En modenhedsvurdering giver et billede på ét tidspunkt, og den næste ligger ofte et år eller mere ude i fremtiden. I mellemtiden kan løbende målinger vise, om scoren stadig holder, eller om et område er på vej op eller ned.
Det kræver, at målingerne vælges til de områder, scoren dækker, og at de måler noget andet end selve scoren. Ellers gentager de bare vurderingen med færre data.
Scoren er en rangordning, målingen er et tal
I NIST’s vejledning om sikkerhedsmåling, SP 800-55, er vurdering og måling to forskellige ting. En vurdering er det brede begreb. En måling giver kvantitative værdier. Kvalitative vurderinger som høj, mellem og lav regnes i vejledningen ikke som målinger, og det gør semikvantitative tal heller ikke. Vejledningen beskriver dem som tal, der ikke beholder deres værdi uden for vurderingen, og som ofte ses i modeller, der rangordner graden af integration i organisationen. En ordinalskala er efter vejledningen et rangordningssystem.
Et modenhedstrin på tre ud af fem er netop sådan et tal. Det siger, at området ligger højere end trin to og lavere end trin fire, men ikke hvor meget. Det er sitets kobling, at løbende kvantitative målinger kan bruges som kontrol af en sådan rangordning. Hvis scoren siger, at sårbarhedsstyringen er på et højt trin, bør tiden til at lukke kritiske sårbarheder også være kort.
De fire typer målinger
NIST beskriver fire typer målinger, der hver svarer på sit spørgsmål.
- Implementering · Spørgsmål: Er kontrollen indført, og hvor langt er den nået? · Tænkt eksempel: Andel af kritiske systemer med central logning
- Virkning · Spørgsmål: Virker kontrollen efter hensigten? · Tænkt eksempel: Andel af phishingtest, hvor medarbejdere melder mailen
- Hastighed · Spørgsmål: Hvor hurtigt sker det? · Tænkt eksempel: Tid fra kritisk sårbarhed til rettelse
- Betydning · Spørgsmål: Hvad betyder det for organisationens opgaver? · Tænkt eksempel: Driftstimer tabt ved sikkerhedshændelser
Implementeringsmålinger er de letteste at indsamle, men de siger mindst om, hvorvidt et højt modenhedstrin er fortjent. Målinger af virkning og tid siger mere, fordi de viser, om processen faktisk leverer.
Blandt de indikatorer, NIST nævner, er KPI og KRI, gennemsnitlig tid til at opdage en hændelse og skellet mellem førende og bagudskuende tal. En førende indikator kan vise, at et område er på vej ned, før det slår igennem i hændelser.
Sådan kobles målinger til områderne
Hvilke målinger der passer til hvilke modenhedsområder, er praksis og ikke fastlagt i en standard. En enkel fremgangsmåde er at tage hvert område i vurderingen og spørge, hvad man ville forvente at se i driften, hvis scoren er rigtig.
- Identitet og adgang · andel af privilegerede konti med stærk godkendelse, tid fra fratræden til lukket adgang.
- Sårbarhedsstyring · tid til at lukke kritiske sårbarheder, andel af systemer uden for support.
- Detektion · tid til at opdage og eskalere, andel af kritiske systemer, der sender logs.
- Beredskab · antal øvelser gennemført efter planen, tid til genetablering i øvelsen.
Ét eller to tal pr. område er nok. Flere gør det svært at se, hvad der bevæger sig.
Når målingen og scoren er uenige
Den nyttige situation er uenighed. Hvis et område har en høj score, men målingerne viser lange tider og huller i dækningen, er der tre muligheder. Scoren kan være for høj. Målingen kan være forkert defineret. Eller noget har ændret sig siden vurderingen, fx en reorganisering eller et opkøb.
Det er god praksis at notere uenigheden og tage den med til næste vurdering som et punkt, auditoren skal se på. Så bliver målingerne et input til vurderingen og ikke en konkurrent til den.
Hvor ofte vurderes der
ENISA har i NIS Investments 2025 spurgt 1.080 organisationer i NIS2-sektorer, overvejende store virksomheder, og er selvrapporteret. Her svarede 30 procent, at de ikke havde gennemført en cybersikkerhedsvurdering de seneste tolv måneder. Bestyrelsesforeningens vejledning til bestyrelser peger på en ny risikovurdering mindst én gang årligt og oftere, når der er behov.
Løbende målinger erstatter ikke vurderingen. De gør tiden imellem kortere at overskue. Tallene er selvrapporterede og dækker hele EU, så de kan ikke bruges som målestok for den enkelte koncern, men de viser, at et år uden vurdering ikke er usædvanligt. Netop derfor giver målinger i mellemtiden mening.
Samme definition i alle enheder
I en koncern er den største risiko ved løbende målinger, at hver enhed regner på sin egen måde. Ét selskab tæller tiden til rettelse fra den dag, sårbarheden blev offentliggjort. Et andet tæller fra den dag, scanneren fandt den. Begge tal hedder det samme i rapporten, men de kan ikke sammenlignes.
Det er god praksis at skrive definitionen ned én gang, centralt, og lade enhederne levere rådata frem for færdige tal. Så kan anden linje beregne tallet ens for alle og se, hvor data mangler. Det gør det også muligt at sammenligne målingerne med næste vurdering på et fælles grundlag, så uenighed mellem tal og score kan forklares og ikke skyldes regnemetoden.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hvert område i vurderingen får et par målinger med fast definition, og at de indsamles på samme måde i alle enheder. Datakilden skal være kendt, så tallet kan efterprøves.
Uden målinger mellem vurderingerne opdager ledelsen først et fald, når den næste rapport kommer. Det kan være et år for sent.
Det skal I lade være med
- At måle scoren igen med et spørgeskema · det giver en ny rangordning, ikke en måling.
- At vælge kun implementeringstal · de viser fremdrift, ikke om kontrollen virker.
- At ignorere uenighed mellem tal og score · den er den mest værdifulde oplysning.
Det skal gennemgangen kunne vise
- ☐ Målinger knyttet til hvert vurderet område.
- ☐ Fast definition og datakilde for hver måling.
- ☐ En udvikling over mindst nogle måneder.
- ☐ Noter om uenighed mellem målinger og score.
Kilder
- NIST SP 800-55v1, december 2024, afsnit 1.4, 2.2, 3.3 og 4.4, læst 14. november 2026.
- ENISA, NIS Investments 2025, indsigt 5, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, tema 1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hvert område i jeres seneste vurdering ét tal, I ville forvente at se i driften, hvis scoren er rigtig.
Læs også: Hvor ofte skal modenheden måles? · Måling over tid
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
