredden från sårbarhetsscanning, djupet från manuella tester och förmågan att hitta konfigurationsfel i molnet – men gör det automatiserat, kontinuerligt och på ett sätt som speglar hur en verklig angripare arbetar.
För verksamheten innebär det:
- Minskad risk för incidenter – upptäck och åtgärda brister innan angriparna gör det.
- Större affärsnytta – se till att säkerhetsbudgeten används där den gör mest nytta.
- Tydligt beslutsunderlag – rapporter som visar risker, utveckling och förbättringar på ett språk som styrelse och ledning förstår.
Säkerhetsvalidering är inte bara en teknisk kontroll, utan ett strategiskt verktyg för att driva både säkerhet och affär framåt.
Alternativa versioner av guiden
Guiden går även att ladda ner som PDF för dig som vill kunna läsa den offline.
Och för dig som inte vill eller har möjlighet att läsa, så har vi med hjälp av AI tagit fram ljud- och video-sammanfattningar av guiden.
Samtliga ljud-podar finns även på Cuebids Spotify-konto och alla videos hittar du även på Cuebids YouTube.
2. Inledning – Varför detta är viktigt just nu
Cyberhoten förändras snabbt. Ransomware, dataintrång och kapade konton sker varje dag och angripare letar inte efter de största företagen, utan efter de enklaste ingångarna. Rapporter visar att många incidenter fortfarande börjar med något så banalt som en ännu ej uppdaterad server, ett felkonfigurerat VPN eller ett läckt lösenord.
Det räcker alltså inte längre med brandvägg och antivirus. Verksamheter behöver kontinuerligt validera sin säkerhet, precis som man gör regelbundna brandövningar eller besiktigar bilen, för att upptäcka dolda risker innan olyckan sker.
Vad menar vi med Säkerhetsvalidering?
Begreppet säkerhetsvalidering kan låta abstrakt, men i grunden handlar det om något enkelt: att kontinuerligt testa och bekräfta att IT-miljön håller tätt.
Det finns flera sätt att beskriva samma idé:
- Automatiserade pentester – det mest konkreta ordet. Precis som vid ett manuellt penetrationstest försöker man bryta sig in, men nu sker det med hjälp av smarta system som gör det snabbt, brett och säkert.
- CTEM* (Continuous Threat Exposure Management) – begreppet som Gartner lanserat. Här ligger betoningen på att löpande hantera sin ”attackyta” och prioritera de största riskerna.
- Säkerhetsvalidering – vårt övergripande svenska begrepp. Vi använder det för att det fångar helheten: från patchhantering och scanning till validering och verifiering.
Oavsett vilket ord man använder är poängen densamma: att se sin IT-miljö genom angriparens ögon, inte bara en gång per år, utan kontinuerligt.
3. Historiken bakom säkerhetsvalidering
Fas 1 - Sårbarhetsscanning (ca 1995-)
De första verktygen fokuserade på att jämföra system mot databaser med kända sårbarheter (CVE:er*). Resultatet blev långa listor med potentiella brister.
- Styrkor: Bred täckning, bra för compliance.
- Begränsningar: Svårt att prioritera, mycket ”brus”.
Fas 2 - Manuella pentester* & Red Teaming (ca 2005-)
Etiska hackare började anlitas för att kreativt kedja ihop svagheter.
- Styrkor: Djup och verklighetsnära resultat.
- Begränsningar: Dyrt, punktinsats (ofta 1–2 ggr/år), svårt att täcka hela miljön.
Fas 3 - Risk- och exponeringshantering (ca 2018-)
Med hybrid- och molnmiljöer behövdes mer kontext. Nya plattformar började väga samman sårbarheter med identitet, molnkonfigurationer och affärspåverkan. Fokus flyttades från ”vad som är trasigt” till ”vad som faktiskt gör oss mest sårbara”.
- Styrkor: Fokuserar på verkliga risker och ger en mer verksamhetsnära prioritering. Tar hänsyn till molnkonfigurationer och identitetsfrågor som blivit allt viktigare.
- Begränsningar: Ger ingen bekräftelse på om en attackväg faktiskt fungerar – analyserar men validerar inte fullt ut.
Fas 4 - Automatiserad säkerhetsvalidering (ca 2021-)
Plattformar för automatiserade pentester växte fram. De fungerar som ”digitala etiska hackare” som kontinuerligt kartlägger, exploaterar och verifierar svagheter – men gör det säkert och automatiserat.
- Styrkor: Ger bevisade attackvägar och prioriterade åtgärder löpande, med rapporter för både tekniker (åtgärdslistor) och ledning (KPI:er*, trender).
- Begränsningar: Saknar den mänskliga kreativiteten hos manuella pentester, men kompletterar dessa på ett effektivt sätt.
4. Patch Management - fundamentet med inte hela bilden
Många stora intrång börjar med kända men ännu ej uppdaterade sårbarheter. När leverantörer som Microsoft, Adobe eller Fortinet släpper en patch tar det ofta mindre än 48 timmar innan hotaktörer har utvecklat fungerande exploits.
Exploits är färdigskrivna program eller script som gör det möjligt även för icke-experter att utnyttja den specifika sårbarheten. Dessa säljs eller sprids på Darkweb, ofta tillsammans med listor på vilka företag som är sårbara.
Utmaningen är att många organisationer saknar en robust patchprocess och en fullständig överblick över alla system i sin miljö. Det gör att vissa sårbarheter aldrig åtgärdas i tid. Här kan verktyg för patch management, sårbarhetsscanning och säkerhetsvalidering spela en avgörande roll. Genom att kartlägga nätverket kan de identifiera system och tjänster som IT-avdelningen kanske inte ens kände till att de hade – ”skugg-IT” som annars lätt hamnar utanför patchprocessen.
Patch management är därför en grundsten i säkerhetsarbetet, men den behöver alltid kompletteras med scanning, validering och kontroller av misskonfigurationer och konton för att ge ett verkligt skydd.
Tidigare var man rädd för att patchar kunde skapa driftstörningar och tog därför tid på sig att testa dem. Idag är risken för stora ekonomiska konsekvenser på grund av ett ej uppdaterat system långt större än risken för problem vid patchningen.
Patch management idag handlar därför inte bara om teknik, utan också om riskminimering och kostnadskontroll – att undvika avbrott, incidenter och skador som ofta blir långt dyrare än själva patchningen.
5. Olika metoder - och varför de kompletterar varandra
Det finns inget enskilt verktyg eller metod som löser allt. Styrkan ligger i kombinationen – där varje del bidrar på sitt sätt. En bra strategi för säkerhetsvalidering är därför att förstå vad de olika metoderna gör, och hur de kan komplettera varandra.
Så fungerar de olika metoderna
Patch Management
Är i grunden en process för att täppa till kända tekniska sårbarheter. Det kan liknas vid rutinen att alltid låsa dörren hemma. Processen kan med fördel kompletteras med verktyg som automatiserar delar av arbetet och ger överblick över hela miljön. Utan en robust process för Patch Management är risken stor att man missar kritiska uppdateringar.
Sårbarhetsscanning
är verktyg som kartlägger brister brett och ger en lista på alla fönster och dörrar i huset, samt om de verkar vara stängda och låsta. Men, man känner inte alltid efter på riktigt. Därför blir resultatet ofta långa listor som behöver bearbetas och prioriteras.
Pentest (manuellt)
Är som att anlita en expert som försöker ta sig in i huset via de dörrar och fönster du vill testa. Testet kan även innefatta ”social engineering”, dvs att lura någon att öppna dörren åt dem. Det ger djup och kreativitet, men är en punktinsats som oftast görs 1–2 gånger per år.
CSPM* (Cloud Security Posture Management)
Är lösningar som hjälper till att hitta felaktiga eller osäkra konfigurationer i molnmiljöer. Här är fokus inte bara på att hitta tekniska sårbarheter i mjukvara, utan kanske framför allt på att hitta brister i inställningar och policies – alltså säkerhetshål som uppstår för att något är felkonfigurerat eller saknas helt. Eftersom molnaktörer som Azure (Microsoft), AWS (Amazon) och GCP (Google) ofta har olika standarder, finns särskilda verktyg för att hitta risker och jämföra miljön mot de olika tjänsterna rekommenderade säkerhetsinställningar.
Automatiserade pentester (modern säkerhetsvalidering)
Är som en smart robot som inte bara regelbundet testar alla dörrar och fönster, utan faktiskt provar att ta sig in och sedan ger en rapport på hur det gick till och vad du behöver åtgärda. Det kombinerar bredden från scanning, djupet från pentest och förmågan att upptäcka moln- och konfigurationsfel – men gör det automatiserat och kontinuerligt.
Vad gör man själv – och vad kan köpas som tjänst?
- Patch Management kräver interna rutiner, men kan förstärkas med verktyg.
- Sårbarhetsscanning kan göras internt men blir ofta mest effektivt som tjänst med regelbundna leveranser.
- Pentester (manuella) köps nästan alltid som projekt.
- Automatiserade pentester levereras oftast som tjänst med månadskostnad, vilket gör det lättare att bygga in kontinuitet.
För många organisationer blir kombinationen av eget arbete och externa tjänster mest effektiv. Det viktiga är dock att inte drunkna i rapporterna, utan att ha en process som hjälper dig se helheten och prioritera rätt åtgärder.
En aspekt som ofta glöms bort är att säkerhetsarbetet inte bara gäller traditionella IT-miljöer. I många verksamheter finns också OT*-miljöer (Operational Technology) – det vill säga produktions- och styrsystem för exempelvis industri, miljö och energi, ofta för samhällskritiska funktioner. Dessa system är ofta svårare att patcha, byggda för andra förutsättningar och kan sällan avbrytas för uppdateringar eller hanteras på samma sätt som övriga IT-system. Därför blir det extra viktigt att komplettera patch management och scanning med metoder som validerar skyddet även i OT-miljön.
I OT-sammanhang kan säkerhetsvalidering till exempel visa:
- Vilka exponerade system som finns och som angripare kan nå
- Om det går att kedja ihop sårbarheter och felkonfigurationer för att påverka kritiska processer
- Om de befintliga skydden faktiskt kan stoppa ett intrång utan att störa driften.
Ingen metod är ensam tillräcklig. Patch Management stänger de kända luckorna, scanning kartlägger bredden, pentest visar djupet, CSPM säkrar molnet och automatiserade tester knyter ihop allt till en helhetsbild. Det är just kombinationen som gör att du kan prioritera rätt och samtidigt visa för både ledning och kunder att du arbetar strukturerat med säkerhet.
6. Modern säkerhetsvalidering - Automatiser
Automatiserade pentester kan liknas vid en digital brandövning. I stället för att bara läsa checklistan (sårbarhetsscanning) eller en gång om året låta en expert prova brandsprinkler och nödutgångar (manuell pentest), får man ett system som hela tiden testar skyddet i praktiken, men på ett säkert och kontrollerat sätt.
Precis som en inbrottstjuv börjar med att gå runt huset, tittar systemet på allt som ”syns” – både utifrån, inifrån och i molnet – i din IT-miljö. Det noterar vilka dörrar och fönster som finns (system och tjänster) och provar sedan metodiskt om de går att öppna. Men det stannar inte där. Låt säga att det hittar en dörr som inte är helt låst, kombinerar det med en tappad nyckel (ett läckt konto) och dessutom märker att larmet inte är påslaget (en konfigurationsmiss). Genom att koppla ihop flera små brister visar testet hur en angripare i verkligheten hade kunnat ta sig in och hur långt in angriparen skulle kunna komma.
Så går det till i praktiken
- Kartläggning – systemet börjar med att se vilka dörrar och fönster (system och tjänster) som finns.
- Kopplade svagheter – små brister kombineras till verkliga intrångsvägar.
- Exploatering (säkert) – testet provar om det går att ta sig in, men utan att störa eller förstöra.
- Resultat – en tydlig beviskedja som visar vägen in och konsekvensen.
- Åtgärdslista – en prioriterad fixlista med konkreta rekommendationer.
- Verifiering – samma test kan köras igen för att säkerställa att hålet verkligen är stängt
Skillnaden mot riktiga hackare är att systemet gör detta utan att förstöra något. Det går så långt som behövs för att bevisa att ett intrång är möjligt, men de får/kan t ex inte kryptera data eller ta bort filer. Detta och mycket mer är fundamentala skyddsfunktioner som finns inbyggda från grunden just för att de inte skall kunna orsaka någon skada.
Resultatet blir inte en lång lista på allt som ”kan” vara fel, utan en prioriterad handlingsplan med verifierade risker och tydliga bevis:
- Path – vägen in.
- Proof – bevis på att det gick.
- Impact – vilken effekt det kunde få, t.ex. åtkomst till känslig data.
En stor styrka är att testerna kan köras regelbundet och automatiskt. Säkerhetsarbetet blir mer som en hälsokontroll som pågår löpande, i stället för en enstaka läkarundersökning. Detta gör det lättare att:
- snabbt upptäcka nya brister
- följa utvecklingen över tid
- och visa för ledning och styrelse att riskerna faktiskt minskar.
Olika användningsområden
Automatiserade pentester kan anpassas till olika delar av miljön:
- Externa tester – på publika tjänster (webb, VPN, molnresurser) för att se vad en angripare utifrån kan hitta.
- Interna tester – på servrar, applikationer och nätverk för att förstå vad som händer om en angripare redan tagit sig förbi ytterdörren.
- Scenarion – exempelvis vad som händer om ett användarkonto kapas, eller hur långt en angripare kan ta sig från en viss startpunkt.
På så sätt blir det möjligt att se både den stora bilden och de kritiska detaljerna – kontinuerligt och utan att störa verksamheten.
Test av skyddsmekanismer och detektionsförmåga
En av de största vinsterna med automatiserade pentester är att de inte bara hittar sårbarheter – de testar även om dina befintliga skyddsmekanismer fungerar som tänkt. Lyckas brandväggen blockera försöken? Stoppar EDR*-lösningen attacker? Eller finns det en falsk känsla av trygghet på grund av bristfälliga konfigurationer?
Genom att mappa testerna mot MITRE ATT&CK-ramverket* blir det tydligt var du har ”luckor” i din miljö och vilka åtgärder som kan täppa till dem. På så sätt blir resultatet inte bara en lista över brister – utan en karta över var dina försvar håller måttet och var de behöver förstärkas.
Minst lika viktigt är frågan om synlighet: kan du i ditt SOC*/NOC*/SIEM* faktiskt se de attacker och exploateringar som plattformen utför? Om inte, betyder det att du sannolikt också är blind vid en verklig attack. Skillnaden är att riktiga angripare inte lämnar några rapporter efter sig.
Automatiserad säkerhetsvalidering är därför en form av ”kontrollerad offensiv säkerhet” – en emulerad attack som genomförs på samma sätt som ett verkligt intrång, men under trygga former. Det kan liknas vid ett automatiserat ”Red Team*” (angriparna) som ger ditt Blue Team (försvararna) möjlighet att träna innan det blir skarpt läge. Lite som i den klassiska leken ”Capture the flag”.
Affärsvärdet – för både ledning och IT-organisation
För ledning och beslutsfattare:
- Minskad risk för kostsamma incidenter – visar tydligt att befintliga investeringar i cybersäkerhet faktiskt fungerar.
- Stärkt förtroende – lättare att visa styrelse, kunder och partners att risker minskar över tid.
- Smartare investeringar – fokus flyttas till de åtgärder som gör störst skillnad här och nu.
- Bättre rapportering – resultat och förbättringar kan presenteras i ett språk som ledning och styrelse förstår.
För IT- och säkerhetsteam:
- Mindre beroende av konsulter – status på säkerheten kan följas löpande, inte bara vid nästa manuella pentest.
- Resursbesparing – teamet slipper drunkna i långa scanningsrapporter och kan fokusera på de mest kritiska riskerna.
- ROI genom prioritering – eftersom testerna visar verkliga attackvägar kan budget och resurser användas mer effektivt.
- Verifiering av skyddsmekanismer – bekräftar att brandväggar, EDR och andra försvar fungerar i praktiken och ger underlag för förbättring.
Tänk dig ett automatiserat test i en hybridmiljö. Plattformen hittar en gammal och osäker VPN-konfiguration, kombinerar den med ett läckt Active Directory-konto och utnyttjar sedan bristande nätverkssegmentering. Resultatet? En möjlig attackväg hela vägen in till känslig patientdata i molnet.
Det är just styrkan med automatiserade pentester – de visar inte bara att det finns sårbarheter, utan också hur de kan kopplas ihop och vilken faktisk påverkan det kan få för verksamheten.
Automatiserade Pentester vs Manuella Pentester
Automatiserade pentester täcker mycket: de har sårbarhetsscanningens bredd, pentestens djup och dessutom förmågan att hitta moln- och konfigurationsfel. För många organisationer är det mer än tillräckligt för att hålla en hög säkerhetsnivå.
Men för särskilt känsliga eller affärskritiska system kan det vara klokt att komplettera med manuella tester – ungefär som att låta en erfaren låssmed dubbelkolla ytterdörren även om du redan har installerat ett smart larmsystem. Automatiserade tester skapar trygghet i vardagen, medan manuella tester kan fungera som en extra kvalitetssäkring när det behövs som mest.
På så sätt får man det bästa av två världar:
- Automatiserade pentester som grund och kontinuitet.
- Manuella pentester som riktade tillägg för högriskmiljöer.
Säkerhetsvalidering är inte bara en teknisk kontroll eller en verifiering av dina cybersäkerhetsförmågor – det är också ett verktyg och plattform för att driva både säkerhet och affär framåt.
7. Hur viktigt är det egentligen?
Angrepp är ofta opportunistiska. Precis som en tjuv som provar alla dörrar på en gata letar angripare efter enkla misstag: en öppen port, en felkonfigurerad molntjänst, ett läckt konto, eller en viss typ av lås eller larm som tjuven vet är lätt att forcera.
På samma sätt lyckas många digitala intrång p.g.a. mänskliga misstag, lika ofta som att det beror på att man ännu inte har senaste säkerhetsuppdateringen på ett system.
- Återanvända eller läckta lösenord
- Felkonfigurationer i moln eller VPN*
- Saknar MFA* på alla konton
Det är också viktigt att komma ihåg att många intrång inte bara beror på tekniska sårbarheter, utan på mänskliga misstag. Lösenord som delas, bristande rutiner eller en anställd som av misstag klickar på en länk kan öppna dörren för en angripare. Automatiserade pentester gör dessa konsekvenser synliga i praktiken – de visar inte bara om ett system är sårbart, utan också hur ett mänskligt misstag kan utnyttjas och vad det faktiskt kan leda till.
Validering hjälper till att upptäcka just dessa ”enkla men kritiska” brister innan angriparna gör det.
Rapporter från bland annat Arctic Wolf visar att många intrång sker genom helt vanliga fel samt ej uppdaterade sårbarheter som varit kända länge. Det är betydligt mer vanligt än att intrång sker via avancerade zero-days* attacker, d.v.s. en tidigare okänd sårbarhet som ännu inte har en tillgänglig säkerhetsuppdatering/patch.
8. Regulatoriska drivkrafter och framtiden
NIS2 och riskhantering
NIS2* kräver att organisationer löpande identifierar, hanterar och minskar sina cyberrisker. Automatiserad säkerhetsvalidering blir här en konkret pusselbit, den ger bevis på riskstatus, dokumenterar åtgärder och förenklar rapporteringen till styrelse och tillsynsmyndigheter.
För ledningen handlar det inte om teknik, utan om risk och ekonomi:
- Minskad risk för avbrott – undvik driftstopp och kostsamma incidenter.
- Smartare investeringar – prioritera rätt åtgärder.
- Bättre rapportering – visa utveckling och resultat över tid.
Framtid & trender – varför kontinuitet är avgörande
Hotlandskapet förändras snabbare än någonsin. Exploits* (färdiga program för att utnyttja sårbarheter) utvecklas på dagar, inte veckor. Angripare behöver inte längre vara tekniska experter eller ”hackers”, utan kan enkelt köpa färdiga verktyg, funktioner och listor, inklusive instruktioner och support för dessa. Allt blir alltmer automatiserat och utvecklingen går snabbt, i synnerhet med AI* som en drivande faktor just nu.
Tre trender formar framtiden:
- Snabbare attacker – patchfönstret krymper till timmar.
- Enklare intrångsmetoder – giltiga konton är guld värda för angripare.
- Kontinuitet krävs – punktinsatser räcker inte längre.
I en sådan värld blir det avgörande att hålla koll på det man kan ha koll på:
- Upptäck misskonfigurationer snabbt.
- Hitta läckta konton innan de används.
- Validera att skydden fungerar – varje dag.
9. Nästa steg: Kontakta Cuebid
Det viktigaste är att komma igång. Vänta inte på nästa patchcykel eller årliga pentest, börja med säkerhetsvalidering redan idag.
Med rätt kombination av processer, verktyg och validering kan ni ligga steget före hotaktörerna – och skapa trygghet för både verksamhet och affär. Cuebid hjälper er hela vägen.
Kontakta oss idag, så hjälper vi er att ta steget mot en säkrare morgondag!
10. *Förklaringar & förkortningar
AI
Artificial Intelligence, artificiell intelligens.
CTEM
Continuous Threat Exposure Management, löpande arbete för att hantera sin attackyta och prioritera risker.
CSPM
Cloud Security Posture Management, verktyg som hittar felaktiga säkerhetsinställningar i molnmiljöer.
CVE
Common Vulnerabilities and Exposures, en global databas över kända sårbarheter.
EDR
Endpoint Detection & Response, en säkerhetslösning som övervakar datorer, servrar och andra enheter (”endpoints”) för att upptäcka misstänkta aktiviteter och attacker. EDR samlar in data, analyserar beteenden och kan automatiskt stoppa hot eller ge underlag för snabba åtgärder.
ENISA
EU:s cybersäkerhetsmyndighet (European Union Agency for Cybersecurity). (https://www.enisa.europa.eu/)
KPI
Key Performance Indicator, nyckeltal som används för att mäta utveckling.
MFA
Multi-Factor Authentication, inloggning med mer än bara lösenord.
MITRE ATT&CK
Ett globalt ramverk från forskningsinstitutet MITRE som beskriver angripares olika taktiker, tekniker och procedurer (TTP:er). Används av säkerhetsorganisationer för att kartlägga och förstå hur attacker går till och för att identifiera luckor i det egna försvaret. (https://attack.mitre.org/)
NIS2
EU-direktiv för cybersäkerhet med krav på riskhantering och rapportering. (https://www.msb.se/sv/amnesomraden/informationssakerhet-cybersakerhet-och-sakra-kommunikationer/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/)
NOC
Network Operations Center, en funktion som övervakar och hanterar driften av nätverk och IT-infrastruktur, med fokus på tillgänglighet, prestanda och stabilitet.
OT
Operational Technology, teknik och system som styr och övervakar industriella processer, maskiner och infrastruktur. Exempel är styrsystem i elnät, vattenförsörjning, fabriker och transporter.
Pentest
Penetrationstest, etiskt hackarförsök att hitta brister.
Red Team och Blue Team
Ett offensivt säkerhetsteam, ”Red Team”, vars uppgift är att agera som angripare och testa organisationens försvar i praktiken. – Samt ett defensivt säkerhetsteam, ”Blue Team”, som ansvarar för att upptäcka, stoppa och hantera attacker. Består ofta av SOC-personal eller säkerhetsansvariga.
ROI
Return on Investment, ett mått på affärsnyttan av en investering.
SIEM
Security Information and Event Management, en plattform som samlar in och analyserar loggar och händelser från hela IT-miljön, för att upptäcka avvikelser och stödja säkerhetsarbetet.
SOC
Security Operations Center, en funktion eller tjänst som övervakar, upptäcker och hanterar hot dygnet runt. Här arbetar specialister med att snabbt identifiera och stoppa attacker innan de orsakar skada.
VPN
Virtual Private Network, teknik för att skapa säker fjärranslutning.
Zero-day
En tidigare okänd sårbarhet som ännu inte har en patch.
Källor: Arctic Wolf Threat Report 2025, Arctic Wolf Trends Report 2025, ENISA Threat Landscape 2024, Fortinet Cloud Security Report 2024
Fyll i formuläret så kontaktar vi dig så fort vi kan!
Vanligtvis inom 8 timmar (kontorstid).
