En egen modenhedsmodel giver mening, når koncernens risiko, struktur eller krav ikke kan beskrives godt nok med en standardramme, og når koncernen kan leve med, at tallene ikke kan sammenlignes direkte med andres. I de fleste andre tilfælde er en standardramme med tilpasninger det bedre valg.
Der er ingen regel for, hvornår en egen model er tilladt eller klog. Det følgende er praksis, støttet af det, rammerne selv siger om tilpasning.
Rammerne åbner selv for tilpasning
NIST’s vejledning om måling af informationssikkerhed, SP 800-55 fra december 2024, er med vilje neutral over for bestemte modenhedsmodeller og er ikke skrevet til at blive brugt som en. Den beskriver, hvordan målinger vælges og udvikles, uanset hvilken model organisationen bruger.
Hurtigstartguiden til CSF Tiers, SP 1302, giver lov til at bruge tierbeskrivelserne uændret, at justere dem eller at skrive egne. C2M2 kan efter modellens egen beskrivelse gøres mere grundig end den grundlæggende selvevaluering.
Rammerne lægger altså op til, at organisationen bruger dem med omtanke frem for ordret. Spørgsmålet er, hvor langt tilpasningen skal gå, før det er en egen model.
Tre grader af tilpasning
- Standardramme med udvalg · Hvad der ændres: Nogle punkter udelades eller vægtes · Sammenlignelighed: Høj, hvis udvalget er beskrevet
- Standardramme med egne niveaubeskrivelser · Hvad der ændres: Skalaen tilpasses koncernens sprog · Sammenlignelighed: Middel; punkterne kan stadig kobles
- Egen model · Hvad der ændres: Egne områder, egne spørgsmål, egen skala · Sammenlignelighed: Lav udadtil; høj internt, hvis den holdes fast
De fleste koncerner har mest gavn af de to første. En egen model fra bunden er et større projekt, end det ser ud.
Kriterier for en egen model
En egen model kan være det rigtige, når flere af disse forhold gælder. Kriterierne er vores.
- Koncernens risiko er usædvanlig. Forretningen har afhængigheder, som standardrammerne kun dækker overfladisk, fx en særlig kombination af produktion, data og leverandører.
- Enhederne er meget forskellige. En fælles standardramme passer dårligt til både de største og de mindste, og tilpasningerne bliver så mange, at rammen ikke længere er genkendelig.
- Der er ikke brug for at sammenligne med andre. Bestyrelsen vil følge koncernens egen udvikling og sammenligne enhederne internt, men ikke sammenligne med branchen.
- Der er kapacitet til vedligehold. Nogen skal eje modellen, opdatere den og forklare den i mange år.
- Der er en kobling til mindst én standardramme. Så kan koncernen stadig svare kunder, tilsyn eller revisorer, der spørger i standardens sprog.
Mangler de to sidste, bør koncernen ikke bygge sin egen model.
Det, en egen model koster
Den første omkostning er sammenligneligheden. En score i en egen model kan ikke lægges ved siden af en score fra en anden virksomhed eller fra en offentliggjort undersøgelse. Den kan kun sammenlignes med sig selv.
Den anden omkostning er troværdigheden. En standardramme har en udgiver, en version og en offentlig beskrivelse. En egen model har kun den beskrivelse, koncernen selv har skrevet. Det stiller større krav til dokumentationen, hvis bestyrelsen eller en ekstern part skal kunne stole på tallene.
Den tredje er vedligeholdet. Standardrammer opdateres af andre. En egen model skal opdateres af koncernen, og hver ændring kan bryde måleserien.
Hvad en egen model skal indeholde
Bygger koncernen alligevel sin egen, bør modellen som minimum have følgende. Det er praksis, men det bygger på SP 800-55’s krav om, at målinger dokumenteres i et fast format, så de kan gentages.
- Områderne og deres begrundelse. Hvorfor netop disse, og hvilke risici dækker de?
- Spørgsmålene eller kriterierne. Formuleret så de kan besvares ens i alle enheder.
- Skalaen. Med en beskrivelse af hvert trin og af det bevis, trinnet kræver.
- Koblingen til en standardramme. Så modellen kan oversættes, når nogen spørger.
- Ejer, version og ændringslog. Så det kan ses, hvornår modellen er ændret, og hvad det betyder for serien.
SP 800-55 minder om, at tal på en niveauskala er ordinale. Et niveau 3 i en egen model betyder et sæt egenskaber og ikke et tal, man kan regne med. Det gælder lige så meget for en egen model som for en standardramme. Mere om skalaer står i skalaen og antallet af trin.
Et tænkt eksempel
En koncern med rederi, havneterminal og kontorer overvejer en egen model (tænkt eksempel). Efter en gennemgang viser det sig, at CSF 2.0 dækker kontorerne godt, og at C2M2 dækker terminalen. Det, der mangler, er nogle få spørgsmål om skibenes systemer. Koncernen vælger CSF som fælles ramme, C2M2 som tillæg for terminalen og et kort eget tillæg for skibene. Den undgår en egen model, men får alligevel dækket det særlige.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ærlig vurdering af, om standardrammerne virkelig ikke passer, og en plan for vedligehold, hvis svaret er ja. Det kræver også en kobling til en standardramme, så modellen ikke isolerer koncernen.
Bygges en egen model uden de forudsætninger, får koncernen en måling, som kun dem, der lavede den, forstår. Når de går, står måleserien tilbage uden nogen, der kan forklare den.
Det skal I lade være med
- At bygge egen model for at undgå dårlige tal i en standardramme · det flytter problemet.
- At ændre modellen hvert år · så findes der ingen serie.
- At give niveauerne decimaler og regne gennemsnit, som om de var mål · niveauerne er ordinale.
Det skal gennemgangen kunne vise
- ☐ Begrundelsen for at vælge en egen model frem for en tilpasset standardramme.
- ☐ En dokumenteret beskrivelse af områder, spørgsmål og skala.
- ☐ En kobling til mindst én standardramme.
- ☐ Ejer, version og ændringslog.
Kilder
- NIST SP 800-55 vol. 1, Measurement Guide for Information Security, december 2024, afsnit 1 til 3, læst 14. november 2026.
- NIST SP 1302, Quick-Start Guide for Using the CSF Tiers, oktober 2024, læst 14. november 2026.
- U.S. Department of Energy, C2M2 Version 2.1, juni 2022, afsnit 3.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de tilpasninger op, I allerede har lavet i jeres ramme, og vurder, om de stadig kan kobles tilbage til standarden.
Læs også: Modenhedsmodeller for enkeltområder · Den første måling
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
