CIS CSAT er Center for Internet Securitys værktøj til at vurdere, hvor langt en organisation er med CIS Controls. Scoren er et gennemsnit af organisationens egne svar i fire kategorier, og intet i værktøjets dokumentation siger, at nogen uden for organisationen efterprøver den.
Det gør CSAT til et nyttigt redskab for den, der vil følge sin egen udvikling. Det gør også scoren til en selvevaluering, som skal læses som sådan, når den lander på bestyrelsens bord.
Udgaverne
CIS’ produktside, læst den 14. november 2026, beskriver en webbaseret udgave, som CIS selv står for. Den er uden licensbetaling for alle organisationer til ikke-kommerciel brug. Pro-udgaven er ifølge siden lagt ind i en platform for CIS’ medlemmer, og den beskrives ikke her. Produktsiden oplyser hverken scoringsmetoden eller hvilken version af CIS Controls, værktøjet understøtter.
Beskrivelsen nedenfor bygger på brugervejledningen til den CIS-hostede udgave, læst samme dag.
Sådan regnes scoren
Hver Safeguard vurderes i fire scoringskategorier.
- Policy Defined · Om der findes en politik, og hvor formel den er
- Control Implemented · Om foranstaltningen er gennemført
- Control Automated · Om den er automatiseret
- Control Reported · Om den rapporteres
For hver kategori vælges blandt seks svarmuligheder. Vejledningen viser værdierne for Policy Defined: ingen politik giver 0 point, en uformel politik 25, en delvis skrevet politik 50, en skrevet politik 75 og en godkendt skrevet politik 100. Den sjette mulighed er Not Applicable, som holdes uden for beregningen. Værdierne for de tre andre kategorier står ikke på den side, vi har læst.
Derefter regnes der i tre lag. En underkontrol får gennemsnittet af de valgte svar. En kontrol får gennemsnittet af sine underkontroller. Hele vurderingen får gennemsnittet af de kontroller, der er relevante og valideret.
Validering sker ved, at en administrator godkender en underkontrol. Det låser scoren og muligheden for at uploade bevis. Valideringen kan trækkes tilbage, så opgaven åbnes igen. Vejledningen nævner CIS Controls v8.0 med 153 Safeguards og v7.1. Den nævner ikke v8.1, og vi kan derfor ikke sige, om værktøjet bruger den nyeste version.
Hvad scoren dækker
Scoren siger, hvordan organisationen selv har vurderet sine politikker, sin gennemførelse, sin automatisering og sin rapportering. Den bygger på svar fra dem, der har udfyldt værktøjet, og på den validering, organisationens egen administrator har foretaget. Vejledningen nævner ingen ekstern efterprøvning.
Tre forhold er værd at kende, før scoren bruges i en koncern.
Det første er, at alle kategorier vejer lige i gennemsnittet. En skrevet politik tæller lige så meget som en gennemført foranstaltning. En Safeguard med godkendt politik og ingen gennemførelse kan derfor stå med en score midt på skalaen. Det er en konsekvens af beregningen, ikke en fejl, men den skal forklares.
Det andet er, at gennemsnit skjuler spredning. En kontrol med én helt manglende underkontrol og flere fulde får en pæn score. Hvordan gennemsnit af niveauer kan vildlede, er emnet i vægtning af områderne.
Det tredje er, at Not Applicable fjerner Safeguards fra nævneren. Bruges muligheden for ofte, stiger scoren, uden at sikkerheden gør det. En koncern bør derfor have en regel for, hvornår en Safeguard må markeres som ikke relevant, og hvem der godkender det.
CSAT i en koncern
Bruger flere enheder værktøjet, kan scorerne sammenlignes, hvis de er udfyldt efter samme regler. Det følgende er praksis:
- Samme version. Alle enheder skal vurdere mod den samme version af CIS Controls.
- Samme fortolkning af svarmulighederne. Hvornår er en politik delvis skrevet, og hvornår er den skrevet? Koncernen bør give eksempler.
- Samme regel for Not Applicable. Undtagelser godkendes centralt.
- Bevis ved de vigtigste svar. Værktøjet giver mulighed for at uploade bevis. Gør det til et krav for de Safeguards, koncernen har valgt som gulv.
- Stikprøve udefra. En central stikprøve eller en ekstern gennemgang af udvalgte svar giver scoren den efterprøvning, værktøjet selv ikke har.
Hvordan selvrapportering kombineres med central kontrol, står i selvrapportering med central stikprøvekontrol.
Hvornår en selvscore er nok
En selvscore er et godt redskab til at følge egen udvikling og til at finde de områder, hvor der mangler noget. Den er mindre egnet, når tallet skal bruges som dokumentation over for bestyrelsen eller sammenlignes mellem enheder med forskellige interesser i resultatet. Her giver en uafhængig efterprøvning noget, som værktøjet ikke kan give.
Hvad det kræver, og hvad det koster at lade være
Det kræver fælles regler for udfyldelse, bevis og undtagelser, før enhederne går i gang, og en plan for, hvordan udvalgte svar efterprøves. Det kræver også, at nogen kontrollerer, hvilken version af CIS Controls værktøjet vurderer mod, når målingen gentages.
Uden reglerne får koncernen en række scorer, der ser præcise ud med deres point, men som er udfyldt med forskellig strenghed. Bestyrelsen kan ikke se forskel på en efterprøvet og en uefterprøvet score.
Det skal I lade være med
- At præsentere en CSAT-score som en ekstern vurdering · intet i dokumentationen tyder på efterprøvning udefra.
- At lade enhederne bruge Not Applicable frit · det hæver scoren uden at ændre sikkerheden.
- At gå ud fra, at værktøjet vurderer mod v8.1 · vejledningen nævner v8.0 og v7.1.
Det skal gennemgangen kunne vise
- ☐ Den version af CIS Controls, scoren bygger på.
- ☐ Koncernens regler for svarmuligheder og Not Applicable.
- ☐ Bevis for de Safeguards, der indgår i gulvet.
- ☐ Resultatet af en stikprøve eller ekstern efterprøvning af udvalgte svar.
Kilder
- Center for Internet Security, CIS Controls Self Assessment Tool (CIS CSAT), læst 14. november 2026.
- CIS CSAT Hosted, brugervejledning, Current Assessment, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, hvem der i jeres enheder har udfyldt en selvevaluering, og om nogen har efterprøvet svarene.
Læs også: CIS Controls v8.1 og implementeringsgrupperne · Skalaen: tre, fire eller fem trin
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
