ISO/IEC 27004 er vejledningsstandarden til den del af ISO 27001, der handler om at overvåge, måle, analysere og evaluere informationssikkerheden. Den gældende udgave er anden udgave fra december 2016, og ISO har markeret den som en standard, der skal revideres.
Den, der skal bygge et måleprogram i en virksomhed med et ledelsessystem efter ISO 27001, kan bruge 27004 som ramme. Denne artikel bygger på ISO’s offentlige katalogside. Selve standarden er betalt og ikke gennemgået her, så indholdet beskrives kun, som ISO selv opsummerer det.
Udgave og status
ISO’s katalogside angiver titlen som informationssikkerhedsledelse med undertitlen overvågning, måling, analyse og evaluering. Udgaven er nummer to, udgivet i december 2016.
Standarden står i ISO’s livscyklus på stadie 90.92, som betyder, at den skal revideres. Stadiet er registreret 24. juli 2025. Katalogsiden skriver, at ISO forventer, at den afløses af et udkast til en ny ISO/IEC 27004 inden for de kommende måneder. Ved gennemgangen 14. november 2026 viste siden ingen ny udgivet udgave, kun udkastet under udarbejdelse.
Det betyder i praksis, at et måleprogram, der bygges i dag, kan henvise til udgaven fra 2016, men bør tjekke ISO’s side, før programmet låses fast i dokumentation eller kontrakter.
Hvad standarden dækker efter ISO’s beskrivelse
Efter abstractet giver standarden vejledning, der skal hjælpe organisationer med at evaluere informationssikkerhedens præstation og ledelsessystemets effektivitet. Den er skrevet til støtte for kravene i ISO/IEC 27001:2013, punkt 9.1, om overvågning, måling, analyse og evaluering.
Standarden dækker tre ting.
- Overvågning og måling af præstation · hvordan informationssikkerheden klarer sig.
- Overvågning og måling af ledelsessystemets effektivitet · om ISMS’et virker efter hensigten.
- Analyse og evaluering · hvordan resultaterne af overvågning og måling behandles.
Den gælder efter ISO for alle typer og størrelser af organisationer. Hvordan den konkret opbygger målinger, hvilke eksempler den giver, og hvilke skabeloner den har, er ikke læst og beskrives derfor ikke her.
Koblingen til ISO 27001
At standarden knytter sig til punkt 9.1 i ISO 27001, er det vigtigste for en virksomhed med et certificeret eller certificeringsklart ledelsessystem. Punkt 9.1 hører til evalueringen af ledelsessystemet. En virksomhed, der vil vise, at den måler sit ISMS systematisk, kan bruge 27004 som vejledning til, hvordan det gøres.
Abstractet henviser til 2013-udgaven af ISO 27001. Det er en følge af, at 27004 er fra 2016. Hvordan en kommende udgave forholder sig til den nyere 27001, er ikke kendt i dag og beskrives ikke.
Brugen af ISO 27001 som målestok uden certificering er beskrevet i ISO 27001 som måleramme uden certificering.
Hvad der kan læses frit ved siden af
Fordi 27004 er betalt, er det sitets vinkel at pege på NIST’s målevejledning (SP 800-55, første bind) som en frit tilgængelig tekst om det samme emne. Den beskriver fire typer målinger, faste felter for hver måling og fire trin til at udvælge og prioritere målinger. Den er amerikansk og ikke koblet til ISO 27001, men den kan læses i sin helhed og bruges til at strukturere et måleprogram.
En virksomhed, der arbejder efter ISO 27001, kan derfor vælge at købe 27004 for at følge ISO’s egen vejledning tæt, eller at bruge NIST’s vejledning og selv koble den til punkt 9.1. Valget afhænger af, hvor meget der lægges vægt på at følge ISO-familien i ordlyd.
Til den, der bygger et måleprogram
Det er almindelig praksis at lade måleprogrammet svare på tre spørgsmål, der svarer til de tre dele i abstractet. Hvordan klarer sikkerheden sig? Virker ledelsessystemet? Og hvad gør vi med resultaterne? Et program, der kun besvarer det første, mister sammenhængen med ledelsessystemet.
I en koncern giver det mening at aftale ét fælles sæt målinger for de selskaber, der har eget ISMS, så evalueringen kan lægges sammen. Det er praksis, ikke et krav i standarden. De selskaber, der ikke har eget ISMS, kan stadig levere de samme målinger, så koncernen får ét billede. Forskellen er, at evalueringen af ledelsessystemet kun giver mening dér, hvor der er et.
Spørgsmål at stille, før standarden købes
Inden en virksomhed køber 27004, er det værd at afklare, hvad den skal bruges til. Skal den bruges som dokumentation over for en certificeringsauditor, er det en fordel at følge ISO-familiens egne begreber. Skal den bruges til at vælge nøgletal til bestyrelsen, kan en frit tilgængelig vejledning være nok. Og står en ny udgave lige for, kan det være fornuftigt at vente, hvis programmet ikke haster.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen ejer måleprogrammet og holder øje med standardens status. Kobles programmet til en bestemt udgave, skal det fremgå, hvilken.
Uden en ramme for måling bliver evalueringen af ledelsessystemet en gennemgang af dokumenter. Så ved ledelsen, at systemet findes, men ikke om det virker.
Det skal I lade være med
- At skrive, at en ny udgave er udkommet, før ISO har udgivet den · katalogsiden viser stadig 2016.
- At henvise til standardens indhold uden at have læst den · abstractet er ikke standarden.
- At måle uden at evaluere · 27004 dækker både måling, analyse og evaluering.
Det skal gennemgangen kunne vise
- ☐ Hvilken udgave af 27004 måleprogrammet henviser til, hvis nogen.
- ☐ Målinger af både præstation og ledelsessystemets effektivitet.
- ☐ En dokumenteret analyse og evaluering af resultaterne.
- ☐ En kobling til punkt 9.1 i ISO 27001.
Kilder
- ISO, ISO/IEC 27004:2016, katalogside, titel, udgave, abstract og status, læst 14. november 2026.
- NIST SP 800-55v1, december 2024, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tjek ISO’s katalogside for status, og skriv ned, hvilken udgave jeres måleprogram henviser til.
Læs også: ISO 27001 som måleramme uden certificering · Nøgletal, ingen kan handle på
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
