Evnen til at opdage og reagere kan vurderes som en proces med mål, ansvar, dækning og evaluering, uanset om overvågningen udføres af egne folk eller af en leverandør. Det, koncernen selv skal eje, er beslutningen om, hvad der skal overvåges, hvem der reagerer, og om det virker.
At vurdere funktionen som proces er praksis. Rammerne giver de områder, der skal ses på.
Hvad rammerne dækker
NIST CSF 2.0 har funktionen Detect med to kategorier: løbende overvågning (DE.CM) og analyse af uønskede hændelser (DE.AE). Funktionen Respond dækker blandt andet styring, analyse og begrænsning af hændelser.
C2M2 version 2.1 har et domæne for situationsbillede og et for hændelser og kontinuitet. Begge måles på de samme niveauer som resten af modellen, så detektion kan sammenlignes med de andre områder.
Proces frem for teknik
En SOC-funktion beskrives ofte med de værktøjer, den bruger. For en modenhedsvurdering er det mindre interessant end de spørgsmål, ledelsen kan stille. Listen er sitets.
Mål. Er det besluttet, hvilke hændelser koncernen skal kunne opdage, og hvor hurtigt?
Dækning. Hvilke selskaber, lokationer og systemer bliver overvåget, og hvilke gør ikke? Er listen opdateret efter seneste opkøb?
Ansvar. Hvem modtager en alarm uden for arbejdstid, og hvem har ret til at isolere et system eller en enhed?
Overgang. Hvordan går en sag fra overvågningen til den, der skal handle i enheden? Er der en beskrevet vej, og er den øvet?
Evaluering. Bliver det målt, hvor hurtigt alarmer håndteres, og hvor mange der er falske? Bliver reglerne justeret efter hændelser?
Når overvågningen er købt
Mange koncerner køber hele eller dele af overvågningen. Det ændrer ikke på, hvilke spørgsmål der skal stilles. C2M2 tillader udtrykkeligt, at en vurdering medtager det, som andre driver for organisationen. Det er praksis at vurdere processen på koncernens side: målene, dækningen, ansvaret ved overgangen og evalueringen af leverandørens arbejde. Hvordan leverandøren selv kontrolleres, er beskrevet under kontrollen af leverandøren.
Et tænkt eksempel: En koncern har købt overvågning af alle servere. Ved vurderingen viser det sig, at to datterselskaber, der kom til ved et opkøb, aldrig blev tilsluttet. Leverandøren overvåger det, den har fået, og gør det godt. Koncernens proces for at holde dækningen ajour mangler. Det er dét, der skal scores lavt.
Trin for detektion og overvågning
- Lavt · Overvågning findes for nogle systemer, alarmer håndteres, når nogen ser dem
- Mellem · Dækning og ansvar er beskrevet, der er en fast vej fra alarm til handling
- Højt · Mål for opdagelse og reaktion, dækningen kontrolleres løbende, evaluering efter hændelser og øvelser fører til justering
Tabellen er sitets eksempel, bygget over den samme logik som modenhedstrinene i C2M2.
I en koncern med mange enheder
I en koncern er det almindeligt, at overvågningen er central, mens reaktionen ligger lokalt. Det giver en særlig risiko ved overgangen. Den centrale funktion kan opdage noget, men hvis den lokale IT-chef ikke er til at få fat i, eller ikke ved, hvad der forventes, går tiden. Det er praksis at måle overgangen som et eget punkt og at øve den i alle enheder, også dem langt fra hovedkontoret.
Det er også praksis at vise dækningen som en andel af kritiske systemer pr. enhed. Så kan bestyrelsen se, hvor koncernen er blind.
Grænsen til teknikken
Hvordan logning, regler og værktøjer er sat op, hører til de tekniske kontrolpunkter. Pligterne efter NIS2 hører under lovkravene og NIS2-audit. Her handler det om processen og om, hvordan den scores.
Øvelser som bevis
Den bedste måde at vise, at detektion og reaktion virker, er at øve dem. Det er praksis at lade en øvelse tage udgangspunkt i en realistisk hændelse i en enhed og følge den fra første alarm til den lokale handling. Øvelsen viser, om overgangen virker, om de rigtige folk bliver kontaktet, og om beslutningerne bliver truffet i tide.
Referatet fra øvelsen og de forbedringer, der kom ud af den, er stærkt bevis for de højere trin. En øvelse, der ikke førte til nogen ændringer, er et svagere bevis, også selv om den gik godt.
Det er også praksis at øve med leverandøren, når overvågningen er købt. Så bliver det tydeligt, hvor ansvaret skifter hænder, og om begge parter har samme forståelse af, hvad der skal ske.
Øvelsens resultat bør også indgå i rapporten til bestyrelsen. Det giver et konkret billede af evnen til at reagere, som en score alene ikke kan give.
Hvad det kræver, og hvad det koster at lade være
Det kræver besluttede mål for opdagelse og reaktion, en opdateret liste over, hvad der overvåges i hver enhed, en beskrevet og øvet overgang fra alarm til handling og en fast evaluering, også af det, en leverandør leverer.
Uden en procesvurdering ser koncernen kun, at overvågningen findes. Den ser ikke de enheder, der aldrig blev tilsluttet, eller de alarmer, ingen reagerede på. Det er typisk dér, en hændelse når at brede sig.
Det skal I lade være med
- At vurdere overvågningen ud fra værktøjerne · spørg til mål, dækning og ansvar.
- At regne en købt overvågning som en løst opgave · koncernen ejer stadig dækningen og reaktionen.
- At øve reaktionen kun i hovedkontoret · overgangen til enhederne er det svage led.
Det skal gennemgangen kunne vise
- ☐ Besluttede mål for, hvad der skal opdages, og hvor hurtigt.
- ☐ En liste over overvågede systemer pr. enhed og de systemer, der ikke er med.
- ☐ En beskrevet og øvet vej fra alarm til handling i hver enhed.
- ☐ Evaluering af overvågningen, også når den er købt.
Kilder
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), tabel 1 og bilag A (DE.CM, DE.AE og RS), læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 3.2.1, domænerne SITUATION og RESPONSE, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over, hvad der overvåges i hver enhed, og find de systemer, der mangler.
Læs også: Driften ligger ude · Hændelser, der ikke når koncernen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
