Cybermodenhed:
måling over tid, koncernen og bestyrelsen
Bestyrelsen vil vide, om sikkerheden er blevet bedre siden sidste år, og om selskaberne i koncernen ligger nogenlunde lige. Revisionsudvalget spørger, hvem der kan stå på mål for resultatet. CISO skal levere svaret, og det kræver en måling, der kan gentages, en målestok, der passer, og en rapport, som fører til beslutninger. Sitet handler om netop det: at måle sikkerhedsmodenheden ærligt over flere år og på tværs af mange enheder, at fordele kontrollen i tre linjer og at forklare resultatet, så det bliver til prioriteringer.
Læserne er CISO’er, IT-direktører, revisionschefer, medlemmer af revisionsudvalg og bestyrelser. Hvert rammeværk er gennemgået i originalteksten med angivelse af version og dato, og hver lovbestemmelse er slået op i primærkilden. Hvor en tekst tolker eller forenkler, står det. Beløb og budgettal er udeladt, og mange af svarene kan anden linje eller intern revision bruge på egen hånd.
Hvor står I?
Der er som regel en konkret anledning til, at målingen kommer på dagsordenen. Vælg den, der ligner jeres.
- Bestyrelsen beder om ét tal for sikkerheden Tallet og de tre oplysninger, der skal med.
- Den første måling skal sættes i gang Regler, der kan bruges igen næste år.
- Scoren er faldet siden sidst Metode eller virkelighed.
- Enhederne skal kunne sammenlignes Fem forudsætninger for en ærlig sammenligning.
- Rammen skal vælges eller skiftes Fælles målestok og lokale krav.
- Et selskab er købt og skal med i målingen Baseline, målniveau og en regel for koncerntallet.
- Revisionsudvalget spørger, hvem der giver sikkerhed for hvad Kilderne samlet på én side.
- Auditplanen for de næste år skal lægges Rullende dækning af selskaberne.
- De samme fund står i rapporten igen Årsagen bag gentagelserne.
- Rapporten skal omsættes til en plan Målniveauer med datoer.
Tre veje ind
- Modenhed: hvad der måles, og hvordan Trin, skala, vægtning og metode.
- Koncernen: på tværs af enheder og lokationer Selskaber, stikprøver og fælles tjenester.
- Nøgletal og rapportering til bestyrelse og revisionsudvalg Tal, tolerancer og beslutninger.
Emnerne
- Modenhed: hvad der måles, og hvordan Hvad et trin betyder, og hvordan scoren bliver til.
- Rammeværk som målestok NIST CSF 2.0, CIS, ISO, C2M2 og andre.
- Koncernen: på tværs af enheder og lokationer Mange selskaber på samme skala.
- Opkøbte selskaber, frasalg og ejere Måleserien, når koncernen ændrer form.
- Den interne audit-funktion og de tre linjer IIA, revisionsudvalget og revisors rolle.
- Auditprogram over flere år Plan, afgrænsning og valg af auditor.
- Typiske fund i store organisationer Fundene, der siger noget om styringen.
- Nøgletal og rapportering til bestyrelse og revisionsudvalg Rapporten, der fører til beslutninger.
- Benchmark mod branchen Offentlige tal og deres forbehold.
- Budget, prioritering og måling over tid Fra gab til køreplan og ny måling.
Det, I finder her
Måling, der holder år efter år. Skala, baseline, vægtning og måleserie er sitets kerne. Artiklerne viser, hvordan et tal bliver sammenligneligt fra måling til måling, og hvornår det snyder.
Koncernen som udgangspunkt. Datterselskaber med egen IT, udenlandske enheder, fælles servicecentre og opkøbte selskaber er hverdag i en større virksomhed. Teksterne tager dem med fra starten.
Rammeværk læst i originalen. NIST CSF 2.0, CIS Controls v8.1, C2M2 version 2.1, ISO-standarderne og IIA’s standarder beskrives med version og dato, side om side og uden rangering.
Bestyrelsens vinkel. Hvad selskabsloven, revisorloven og årsregnskabsloven lægger hos bestyrelse og revisionsudvalg, og hvad revisors påtegning ikke siger om cybersikkerheden. Krav og anbefalinger holdes adskilt.
Når en gennemgang ikke er næste skridt
Meget kan måles internt. Selvevaluering eller ekstern vurdering viser, hvornår egne tal er gode nok, og selvrapportering med central stikprøve beskriver en model, hvor enhederne svarer selv, og anden linje eller intern revision efterprøver et udsnit. Skal en enkelt virksomhed gennemgås efter NIS2 eller efter den almene auditmetode, hører det til den almene sikkerhedsaudit. De tekniske kontrolpunkter i driften er samlet under teknisk audit.
Hjælp udefra
Ønsker bestyrelsen eller revisionsudvalget en uvildig måling af modenheden eller en audit på tværs af koncernen, kan Nielco IT stå for den. Arbejdet er uafhængigt, der er ingen forhandleraftaler, og anbefalingerne peger på styring, kontroller og ansvar. Opgaven er en vurdering og hverken revision eller en erklæring. Hvad den rummer, og hvordan den forløber, kan I læse under Få hjælp.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Nederst på siden står de nyeste artikler.
Næste skridt
Læs også: Alle artikler · Spørgsmål om cybermodenhed
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
