Modenhed: hvad der måles, og hvordan

Bestyrelsen har bedt om et tal for sikkerheden, og CISO skal finde ud af, hvordan det tal bliver til. En modenhedsmåling beskriver, hvor systematisk koncernen arbejder med sikkerhed område for område, og hvor langt der er til det niveau, ledelsen har valgt. Artiklerne i dette tema handler om selve målingen. De forklarer, hvad et trin betyder, hvordan skalaen og vægtene vælges, hvilken metode der giver hvilken sikkerhed for tallet, og hvorfor den første måling mest af alt skal fastlægge reglerne for de næste.

Temaet er skrevet til dem, der skal designe målingen, og til dem, der skal læse den. Intern revision kan bruge det til at efterprøve, om en score hviler på bevis. Revisionsudvalget kan bruge det til at stille de rigtige spørgsmål, når tallet lander på bordet.

Hvad tallet siger, og hvad det ikke siger

• Modenhedsvurdering, audit eller teknisk gennemgang i en koncern: tre spørgsmål, tre leverancer Tre spørgsmål med hver sin leverance.
• Høj modenhed er ikke det samme som høj sikkerhed Scoren er ingen garanti mod hændelser.
• Proces eller resultat: måler I, om det gøres systematisk, eller om det virker? Systematik og virkning er to forskellige tal.
• Fra modenhedsscore til risiko: koblingen til koncernens risikoregister Scoren oversat til risiko med ejer.

Metoden bag tallet

• Selvevaluering eller ekstern vurdering: hvor meget kan I stole på egne tal? Egne tal holder, når nogen ser efter.
• Spørgeskema, interview eller stikprøve: tre måder at måle modenhed på Dybden vælges enhed for enhed.
• De områder, en modenhedsvurdering dækker, og hvad der ses på i hvert Områderne i de store rammer.
• Hvor ofte skal modenheden måles i en stor organisation? Årlig rytme og ekstra målinger ved store skift.
• Den første måling: en baseline med faste begreber, der kan gentages Reglerne skrives ned første gang.

Trin, mål, skala og vægt

• Modenhedstrinene i praksis: det, der skal kunne vises, før et område rykker et trin op Beviset, der skiller trinene.
• Målniveau pr. område: hvorfor højeste trin overalt er det forkerte mål Forskellige mål for forskellige områder.
• Vægtning: skal alle områder tælle lige meget i den samlede score? Vægte vælges før målingen.
• Skalaen: tre, fire eller fem trin, eller opnået og delvist opnået Få eller mange trin, og hvad det koster.

Områder, hvor modellen skal oversættes

• Modenhed i produktion og OT, når modellen er skrevet til kontor-IT Fabrikken og anlæggene på deres egne vilkår.
• Sikkerhedskultur som modenhedsområde: kan den måles? Adfærd og beslutninger som spor.
• Modenhed i detektion og overvågning: vurdering af SOC-funktionen som proces Overvågningen vurderet som proces.
• Driften ligger ude: hvad scorer I hos jer selv, når kontrollen udføres af en leverandør? Enheden ejer risikoen og får scoren.

Hvad det kræver, og hvad det koster at lade være

En måling, der kan bruges år efter år, kræver nogle få beslutninger, før den første enhed svarer. Skalaen skal ligge fast, hvert trin skal have et beskrevet bevis, områderne skal være afgrænset, og vægtene skal være valgt efter en regel. Desuden skal nogen eje metoden, så den ikke ændres i stilhed fra år til år. Det er arbejde for anden linje og for den, der leder målingen, og det tager typisk længere tid end selve indsamlingen.

Springes forarbejdet over, får bestyrelsen et tal, ingen kan forklare. Næste år kan scoren stige, fordi spørgsmålene er blevet lettere, eller falde, fordi en ny auditor læser skalaen strengere. Så bliver diskussionen i bestyrelsen et spørgsmål om metode, og de egentlige svagheder forsvinder i støjen.

Det skal I lade være med

• At læse en høj score som en sikkerhedsgaranti · den viser systematik, ikke usårbarhed.
• At kræve topniveau på alle områder · målet følger risikoen pr. område.
• At vælge vægte efter resultatet · reglen kommer først.
• At ændre skalaen mellem to målinger uden at sige det · serien knækker.

Det skal gennemgangen kunne vise

• ☐ Hvilken skala der er brugt, og hvilket bevis der kræves for hvert trin.
• ☐ Hvilke områder målingen dækker, og hvilke der står udenfor.
• ☐ Hvordan vægtene er valgt, og hvem der besluttede dem.
• ☐ Hvordan scoren er koblet til koncernens risikoregister.

Senest gennemgået: november 2026.

Næste skridt

• Modenhedstrinene i praksis
• Den første måling som baseline

Læs også: Rammeværk som målestok · Måling over tid og budget

→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT