En dybere modenhedsmodel for et enkelt område er umagen værd, hvor området bærer en stor del af koncernens risiko, og hvor den brede måling kun kan sige, at noget er på plads, uden at sige hvor godt. Andre steder giver den mest ekstra arbejde og et tal mere, som ingen bruger.
Der findes modeller for mange enkeltområder, fx identitet og adgang, beredskab eller sikker udvikling. Vi har ikke læst nogen af dem som kilde og navngiver ingen. Artiklen handler om valget: hvor en områdemodel hører hjemme, og hvordan den kobles til den brede måling. Det er praksis.
Hvad den brede måling ikke kan
En bred ramme dækker mange områder med få spørgsmål hver. NIST CSF 2.0 har 106 underkategorier fordelt på 22 kategorier og seks funktioner. Kategorien for identitetsstyring, autentificering og adgangskontrol har en håndfuld underkategorier. C2M2 version 2.1 har ti domæner, og domænet for identitet og adgang er ét af dem, med et niveau fra MIL0 til MIL3.
Det er tilstrækkeligt til at se, om området er dækket og forankret. Det er sjældent tilstrækkeligt til at se, hvordan adgangsstyringen virker i en koncern med mange selskaber, mange systemer og tusindvis af rolleskift om året. Her kan en model, der går i dybden med ét område, give et billede, som den brede måling ikke kan.
Kriterier for, hvor en områdemodel er umagen værd
- Risiko · Spørgsmål: Bærer området en stor del af koncernens risiko? · Tegn på, at en områdemodel kan give noget (tænkt): (Gentagne hændelser eller fund i området)
- Kompleksitet · Spørgsmål: Er området så komplekst, at få spørgsmål ikke fanger det? · Tegn på, at en områdemodel kan give noget (tænkt): (Mange selskaber, systemer og leverandører involveret)
- Ejer · Spørgsmål: Har området en ejer, der kan bruge et detaljeret billede? · Tegn på, at en områdemodel kan give noget (tænkt): (En ansvarlig med budget og mandat til at handle)
- Stagnation · Spørgsmål: Har den brede måling vist samme resultat i flere år? · Tegn på, at en områdemodel kan give noget (tænkt): (Samme niveau trods indsats)
- Krav · Spørgsmål: Stiller kunder eller tilsyn særlige krav til området? · Tegn på, at en områdemodel kan give noget (tænkt): (Konkrete spørgsmål i kontrolbesøg)
Kriterierne er vores. Gælder tre eller flere af dem, er der grund til at overveje en dybere model. Gælder kun ét, er det ofte bedre at uddybe spørgsmålene i den brede måling.
Sådan kobles områdemodellen til den brede måling
En områdemodel skal ikke leve sit eget liv. Den skal give et resultat, der kan ses i sammenhæng med koncernens samlede billede.
Den brede måling er rammen. Området bliver ved med at indgå i den brede måling med samme spørgsmål og samme skala. Det bevarer måleserien.
Områdemodellen er uddybningen. Den giver et mere detaljeret billede af det samme område, som vises i et tillæg eller i områdets egen rapport.
Resultaterne afstemmes. Står området højt i den brede måling og lavt i områdemodellen, skal forskellen forklares. Ofte skyldes den, at den brede måling har set, at processen findes, mens områdemodellen har set, hvordan den virker.
Områdemodellen indgår ikke i koncernscoren. Ellers vægter det uddybede område tungere end de andre, alene fordi det er målt mere grundigt.
Hvem der måler
En områdemodel kræver ofte særlig viden om området. Det kan være fristende at lade områdets egen ejer måle. Det giver indsigt, men ikke uafhængighed. Digitaliseringsstyrelsens vejledning om evaluering og opfølgning fra 2016 peger på, at den, der driver en proces, ikke bør måle den. Det princip gælder også her.
En mulig løsning er, at ejeren gennemfører selvevalueringen efter områdemodellen, og at anden linje eller en ekstern part efterprøver et udvalg af svarene. Den tekniske efterprøvning af området hører typisk til en teknisk gennemgang, mens områdemodellen ser på styringen og forankringen.
Et tænkt eksempel
En koncern har i tre år haft samme niveau for identitet og adgang i den brede måling (tænkt eksempel). Revisionen har gentagne bemærkninger om rettigheder, der hober sig op, når medarbejdere skifter rolle. Koncernen beslutter at bruge en dybere model for området i ét år. Den viser, at processen for nyansatte og fratrædelser fungerer, men at rolleskift ikke er dækket af nogen procedure. Det fund kunne den brede måling ikke give, fordi dens spørgsmål kun spurgte, om en proces fandtes. Hvordan den slags fund ser ud i store organisationer, står i adgangsstyring i stor skala.
Året efter vender koncernen tilbage til den brede måling for området, men med et ekstra spørgsmål om rolleskift.
Hvornår områdemodellen skal stoppe
En områdemodel behøver ikke køre hvert år. Når den har givet den indsigt, den skulle, og de nødvendige ændringer er gennemført, kan området vende tilbage til den brede måling. En mulig regel er at bruge områdemodellen i én eller to perioder og derefter vurdere, om den stadig giver noget.
Ressourcerne
En områdemodel kræver tid fra de mennesker, der i forvejen har travlt med området. Det taler for at bruge den, hvor resultatet faktisk kan føre til ændringer, og hvor ledelsen er klar til at prioritere de fund, den giver. En områdemodel, der giver en lang liste over forbedringer uden budget eller ejer til at gennemføre dem, efterlader området, hvor det var, og gør næste måling sværere at få deltagere til.
Hvad det kræver, og hvad det koster at lade være
Det kræver en begrundet udvælgelse af området, en ejer, der vil bruge resultatet, og en kobling til den brede måling, så måleserien ikke brydes. Det kræver også, at områdemodellen holdes ude af koncernscoren.
Uden en bevidst udvælgelse ender koncernen med områdemodeller, hvor der var en ildsjæl, og ikke hvor risikoen er størst. Uden kobling får bestyrelsen to resultater for det samme område uden forklaring.
Det skal I lade være med
- At vælge område efter, hvor der findes en model · vælg efter risiko.
- At lade områdemodellen indgå i koncernscoren · det skævvrider vægtningen.
- At lade ejeren af området måle sig selv uden efterprøvning · det giver indsigt, men ikke uafhængighed.
Det skal gennemgangen kunne vise
- ☐ Begrundelsen for at vælge området, holdt op mod kriterier som risiko og kompleksitet.
- ☐ En kobling mellem områdemodellen og den brede måling.
- ☐ En afstemning af de to resultater for området.
- ☐ En plan for, hvornår områdemodellen stopper eller vurderes igen.
Kilder
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, bilag A, læst 14. november 2026.
- U.S. Department of Energy, C2M2 Version 2.1, juni 2022, læst 14. november 2026.
- Digitaliseringsstyrelsen, Vejledning i evaluering og opfølgning, juni 2016, afsnit 1.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find det område, der har stået på samme niveau i jeres brede måling i flest år, og vurder det mod kriterierne.
Læs også: Egen modenhedsmodel · Gentagne fund
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
