En gennemgang af ISO 27002 kontrol for kontrol giver et bredt og ensartet overblik over, hvad der er på plads. Den kan samtidig skjule de store risici, fordi hver kontrol tæller lige meget, og fordi listen ikke ved, hvad der er vigtigst for jeres forretning.
Kontrollisten er populær i koncerner, fordi den er let at dele ud og let at tælle. Det er netop derfor, den skal bruges med omtanke.
Hvad vi ved om standarden
Selve standarden har vi ikke læst. ISO afviste adgang, og teksten er betalt. Beskrivelsen bygger på Dansk Standards katalogside, læst den 14. november 2026. Ifølge den er ISO/IEC 27002 en vejledende standard knyttet til ISO 27001. Den kom i ny udgave i februar 2022, hvor antallet af kontroller blev reduceret fra 114 til 93. Kontrollerne er ordnet i fire temaer. Vi har ikke kontrolleret temaernes navne i selve standarden og gengiver dem ikke.
Certificering sker efter ISO 27001 og ikke efter 27002. Det fremgår af måden, Dansk Standard beskriver de to standarder på, og er vores læsning. ISO 27002 er altså en vejledning i, hvordan kontrollerne kan gennemføres. Den er ikke i sig selv en målestok, man kan bestå.
Styrkerne ved en kontrol-for-kontrol-gennemgang
En fast liste har tre fordele i en koncern.
Den første er bredden. En gennemgang af alle 93 kontroller sikrer, at intet område bliver glemt. Det er nyttigt, især første gang, eller når en enhed ikke tidligere er målt.
Den anden er ensartetheden. Når alle enheder gennemgås mod samme liste, kan resultaterne lægges ved siden af hinanden. Det giver et fælles sprog mellem koncernen og enhederne.
Den tredje er sporbarheden. Et fund kan knyttes til en bestemt kontrol, og en enhed kan se præcis, hvad der mangler. Det gør handlingsplanerne konkrete.
Fælderne
- Alle kontroller tæller lige · Hvad der sker: En manglende kontrol for genopretning vejer det samme som en manglende for skrivebordspolitik · Hvordan den kan undgås (praksis): Vægt efter risiko, eller vis de kritiske kontroller for sig
- Ja eller nej skjuler dækningen · Hvad der sker: En kontrol er “på plads” i hovedkontoret, men ikke på fabrikken · Hvordan den kan undgås (praksis): Kræv afgrænsning og bevis ved hvert ja
- Listen erstatter risikovurderingen · Hvad der sker: Det, der ikke står på listen, bliver ikke set · Hvordan den kan undgås (praksis): Start med risikovurderingen og brug listen bagefter
- Kontrollen findes, men virker ikke · Hvad der sker: En procedure er skrevet, men følges ikke · Hvordan den kan undgås (praksis): Test effekten for de vigtigste kontroller
Den tredje fælde er den alvorligste. Andre rammer advarer selv mod den. NIST skriver om sit eget Core i CSF 2.0, at det ikke er en tjekliste over handlinger. Den britiske Cyber Assessment Framework siger det samme om sine vejledende indikatorer. Udsagnene gælder de to rammer og ikke ISO 27002. Men de peger på samme risiko: at en liste bliver brugt som erstatning for den vurdering, den skulle understøtte.
Hvorfor de store risici kan forsvinde
En tænkt koncern gennemgår ti selskaber mod alle 93 kontroller. Et selskab opfylder 85 af dem og ligger øverst i opgørelsen. De otte, der mangler, handler om genopretning og om adgang for en driftsleverandør. Netop det selskab driver koncernens ordresystem. Et andet selskab opfylder 70 kontroller, men de manglende handler mest om dokumentation af mindre vigtige procedurer.
Tælles der kun, ser det første selskab stærkest ud. Vurderes risikoen, er det måske det mest sårbare. Eksemplet er tænkt, men mekanismen er almindelig i målinger, der bygger på optælling.
Sådan kan listen bruges uden at skjule noget
Det følgende er praksis.
- Start med risikoen. Lad koncernens risikovurdering udpege de kontroller, der er kritiske for hver enhed, før listen gennemgås.
- Vis de kritiske kontroller for sig. En enhed med alle kritiske kontroller på plads og huller i resten er et andet billede end det omvendte.
- Kræv bevis og afgrænsning. Hvert ja skal sige, hvilke systemer og lokationer det gælder, og hvad der er set.
- Test effekten, hvor det betyder mest. For de kritiske kontroller er det ikke nok, at proceduren findes.
- Hold listen op mod anvendelseserklæringen. Har enheden et ledelsessystem efter ISO 27001, bør gennemgangen kunne forklare forskelle mellem listen og de valgte foranstaltninger.
Den tekniske efterprøvning af de enkelte kontroller hører til de tekniske kontrolpunkter. Hvordan vægte vælges, er emnet i vægtning af områderne.
Listen i rapporten til ledelsen
Resultatet af en kontrolgennemgang lander ofte i ledelsens rapport som en procentdel af opfyldte kontroller pr. enhed. Det tal er let at forstå og let at misforstå. En bedre opstilling viser tre ting for hver enhed: om de kritiske kontroller er på plads, hvor mange af de øvrige der er opfyldt, og hvor beviset er tyndt. Så kan ledelsen se, hvor indsatsen bør gå hen, i stedet for at belønne den enhed, der har krydset flest felter af.
Listen kan også give et nyttigt billede af udviklingen. Følges de samme kontroller år efter år med samme bevisregler, kan koncernen se, hvilke områder der flytter sig, og hvilke der står stille. Det kræver, at listen holdes fast i måleperioden, og at en ny udgave af standarden indføres som et bevidst skift med en note i rapporten.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernen har en risikovurdering, der kan udpege de kritiske kontroller, og at bevisreglerne er de samme i alle enheder. Koncernens liste skal desuden holdes i takt med 2022-udgaven, så nogen skal have adgang til selve teksten.
Bruges listen alene, får koncernen en opgørelse, der belønner bredde frem for det vigtige. Bestyrelsen ser en høj grad af opfyldelse, mens de få huller, der kunne stoppe forretningen, ligger skjult i et gennemsnit.
Det skal I lade være med
- At lade antallet af opfyldte kontroller være scoren · det skjuler de kritiske huller.
- At bruge 2013-udgavens 114 kontroller i en ny måling · udgaven fra 2022 har 93.
- At gengive temaer og numre fra standarden uden at have læst den · katalogsider er ikke standarden.
Det skal gennemgangen kunne vise
- ☐ En risikovurdering, der udpeger de kritiske kontroller pr. enhed.
- ☐ Resultatet for de kritiske kontroller vist for sig.
- ☐ Afgrænsning og bevis ved hver opfyldt kontrol.
- ☐ Test af effekten for de kritiske kontroller.
- ☐ Den udgave af standarden, listen bygger på.
Kilder
- Dansk Standard, ISO/IEC 27002, læst 14. november 2026.
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, afsnit 2, læst 14. november 2026.
- NCSC, Cyber Assessment Framework, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres seneste kontrolgennemgang og marker de kontroller, der er kritiske for den enhed, som bærer mest forretning.
Læs også: Proces eller resultat · Høj modenhed er ikke det samme som høj sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
