NIST’s målevejledning SP 800-55, bind 1, udgivet i december 2024, er en frit tilgængelig vejledning i at vælge sikkerhedsmålinger, der kan bruges til beslutninger. Den afløser udgaven fra juli 2008 og er nu delt i to bind: bind 1 om at identificere og udvælge målinger, bind 2 om selve måleprogrammet.
For den, der skal bygge koncernens nøgletal, giver bind 1 et fast sprog for, hvad en måling er, hvilke typer der findes, og hvordan man prioriterer mellem dem. Bind 2 er ikke gennemgået her.
Måling er noget andet end vurdering
Vejledningen bruger vurdering som det brede begreb og måling om at opnå kvantitative værdier. Kvalitative vurderinger, fx høj, mellem og lav eller et heatmap, regnes i dokumentet ikke som målinger. Det gør semikvantitative tal heller ikke. Vejledningen siger, at sådanne tal mister deres betydning, når de tages ud af den sammenhæng, de er lavet i, og at de ofte ses i modeller, der bruger tal til at rangordne graden af integration.
Det rammer modenhedsmodeller direkte. Et modenhedstrin er efter vejledningens sprog en rangordning, ikke en måling. Det gør ikke trinene værdiløse, men det betyder, at de bør suppleres med kvantitative målinger, hvis bestyrelsen skal følge udviklingen tæt.
De fire typer
Afsnit 3.3 beskriver fire typer målinger.
- Implementering (implementation) · viser fremdrift i at indføre en kontrol, ofte som procenter.
- Virkning (effectiveness) · viser, om kontrollen virker efter hensigten.
- Hastighed (efficiency) · viser, hvor hurtigt noget sker, fx tiden til at rette en sårbarhed.
- Betydning (impact) · viser, hvad sikkerheden betyder for organisationens mission.
Som eksempel stiller vejledningen den gennemsnitlige rettetid op mod et rent antal rettede sårbarheder. Antallet fortæller ikke, hvor længe hullerne stod åbne. Det gør tiden.
Felterne for en måling
Afsnit 3.1.1 giver en skabelon med faste felter. Den kan bruges direkte som format for koncernens katalog over nøgletal.
- ID og mål · Hvad målingen skal understøtte (hurtig lukning af kritiske sårbarheder)
- Scope · Hvad der måles, og hvad der ikke gør (kun internetvendte systemer)
- Måling og type · Det, der tælles, og hvilken af de fire typer
- Formel · Hvordan tallet beregnes
- Target · Det niveau, der stræbes mod
- Implementeringsbevis · Det, der viser, at tallet er rigtigt
- Tidsreference · Hvor ofte der måles
- Ansvarlige · Ejer, indsamler og modtager
- Datakilde · Hvor tallene kommer fra
- Rapportformat · Hvordan resultatet vises
Scope-feltet er værd at bemærke. Feltet skal ifølge vejledningen gøre det tydeligt, hvor meget af den samlede risiko målingen faktisk omfatter. Det er dér, mange dækningstal snyder, fordi de stille forudsætter, at listen over systemer er komplet.
Rapportering med kontekst
Afsnit 3.1.2 advarer om, at en måling uden kontekst kan give utilsigtede følger eller ubeslutsomhed. Den kan derfor koble resultatet til risikoen og til appetitten og pege på den prioritering, læseren skal foretage. Vejledningen anbefaler også at begynde med få kvantitative målinger og advarer om, at en dårligt valgt måling kan svække tilliden til arbejdet.
De fire trin
Afsnit 4 beskriver fremgangsmåden i fire aktiviteter.
- Identificere programmet og dets mål.
- Udvikle og validere målingerne.
- Prioritere dem.
- Evaluere data.
Prioriteringen kan efter vejledningen drives af risikostrategi, mål, datatilgængelighed, aktivets værdi og krav. En vægtningsskala giver konsistens, når mange mulige målinger skal sorteres. Afsnit 4.4 gennemgår typer af indikatorer, bl.a. KPI, KRI, falsk positiv-rate og tid til at opdage.
Sådan bruges vejledningen i en koncern
Det er sitets forslag at bruge feltlisten som fælles skabelon for alle selskaber. Så får hvert nøgletal samme definition, samme scope og samme datakilde, uanset hvem der indsamler det. Prioriteringstrinnet kan bruges til at skære listen ned, før den når bestyrelsen.
Det giver også en fordel ved næste modenhedsvurdering. Auditoren kan se, hvilke tal koncernen selv følger, og bruge dem som bevis, når de har kendt datakilde og implementeringsbevis. Tal uden de felter kan sjældent bruges som andet end en påstand.
NIST er en amerikansk myndighed, og vejledningen binder ingen i Danmark. Dens styrke er, at den er fri at læse og præcis i sine begreber.
Et tænkt eksempel på et nøgletal med alle felter
Forestil jer, at en tænkt koncern vil måle, om kritiske sårbarheder lukkes hurtigt nok. Målet er at begrænse den tid, angribere har til at udnytte en kendt fejl. Scope er alle internetvendte systemer i alle selskaber, og rapporten skriver udtrykkeligt, at interne systemer ikke er med endnu. Målingen er tiden fra en kritisk sårbarhed registreres, til rettelsen er bekræftet, og typen er hastighed. Formlen er medianen pr. selskab og samlet.
Target fastsættes af direktionen. Implementeringsbeviset er udtræk fra sårbarhedsscanneren sammenholdt med ændringsloggen. Der måles hver måned og rapporteres hvert kvartal. Ejeren er koncernens IT-direktør, indsamleren er sikkerhedsfunktionen, og modtageren er direktionen og, i kort form, bestyrelsen.
Når alle felter er udfyldt, kan enhver se, hvad tallet dækker, og hvad det ikke dækker. Det er netop det, scope-feltet skal sikre.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen udfylder felterne for hvert nøgletal, også de kedelige som datakilde og implementeringsbevis. Det tager tid første gang, men gør tallene til at efterprøve.
Uden en fælles skabelon definerer hver enhed sine tal selv. Så kan koncernen ikke lægge dem sammen, og bestyrelsen kan ikke se, hvad de betyder.
Det skal I lade være med
- At kalde modenhedstrin for målinger · vejledningen regner dem som rangordning.
- At starte med en lang liste · vejledningen anbefaler få kvantitative målinger først.
- At springe scope-feltet over · det er her, nævneren gemmer sig.
Det skal gennemgangen kunne vise
- ☐ Et katalog over nøgletal med vejledningens felter udfyldt.
- ☐ Typen for hver måling.
- ☐ En dokumenteret prioritering af målingerne.
- ☐ Rapporter, der viser kontekst og krævet beslutning.
Kilder
- NIST SP 800-55v1, Measurement Guide for Information Security, Volume 1, december 2024, afsnit 1 til 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag tre af jeres nuværende nøgletal, og udfyld vejledningens felter for dem. Huller i felterne viser, hvor tallene er svage.
Læs også: Nøgletal mellem to vurderinger · Ét tal til bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
