En Community Profile er en fælles baseline af resultater fra NIST CSF 2.0, lavet til flere organisationer, der deler samme interesser og mål. Den kan bruges som grundlag for den enkelte organisations målprofil, så den ikke skal skrives fra bunden.
For en koncern rejser det to spørgsmål. Findes der en profil for jeres sektor, som enhederne kan starte fra? Og bør koncernen skrive sin egen fælles profil, som alle selskaber måler sig mod?
Hvad rammen siger
CSF 2.0 fra februar 2024 skelner mellem to slags profiler. En Organizational Profile beskriver én organisations nuværende eller ønskede tilstand. En Community Profile er ifølge rammen en baseline af CSF-resultater, som er skabt og offentliggjort for at imødekomme fælles interesser og mål hos en række organisationer. Rammen skriver, at en organisation kan bruge en Community Profile som grundlag for sin egen målprofil.
NIST har beskrevet arbejdet med Community Profiles i CSWP 32, “A Guide to Creating Community Profiles”. Vi har læst udkastet fra den 26. februar 2024. En endelig udgave er registreret hos NIST, men den har ikke kunnet hentes, så det følgende bygger på udkastet. Det beskriver et fællesskab som organisationer, der deler en fælles kontekst, fx samme sektor, samme teknologi eller samme trusselsbillede. Det adskiller Community Profiles fra organisationens egne profiler, som er rettet indad, bruges til at styre egen risiko og normalt ikke deles offentligt.
Tre måder at bruge en fælles profil på
- Sektorens profil som målprofil · Hvad koncernen får: En målestok, som andre i branchen også bruger · Hvad der skal passes på: Profilen er skrevet til et fællesskab, ikke til jeres risiko
- Sektorens profil som udgangspunkt for egen målprofil · Hvad koncernen får: Et hurtigere første udkast · Hvad der skal passes på: Tilpasninger skal begrundes og skrives ned
- Koncernens egen fælles profil · Hvad koncernen får: Én målestok for alle selskaber · Hvad der skal passes på: Den skal vedligeholdes og godkendes af ledelsen
At en koncern skriver sin egen fælles profil for sine enheder, er vores anvendelse af begrebet og ikke noget, NIST beskriver. Udkastet til CSWP 32 taler om fællesskaber af organisationer. Men tanken passer på en koncern, hvor selskaberne deler ejer, politik og ofte infrastruktur, og hvor koncernen har brug for én målestok.
Koncernens egen profil som baseline
En fælles profil kan gøre to ting i en koncernmåling. Den kan være gulvet: de resultater, alle enheder skal nå, uanset størrelse og branche. Og den kan være skabelonen: den liste af underkategorier, alle enheder måler sig på, så profilerne kan lægges sammen.
Det følgende er praksis. En koncernprofil bør som minimum indeholde:
- Udvalget af resultater. Hvilke underkategorier fra Core indgår, og hvorfor er andre udeladt?
- Målet for hvert resultat. Hvad skal være opnået, beskrevet så det kan efterprøves.
- Gyldighedsområdet. Gælder profilen alle selskaber, eller er der en skærpet udgave for de enheder, der er omfattet af særlige krav?
- Ejer og godkendelse. Hvem i koncernen ejer profilen, og hvornår er den godkendt af ledelsen?
- Ændringsloggen. Hvilke ændringer er der sket mellem to måleperioder?
Den sidste er vigtig for måleserien. Ændres profilen hvert år, kan enhedernes udvikling ikke aflæses, fordi målestokken har flyttet sig. Om at låse begreber og skala fra start handler den første måling som baseline.
Når enheden har sin egen sektorprofil
Nogle selskaber i en koncern arbejder i en sektor, hvor der findes en offentliggjort Community Profile, eller hvor en tilsynsmyndighed har sine egne forventninger. Så opstår spørgsmålet, om enheden skal måles mod koncernens profil, sektorens profil eller begge.
En mulig regel er, at koncernprofilen altid er gulvet, og at sektorens profil lægges ovenpå som et tillæg for de enheder, den gælder. Tillægget indgår i enhedens egen rapport, men ikke i den fælles koncernscore. Så kan enheden følge sit sektorkrav, og koncernen kan stadig sammenligne alle enheder på samme grundlag. En model med et fælles gulv og et ekstra lag for nogle selskaber er beskrevet i ét målesystem med to niveauer.
Det en fælles profil ikke klarer
En fælles profil sparer arbejde, men den tager ikke stilling til den enkelte enheds risiko. En profil for en hel sektor er skrevet til gennemsnittet af dem, der har været med til at lave den. Et selskab med en usædvanlig forretning eller en kritisk afhængighed kan have brug for mere, eller for noget andet.
Derfor bør målprofilen for hver enhed være koncernens fælles profil plus en kort vurdering af, om enheden har særlige risici, der kræver mere. Vurderingen skal stå ved profilen, så den kan genfindes ved næste måling.
Et tænkt eksempel gør det tydeligt. En koncern har tolv selskaber, hvoraf ét driver et lager med automatiseret styring. Den fælles profil dækker kontor-IT godt, men siger intet særligt om styringen af lageret. Selskabets vurdering kan konkludere, at et par ekstra resultater om drift og genopretning skal med i dets målprofil. De ekstra resultater måles og rapporteres for selskabet, mens koncernscoren fortsat bygger på den fælles profil.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen i koncernen ejer den fælles profil, at ledelsen godkender den, og at ændringer samles mellem måleperioder i stedet for at ske løbende. Bruges en sektorprofil, skal nogen desuden følge med i, hvornår den kommer i ny udgave.
Uden en fælles profil skriver hver enhed sin egen målprofil. Så kan koncernen ikke se, om enhederne stiler mod det samme, og forskelle i score kan lige så godt skyldes forskellige mål som forskellig sikkerhed.
Det skal I lade være med
- At overtage en sektorprofil uden at læse den mod jeres egen risiko · den er skrevet til et fællesskab.
- At ændre koncernprofilen midt i en måleperiode · så flytter målestokken sig under målingen.
- At citere CSWP 32 som endelig vejledning · det, der er læst, er udkastet.
Det skal gennemgangen kunne vise
- ☐ En fælles profil med udvalgte resultater, mål og begrundede udeladelser.
- ☐ Ledelsens godkendelse og en navngiven ejer.
- ☐ En ændringslog mellem måleperioder.
- ☐ For hver enhed en vurdering af, om særlige risici kræver mere end profilen.
Kilder
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, afsnit 3.1, læst 14. november 2026.
- NIST CSWP 32 ipd, A Guide to Creating Community Profiles, udkast 26. februar 2024, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilke resultater I i dag forventer af alle enheder, og se, om listen kan blive koncernens første fælles profil.
Læs også: NIST CSF 2.0 som måleramme · Ét framework for hele koncernen eller flere?
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
