NIST CSF 2.0 måler sikkerheden ved at beskrive to tilstande på samme liste af resultater: den, organisationen er i nu, og den, den vil nå. Afstanden mellem de to profiler er selve målingen, og rammen beskriver fem trin fra afgrænsning til en handlingsplan, der kan gentages.
For en koncern er det profilerne, der gør rammen brugbar som måleredskab. De kan laves for hele koncernen, for en division eller for et enkelt selskab, og de kan lægges ved siden af hinanden år efter år.
Tre dele, hvoraf profilerne er måleredskabet
CSF 2.0 blev udgivet af NIST den 26. februar 2024 og består af tre dele. Core er listen over resultater, ordnet i funktioner, kategorier og underkategorier. Organizational Profiles beskriver organisationens tilstand målt mod Core. Tiers beskriver stringensen i den samlede styring af cyberrisiko.
Core har seks funktioner: Govern, Identify, Protect, Detect, Respond og Recover. Under dem ligger 22 kategorier og 106 underkategorier. NIST skriver selv, at Core ikke er en tjekliste over handlinger. Hverken den orden, funktionerne står i, eller antallet af underkategorier under hver kategori er udtryk for prioritet eller vigtighed. Det har betydning for målingen. En kategori med mange underkategorier vejer ikke automatisk tungere end en kategori med få.
Nuværende profil og målprofil
En Current Profile beskriver de resultater, organisationen opnår i dag, og hvor langt den er med hvert af dem. En Target Profile beskriver de resultater, organisationen har valgt at stile mod, ud fra sin risiko, sine krav og sine forventninger til trusselsbilledet. Gabet mellem de to er grundlaget for prioriteringen.
NIST’s hurtigstartguide til profiler, SP 1301 fra februar 2024, viser en skabelon i regnearksform med de to profiler side om side. Guiden åbner for, at kolonnerne ikke behøver at være de samme for den nuværende profil og målprofilen. Den nuværende kan fx have en kolonne for beviser, mens målprofilen har en kolonne for frister. Det er en frihed, der skal bruges med omtanke i en koncern, fordi enhederne ellers ender med hver sit skema.
De fem trin
Rammen beskriver arbejdet med en profil i fem trin.
- 1. Afgræns profilen · Indhold: Hvad og hvem profilen dækker, og hvilke antagelser den bygger på · Koncernens spørgsmål: (Hele koncernen, en division eller et selskab?)
- 2. Indsaml information · Indhold: Politikker, risikovurderinger, krav og eksisterende praksis · Koncernens spørgsmål: (Hvem i enheden leverer materialet?)
- 3. Lav profilen · Indhold: Udfyld nuværende profil og målprofil · Koncernens spørgsmål: (Samme skala og samme bevisregler i alle enheder?)
- 4. Analyser gabet · Indhold: Find forskellen og lav en handlingsplan · Koncernens spørgsmål: (Ender planen i koncernens risikoregister?)
- 5. Gennemfør og opdater · Indhold: Udfør planen og ret profilen · Koncernens spørgsmål: (Hvornår måles igen?)
Handlingsplanen i trin 4 kan ifølge rammen fx tage form af et risikoregister eller en plan med milepæle. SP 1301 knytter en ejer til hvert tiltag. Trinene kan gentages så ofte, det er nødvendigt, og det er gentagelsen, der giver måleserien.
Mange profiler med hvert sit omfang
Ifølge rammen må en organisation lave lige så mange profiler, den har brug for, og give hver af dem sin egen afgrænsning. Det åbner for en koncernmodel, hvor hvert selskab eller hver division har sin egen nuværende profil, mens koncernen fastsætter en fælles målprofil eller en fælles minimumsprofil. At bruge rammen sådan i en koncern er vores tolkning af den frihed, rammen giver. NIST beskriver ikke koncerner særskilt.
Rammen beskriver dog, hvordan ledelsen fastsætter mål, der føres videre til ledere, og at målene i en virksomhed kan gælde en forretningsenhed eller en driftsdivision. Praktikerne leverer nøgletal for resultater og risici tilbage. Det er den samme bevægelse, som en koncernmåling har brug for: målet fastsættes centralt, enhederne måler sig selv mod det, og tallene samles igen.
Det, der skal låses, før enhederne udfylder
Profilerne er fleksible, og det er både styrken og faren. Skal enhedernes profiler kunne lægges sammen, skal nogle ting være ens fra start. Det følgende er praksis, ikke rammens krav.
- Skalaen. Hvordan beskrives, hvor langt et resultat er nået? Rammen foreskriver ingen skala for profilerne. Vælg én og beskriv hvert trin, så det betyder det samme overalt.
- Bevisreglerne. Hvad skal kunne vises, før et resultat regnes som opnået? Et ja fra en leder og en gennemgået stikprøve er to forskellige ting.
- Udvalget af underkategorier. Medtager alle enheder alle 106, eller har koncernen udvalgt dem, der er relevante? Udeladelser skal stå ved profilen.
- Afgrænsningen. Hvilke systemer, lokationer og leverandører hører til enheden?
Hvad der bør ligge fast ved første måling, gennemgås i den første måling som baseline.
Hvor profilerne ikke rækker
En profil viser, hvilke resultater der er opnået. Den siger ikke i sig selv, hvor stor risikoen er ved de resultater, der mangler. Den kobling skal laves i analysen af gabet, hvor hvert hul vurderes mod forretningens risiko. Rammen peger på, at ledelsen kan kombinere data om cyberrisiko med andre risici, men selve oversættelsen er organisationens eget arbejde.
Profilen er heller ikke en revision. Hvordan en uafhængig gennemgang af enhederne tilrettelægges, hører til den almene metode for sikkerhedsaudit. CSF-profilen kan være den målestok, auditten bruger.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ejer af den fælles metode, en beslutning om skala og bevisregler, før første enhed går i gang, og en plan for, hvem der samler profilerne og analyserer gabene på koncernniveau. Det kræver også, at målprofilen er besluttet af ledelsen og ikke skrevet af den, der skal måles.
Uden de beslutninger får koncernen en samling profiler, der ligner hinanden på overfladen, men som er udfyldt efter forskellige regler. Så kan gabene ikke sammenlignes, og handlingsplanerne kan ikke prioriteres på tværs.
Det skal I lade være med
- At læse Core som en tjekliste · NIST skriver selv, at den ikke er det.
- At lade hver enhed vælge sin egen skala og sine egne kolonner · så kan profilerne ikke lægges sammen.
- At udelade underkategorier uden at skrive det ved profilen · udeladelsen ligner ellers et opnået resultat.
- At stoppe ved gabanalysen · uden handlingsplan med ejere er profilen en beskrivelse.
Det skal gennemgangen kunne vise
- ☐ En dokumenteret afgrænsning og de antagelser, profilen bygger på.
- ☐ En nuværende profil og en målprofil for hver enhed, udfyldt efter samme skala.
- ☐ Beviset bag hvert resultat, der regnes som opnået.
- ☐ En gabanalyse med handlingsplan, ejere og frister.
- ☐ Dato for næste opdatering af profilerne.
Kilder
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, afsnit 1 til 3 og 5.1 samt bilag A, læst 14. november 2026.
- NIST SP 1301, Quick-Start Guide for Creating and Using Organizational Profiles, februar 2024, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres seneste måling og se, om den kan stilles op som en nuværende profil ved siden af en besluttet målprofil.
Læs også: CSF Tiers og hvad de fire tiers beskriver · Govern i CSF 2.0
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
