En høj modenhedsscore viser, at praksis er dokumenteret, styret og evalueret. Den viser ikke, at virksomheden ikke kan blive ramt, og den er ingen garanti for, at alle kontroller virker i dag.
Det lyder selvfølgeligt, men i bestyrelseslokalet bliver en score let til et svar på spørgsmålet “er vi sikre?”. Artiklen viser, hvordan scoren kan læses, så den bruges til det, den kan.
Rammerne siger det selv
Den britiske Cyber Assessment Framework fra NCSC er tydelig. At opnå den grundlæggende profil, Core Profile, “does not eliminate cyber risk” Den skal heller ikke ses som noget, der gøres én gang og så er klaret, og CAF giver intet certifikat.
NIST’s vejledning i sikkerhedsmåling, SP 800-55, siger noget lignende om tallene. Når en vurdering siger, at organisationen er på “level 3”, er tallet 3 et udtryk for en række egenskaber, “a set of qualities rather than a numerical value”. Det er altså en beskrivelse og ikke en måling af, hvor meget sikkerhed der er.
Hvad scoren måler
En modenhedsmodel som C2M2 måler især, hvor godt praksis er forankret. På de højere niveauer kommer dokumentation, ressourcer, politik, ansvar og evaluering til. Det siger noget vigtigt: Praksis overlever, når folk skifter job, og ledelsen kan styre den.
C2M2 lægger samtidig ikke skjul på, at praksis uden fast form kan give gode resultater, når folkene er dygtige. At et højt niveau derfor siger mere om forankring end om resultatet i sig selv, er sitets tolkning af modellen. Den åbner for to fejllæsninger.
Den første: En enhed med lav score kan have god beskyttelse, fordi nogle få dygtige folk gør arbejdet godt. Risikoen ligger i, at det ikke holder, hvis de forsvinder.
Den anden: En enhed med høj score kan have huller. Procedurerne findes og bliver fulgt, men de dækker måske ikke det system, som en angriber går efter.
Implementering eller effekt
SP 800-55 skelner mellem målinger af implementering og målinger af effektivitet. Den første slags spørger, om kontrollen er indført og bruges. Den anden spørger, om den gør det, den skulle. En modenhedsscore ligger tæt på den første type. Den kan suppleres af den anden, men den erstatter den ikke.
For bestyrelsen betyder det, at scoren og nøgletallene for effekt bør stå ved siden af hinanden. Tid til at lukke kritiske sårbarheder eller andelen af systemer under overvågning siger noget, som scoren ikke siger.
Tre ting, scoren ikke svarer på
Om trusselsbilledet har ændret sig siden målingen. Scoren er et øjebliksbillede.
Om omfanget var det rigtige. En høj score i de målte enheder siger intet om de enheder, der ikke var med.
Om kontrollen virker i det enkelte system. Det kræver en audit eller en teknisk gennemgang, som beskrevet under den almene auditmetode. Penetrationstest er en anden ydelse igen.
Sådan kan scoren læses i bestyrelsen
Et tænkt eksempel: Et datterselskab stiger fra trin 2 til trin 3 på hændelseshåndtering. Det kan læses som “selskabet har nu en dokumenteret og styret proces, som bliver evalueret”. Det kan ikke læses som “selskabet vil klare et angreb”. Den sidste sætning kræver test af beredskabet og erfaringer fra rigtige hændelser.
Det er praksis at give scoren en fast følgetekst i rapporten, der siger, hvad den dækker, hvilke enheder der var med, og hvilket bevis der ligger bag. Så bliver den sværere at læse forkert.
Når scoren og hændelserne peger hver sin vej
Det sker, at en enhed med høj score får en alvorlig hændelse. Det er ikke nødvendigvis et tegn på, at målingen var forkert. Scoren beskrev, hvor godt processen var forankret, og en forankret proces kan stadig have et hul. Det giver anledning til at spørge, om omfanget eller beviskravene var de rigtige, og om evalueringen på det højeste trin faktisk fanger svagheder.
Det modsatte er også værd at bemærke. En enhed med lav score og ingen hændelser kan have været heldig, eller den kan have dygtige folk, som modellen ikke belønner. Begge dele er grund til at se nærmere efter.
Spørgsmål, bestyrelsen kan stille til scoren
Fire spørgsmål hjælper bestyrelsen til at bruge scoren rigtigt. Hvilke enheder og systemer var med? Hvilket bevis ligger bag de højeste trin? Hvad viser nøgletallene for effekt i samme periode? Og hvor ligger scoren i forhold til det målniveau, bestyrelsen selv har godkendt? Spørgsmålene er sitets forslag.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at rapporten skriver, hvad scoren kan og ikke kan bære, og at scoren står sammen med nøgletal for effekt. Det kræver også, at bestyrelsen spørger til omfanget og til beviset, før den drager konklusioner.
Uden den forklaring bliver en høj score læst som en garanti. Det kan føre til, at investeringer bliver udskudt, at forsikringsvilkår bliver forhandlet på et forkert grundlag, eller at en hændelse kommer som en overraskelse for en bestyrelse, der troede, sagen var løst.
Det skal I lade være med
- At præsentere scoren som et svar på, om virksomheden er sikker · den beskriver forankring.
- At regne niveauet som en mængde · trin 3 er en beskrivelse, ikke et tal at regne med.
- At udelade omfanget · scoren gælder kun det, der blev målt.
Det skal gennemgangen kunne vise
- ☐ En følgetekst til scoren om omfang, bevis og tidspunkt.
- ☐ Nøgletal for effekt ved siden af scoren.
- ☐ Hvilke enheder og systemer der ikke var med i målingen.
- ☐ Hvordan scoren og årets hændelser er holdt op mod hinanden.
Kilder
- NCSC, Cyber Assessment Framework, version 4.0, læst 14. november 2026.
- NIST SP 800-55 vol. 1, Measurement Guide for Information Security (december 2024), afsnit 2.2 og 3.3, læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 4.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Giv scoren en fast følgetekst om omfang og bevis i næste rapport.
Læs også: Ét tal til bestyrelsen · Nøgletal mellem to vurderinger
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
