Et område rykker et trin op, når praksis ikke længere afhænger af enkeltpersoner, men er dokumenteret, har ressourcer, har en ejer og bliver evalueret. Hvert trin kræver sit eget bevis, og det er beviset, der gør trinnet troværdigt i en koncern med mange enheder.
Artiklen bruger C2M2 version 2.1 fra det amerikanske energiministerium som gennemgående eksempel, fordi modellen beskriver sine niveauer meget konkret. Andre rammer bruger andre ord, men logikken går igen.
Fire niveauer, hvoraf tre kan opnås
C2M2 har fire niveauer for hvert domæne, MIL0 til MIL3. På nulniveauet sker der intet. På første niveau er de indledende praksisser i gang, gerne uden fast form. Andet niveau kræver, at praksis er skrevet ned, har folk og tid nok og dækker bredere. Tredje niveau lægger politik, en ansvarlig, kompetencekrav og løbende evaluering af virkningen oven i.
Niveauerne er kumulative. Et domæne kan kun stå på MIL2, hvis alt på MIL1 også er på plads. De gælder desuden hvert domæne for sig, så en enhed kan stå på MIL3 for identitet og adgang og på MIL1 for hændelser. En praksis tæller med, hvis den er gennemført helt eller i det væsentlige.
Hvad ad hoc betyder
Ad hoc er det trin, der oftest bliver misforstået. I C2M2 betyder det, at arbejdet hviler på den enkelte medarbejders eget initiativ. Modellen anerkender, at dygtige og erfarne folk kan nå fine resultater på den måde. Svagheden er, at det, de lærer, bliver i hovedet på dem selv. Når personen skifter job, forsvinder praksis med vedkommende.
Det er derfor ikke en dårlig karakter at stå på MIL1. Det er en beskrivelse af, hvor skrøbelig praksis er.
To slags fremskridt
C2M2 skelner mellem to retninger. Den ene handler om, hvor komplet praksis er: dækker den alle de relevante aktiver og situationer? Den anden handler om, hvor godt praksis er forankret i ledelsen: findes der dokumentation, ressourcer, ansvar og evaluering?
Den skelnen er nyttig i en koncern. En enhed kan have en meget komplet praksis, som én dygtig medarbejder holder i live. En anden kan have flotte procedurer, som kun dækker halvdelen af systemerne. De to enheder får måske samme score, men de har brug for vidt forskellige tiltag.
Beviset trin for trin
Tabellen viser, hvilket bevis der typisk kan understøtte hvert trin. Den er udledt af C2M2’s beskrivelse af ledelsesaktiviteterne og er sitets praksis, ikke modellens egen tjekliste.
- MIL1 · Det, der skal kunne vises: At praksis udføres · Typisk bevis: Interview, eksempler på udført arbejde
- MIL2 · Det, der skal kunne vises: At praksis er dokumenteret og har ressourcer · Typisk bevis: Procedure, ressourceplan, data fra flere perioder
- MIL3 · Det, der skal kunne vises: At praksis styres og evalueres · Typisk bevis: Politik, navngivet ansvarlig, kompetencekrav, evaluering med opfølgning
Et tænkt eksempel fra en koncern med flere fabrikker: I datterselskab A holder driftschefen en fortegnelse over servere i et regneark, som han opdaterer, når han husker det. Det er MIL1. I datterselskab B er der en skrevet procedure for, hvornår fortegnelsen opdateres, og en fast medarbejder har tid til det. Det peger mod MIL2. I datterselskab C står fortegnelsen i en politik, ejeren er navngivet, og koncernens sikkerhedsfunktion kontrollerer hvert halvår, om fortegnelsen stemmer med virkeligheden, og følger op. Det peger mod MIL3.
Det, der ofte mangler for at nå et trin op
Fra MIL1 til MIL2 mangler oftest dokumentationen. Praksis findes, men ingen har skrevet den ned, eller den skrevne procedure beskriver noget andet end det, der sker.
Fra MIL2 til MIL3 mangler oftest evalueringen. Procedurer og ansvar er på plads, men ingen ser efter, om de virker. Uden den evaluering har ledelsen intet grundlag for at justere.
Det er almindelig praksis at kræve, at beviset er fra den periode, målingen dækker. En procedure, der blev skrevet ugen før vurderingen, viser, at dokumentet findes. Den viser ikke, at praksis har fulgt den.
CSF’s tiers er noget andet
NIST CSF 2.0 har fire tiers fra Partial til Adaptive. Ifølge rammen viser de, hvor stramt organisationen styrer sin cyberrisiko, og eksemplerne i bilag B kaldes selv “notional”, altså vejledende. Tiers beskriver hele organisationens tilgang og er ikke et trin pr. område. At de derfor ikke bør bruges som modenhedstrin for det enkelte område, er sitets tolkning.
Den almene lære om bevis i en audit hører hjemme under sikkerhedsauditens metode. Her handler det kun om, hvordan beviset kobles til et trin.
Når enheden og vurderingen er uenige om trinnet
I en koncern sker det ofte, at en enhed mener at stå et trin højere, end vurderingen viser. Uenigheden handler sjældent om praksis. Den handler om beviset. Enheden ved, at arbejdet bliver gjort, men kan ikke vise det, eller den viser en procedure, som ikke er fulgt i hele perioden.
Det er praksis at give enheden mulighed for at fremlægge yderligere bevis inden for en kort frist, før trinnet låses. Det giver ro om resultatet og lærer enheden, hvad der skal gemmes til næste gang. Kommer beviset ikke, står det lavere trin, og rapporten kan nævne, at enheden har gjort indsigelse.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort beskrivelse af, hvilket bevis der gælder for hvert trin, og at alle enheder får den samme beskrivelse, før målingen begynder. Den, der vurderer, skal kunne pege på beviset bag hvert trin.
Uden beviskrav bliver trinnene et spørgsmål om, hvem der fortæller bedst. Scoren stiger, uden at praksis ændrer sig, og bestyrelsen får et billede af fremskridt, som ikke holder ved næste udskiftning af medarbejdere.
Det skal I lade være med
- At give et trin for en plan · beviset skal vise praksis, som den er.
- At læse MIL1 som en dumpekarakter · trinnet beskriver, hvor skrøbelig praksis er.
- At bruge CSF’s tiers som trin pr. område · de beskriver hele organisationens styring.
Det skal gennemgangen kunne vise
- ☐ En beskrivelse af, hvilket bevis hvert trin kræver.
- ☐ For hvert område det bevis, trinnet bygger på, og hvilken periode det dækker.
- ☐ At de lavere trin er på plads, før et højere trin gives.
- ☐ Hvor praksis afhænger af enkeltpersoner.
Kilder
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 4.2 til 4.4, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 3.2 og bilag B, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv beviskravet for hvert trin ned, før næste måling begynder.
Læs også: C2M2 version 2.1 · CSF Tiers er ikke modenhedstrin
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
