Produktion og anlæg kan måles med de samme rammer som kontor-IT, men spørgsmålene og beviset skal oversættes til den virkelighed, der er på fabrikken. Ellers bliver OT enten straffet for at være anderledes eller holdt helt uden for målingen.
Hvordan scoren tilpasses, så fabrik og kontor kan sammenlignes, er praksis. Rammerne giver et fælles grundlag at stå på.
Rammerne dækker OT
NIST CSF 2.0 skriver, at funktionerne gælder IT, IoT og OT og alle andre teknologimiljøer. Der er altså ikke brug for en særskilt ramme for at måle produktionen.
C2M2 version 2.1 er udviklet sammen med energisektoren og omfatter IT, OT og informationsaktiver i det, der vurderes. Modellen har praksisser, som kun giver mening i et anlæg. Domænet for arkitektur har for eksempel en praksis om, at anlæggets systemer kan køre videre uden IT-systemerne. C2M2 kan bruges uden for energisektoren og er derfor et oplagt sted at hente formuleringer, når en koncern med fabrikker skal tilpasse sin måling.
Hvor kontormodellen rammer skævt
Nogle spørgsmål, der er rimelige i et kontor, giver et misvisende svar på en fabrik. Listen er sitets eksempler.
Opdateringer. På et kontor er hurtig opdatering et godt tegn. I et anlæg kan en opdatering kræve et planlagt stop og godkendelse fra producenten af maskinen. Et lavt svar om opdateringstakt kan dække over en velstyret proces med andre kompenserende tiltag.
Udskiftning. Systemer i produktionen lever ofte langt længere end kontor-PC’er. Et spørgsmål om systemer uden support kan give OT en lav score, selv om risikoen er styret ved adskillelse.
Ansvar. På fabrikken ligger ansvaret ofte hos produktionen eller vedligeholdelsen, ikke hos IT. En måling, der kun interviewer IT, finder ikke praksis.
Tre greb til en retfærdig score
Oversæt spørgsmålet til formålet. Spørg om det, kontrollen skal opnå, frem for om den bestemte metode. I stedet for “opdateres systemerne inden for en fast frist?” kan spørgsmålet være “er der en styret proces for sårbarheder, der tager højde for driften?”.
Godkend kompenserende tiltag. Hvis et system ikke kan opdateres, kan adskillelse, overvågning og begrænset adgang give tilsvarende beskyttelse. Det er praksis at lade sådanne tiltag tælle, når de er dokumenteret og vurderet, og at markere i rapporten, at scoren bygger på dem.
Interview de rigtige. Lad produktionschefen, vedligeholdelsen og den, der har ansvaret for anlæggets styresystemer, deltage sammen med IT. C2M2’s workshopform med folk fra både drift og ledelse passer godt til det.
Måles fabrikken for sig eller sammen med kontoret?
Der er to muligheder. Fabrikken kan måles som sin egen enhed med samme skala og områder som resten af koncernen, men med oversatte spørgsmål. Eller OT kan måles som et særskilt område inden for den lokale enhed. C2M2 råder til at lade hver vurdering omfatte noget, der ledes på én måde. Hvis OT styres af andre folk end kontor-IT, taler det for at måle det for sig.
Det vigtige for sammenligningen er, at skala og beviskrav er de samme, og at forskellen ligger i spørgsmålenes ordlyd. Så kan en fabrik og et kontor stå i samme tabel.
Et tænkt eksempel
En koncern med tre fabrikker og et hovedkontor måler første gang med en kontormodel. Fabrikkerne får lave scorer på opdateringer og systemer uden support og ingen score på overvågning, fordi produktionsnettet ikke indgår. Året efter oversættes spørgsmålene, kompenserende tiltag tæller, og produktionen deltager i workshopperne. To fabrikker stiger, fordi deres styring nu bliver set. Den tredje falder, fordi det viser sig, at produktionsnettet ikke er adskilt fra kontornettet. Begge resultater er mere retvisende end det første år. Ændringen af metode skal stå i rapporten, så bestyrelsen ikke læser den som en udvikling i praksis.
Grænsen til andre emner
Den tekniske kontrol af det enkelte anlæg er beskrevet under de tekniske kontrolpunkter. Hvordan en audit på et anlæg gennemføres, hører til den almene auditmetode. Offentligt ejede anlæg har deres egen side under IT-audit i det offentlige. Her handler det om scoren og sammenligningen.
Hvem i koncernen ejer OT-målingen
I mange koncerner ligger ansvaret for produktionens systemer et andet sted end IT. Det er praksis at aftale, hvem der ejer målingen for OT, før den begynder, og hvem der skal handle på resultatet. Aftalen bør også sige, hvem der må give adgang til anlæggene under vurderingen. Hvis koncernens sikkerhedsfunktion måler, men produktionen ejer systemerne, skal resultatet nå de folk, der kan beslutte et planlagt stop eller en ny adskillelse.
Hvad det kræver, og hvad det koster at lade være
Det kræver oversatte spørgsmål for produktionen, en regel for kompenserende tiltag, deltagelse fra produktion og vedligeholdelse og en klar beslutning om, hvordan OT indgår i koncerntallet.
Uden tilpasning bliver fabrikkerne enten scoret lavt for at være anderledes eller holdt uden for. I begge tilfælde ser bestyrelsen ikke den risiko, der kan standse produktionen.
Det skal I lade være med
- At holde OT uden for målingen · så mangler en af koncernens største risici.
- At stille kontorets spørgsmål ordret på fabrikken · svarene bliver misvisende.
- At lade kompenserende tiltag tælle uden dokumentation · så bliver scoren for pæn.
Det skal gennemgangen kunne vise
- ☐ Hvordan OT indgår i omfanget, og hvem der har ansvaret for det.
- ☐ De oversatte spørgsmål for produktionen.
- ☐ Kompenserende tiltag, der tæller i scoren, med dokumentation.
- ☐ Hvem fra produktion og vedligeholdelse der har deltaget.
Kilder
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 2, læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 3.2.1 og 3.3, domænet ARCHITECTURE, læst 14. november 2026.
- U.S. Department of Energy, C2M2, programside, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Oversæt de spørgsmål, der rammer produktionen skævt, før næste måling.
Læs også: C2M2 version 2.1 · Benchmark på tværs af forretningsenheder
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
