En procesmåling spørger, om arbejdet er dokumenteret, styret og evalueret. En resultatmåling spørger, om det ønskede resultat er nået. Begge er nyttige, men de svarer på hvert sit spørgsmål, og en koncern får det klareste billede, når den ved, hvilken af dem hvert tal kommer fra.
Hvornår hver måde er den rigtige, er praksis. Rammerne giver dog et godt sprog til at skelne.
To rammer, to tilgange
C2M2 version 2.1 er en procesmodel. Den skelner mellem to retninger: hvor komplet praksis er, og hvor godt den er forankret i ledelsen. På det højeste niveau, MIL3, indgår det, at effekten af aktiviteterne evalueres og følges. Selv her er det altså processen for evaluering, der måles.
Den britiske Cyber Assessment Framework beskriver sig selv som “outcomes-based”. Den spørger, om en række bidragende resultater er nået, og vurderingen hviler på bevis og skøn. NCSC skriver, at de vejledende indikatorer ikke er en tjekliste til en ufleksibel vurdering.
NIST CSF 2.0 ligger et sted imellem. Den beskriver resultater, men foreskriver ikke, hvordan de skal nås. Organisationen vælger selv vejen.
Implementering eller effekt
NIST SP 800-55 deler målinger i fire typer: implementering, effektivitet, hastighed og virkning. Implementering handler om, at kontrollen er der. Effektivitet handler om, at den nytter. En procesorienteret modenhedsscore ligger tæt på den første type.
Hvornår procesmålingen passer
Procesmålingen er stærkest, når koncernen er tidligt i sit arbejde, og praksis afhænger af enkeltpersoner. Den viser, hvor der mangler dokumentation, ressourcer og ansvar, og den giver en klar retning for, hvad der skal bygges.
Den passer også, når mange enheder skal sammenlignes. Spørgsmålet “er der en dokumenteret og styret proces?” kan stilles ens i en fabrik og et salgskontor.
Svagheden er, at en proces kan være på plads uden at virke. En procedure for adgangsstyring, som alle følger, beskytter ikke, hvis den ikke dækker de vigtigste systemer.
Hvornår resultatmålingen passer
Resultatmålingen er stærkest, når processerne er på plads, og spørgsmålet er, om de leverer. Den passer til de områder, hvor bestyrelsen vil vide, om koncernen kan opdage et angreb, genskabe kritiske systemer eller holde adgangene rene.
Den kræver mere af den, der vurderer. Det er ikke nok at se en procedure. Der skal ses på, hvad der faktisk skete i perioden, for eksempel ved stikprøver, data fra driften eller erfaringer fra hændelser og øvelser. Den kræver også faglig vurdering, fordi det samme resultat kan nås på flere måder.
En kombination i praksis
Det er almindelig praksis at bruge procesmåling som grundlag og tilføje resultatspørgsmål på de mest kritiske områder. Et tænkt eksempel:
- Hændelser og kontinuitet · Processpørgsmål: Findes der en dokumenteret og øvet plan med en ejer? · Resultatspørgsmål: Blev de kritiske systemer genskabt inden for målet ved seneste øvelse?
- Identitet og adgang · Processpørgsmål: Er der en fast proces for at fjerne adgange ved fratræden? · Resultatspørgsmål: Hvor mange fratrådte havde aktive konti i stikprøven?
- Overvågning · Processpørgsmål: Er det beskrevet, hvad der overvåges, og hvem der reagerer? · Resultatspørgsmål: Hvor hurtigt blev de seneste alarmer håndteret?
Spørgsmålene er sitets eksempler. Pointen er, at de to slags svar står ved siden af hinanden og ikke lægges sammen til ét tal.
Når de to peger hver sin vej
Den mest nyttige information opstår, når proces og resultat ikke stemmer. En høj processcore og et dårligt resultat tyder på, at processen ikke dækker det rigtige, eller at den ikke følges i praksis. En lav processcore og et godt resultat tyder på, at dygtige folk klarer opgaven uden at have den beskrevet. Det er sårbart, og det bør stå i rapporten.
Kontrolniveauerne i en audit er et andet emne, som hører til auditmetoden. Denne artikel ser på, hvad scoren fanger.
Hvad resultatmåling kræver af beviset
En resultatmåling bygger på, hvad der faktisk er sket. Det kan være logs, data fra driften, referater fra øvelser og gennemgange af hændelser. Aftal derfor i forvejen, hvilke data der tæller, og hvor lang en periode de skal dække. Ellers bliver der valgt de data, der ser bedst ud.
Der skal også tages højde for, at resultater kan svinge af andre grunde end praksis. Et år uden alvorlige hændelser kan skyldes god sikkerhed eller held. Derfor er det praksis at se på resultatet over flere år og sammen med procesmålingen, før der drages konklusioner.
I en koncern kan data fra enhederne være meget forskellige. Det er praksis at begynde med få resultatspørgsmål, som alle enheder kan svare på med de data, de har, og at udvide, når datagrundlaget bliver bedre.
Det er ikke et spørgsmål om enten eller. De fleste koncerner har brug for begge slags målinger, men i forskellige mængder alt efter, hvor langt de er nået. Tidligt i arbejdet fylder procesmålingen mest. Senere bliver resultatspørgsmålene vigtigere.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning om, hvilke områder der får resultatspørgsmål ud over procesmålingen, og hvilket bevis der kræves for dem. Det kræver også, at rapporten mærker hvert tal som proces eller resultat.
Uden den skelnen læser bestyrelsen en høj processcore som et bevis på, at sikkerheden virker. Når en hændelse viser det modsatte, er tilliden til hele måleserien svækket.
Det skal I lade være med
- At lægge proces- og resultatsvar sammen til ét tal · de svarer på forskellige spørgsmål.
- At bruge resultatmåling som tjekliste · resultater kræver faglig vurdering.
- At overse uoverensstemmelser · de er ofte det vigtigste fund.
Det skal gennemgangen kunne vise
- ☐ Hvilke områder der er målt på proces, og hvilke også på resultat.
- ☐ Det bevis, resultatvurderingerne bygger på.
- ☐ At hvert tal i rapporten er mærket som proces eller resultat.
- ☐ En forklaring, hvor proces og resultat peger hver sin vej.
Kilder
- NCSC, Cyber Assessment Framework, version 4.0, læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 4.3 og 4.4, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), resumé, læst 14. november 2026.
- NIST SP 800-55 vol. 1, Measurement Guide for Information Security (december 2024), afsnit 3.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Udvælg de mest kritiske områder, og tilføj ét resultatspørgsmål til hvert.
Læs også: Den britiske Cyber Assessment Framework som målestok · Nøgletal, ingen kan handle på
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
