...
Rammeværk som målestok
En måling er aldrig bedre end den målestok, den bruger. Vælger koncernen NIST CSF 2.0, CIS Controls, ISO 27001 eller C2M2, vælger den også, hvilke spørgsmål der bliver stillet, og hvordan svarene kan lægges sammen. Artiklerne her bygger på rammernes originaltekster med version og dato og siger, hvad hver af dem kan bruges til i en virksomhed med mange enheder. De står side om side uden rangering, for valget afhænger af koncernens krav, sektor og historik.
Temaet hjælper CISO med at vælge og forklare rammen, og det hjælper intern revision og revisionsudvalget med at forstå, hvad et tal fra en given ramme kan bære. Det dækker også det svære øjeblik, hvor rammen skifter midt i en måleserie.
NIST CSF 2.0
- NIST CSF 2.0 som måleramme: nuværende profil, målprofil og gabet imellem Nuværende profil, målprofil og afstanden.
- Er CSF Tiers modenhedstrin? Hvad de fire tiers i NIST CSF 2.0 beskriver Fire tiers om styringen af risiko.
- Govern i CSF 2.0: den funktion, hvor ledelsen selv bliver målt Ledelsens egen del af målingen.
- Community Profiles: en færdig målprofil for sektoren eller koncernens egen En fælles baseline som udgangspunkt.
CIS, ISO og C2M2
- CIS Controls v8.1 og implementeringsgrupperne som differentieret minimumskrav pr. enhed Tre grupper som gulv pr. enhed.
- CIS CSAT: selvevalueringsværktøjet til CIS Controls, og hvad en score fra det dækker En selvevaluering i fire kategorier.
- ISO 27001 som måleramme uden certificering: intern audit og ledelsens gennemgang som målepunkter Standardens egne målepunkter uden certifikat.
- ISO 27002-kontrollerne som tjekliste i en audit: styrker og fælder Bred dækning med lige vægt.
- C2M2 version 2.1: modenhedsmodellen fra energisektoren, og hvem der kan bruge den Ti domæner og fire niveauer.
- Certificerede enheder i koncernmålingen: hvad kan et ISO 27001-certifikat erstatte i scoren? Certifikatets omfang sætter grænsen.
- Klar til ISO 27001? Forundersøgelsens indhold: omfang, anvendelseserklæring og afstand til certificering Afstanden til en certificering.
Valget af ramme
- Ét framework for hele koncernen eller flere? Fælles målestok og lokale krav.
- Mål én gang, rapportér mod flere krav: mapping mellem rammer, og hvor den ikke holder Koblinger mellem rammer og deres grænser.
- Egen modenhedsmodel: hvornår giver det mening at bygge sin egen? Når standardrammen ikke passer.
- COBIT 2019 og sikkerhedsmålingen: undgå at måle styringen to gange Styringen målt én gang.
- Skift af ramme midt i en måleserie Broen mellem gammel og ny målestok.
- Modenhedsmodeller for enkeltområder ved siden af den brede måling Dybde, hvor risikoen er størst.
Danske og udenlandske målestokke
- D-mærket i en stor virksomhed: gruppe III og IV, otte kriterier og årligt tilsyn Fire grupper, otte kriterier, årligt tilsyn.
- D-mærkets NIS2-modul som målestok: hvad der er dækket, og hvad mærket ikke kan garantere Modulet og dets egne forbehold.
- Statens ISO 27001-modenhedsmåling som sammenligning: selvvurdering, handleplaner og kritikken af opfølgningen Statens selvvurdering til sammenligning.
- Den britiske Cyber Assessment Framework som målestok: fire mål, profiler og faglig vurdering Resultatmål og fagligt skøn.
Hvad det kræver, og hvad det koster at lade være
Valget af ramme kræver, at nogen har læst selve rammerne og ikke nøjes med et resumé. Koncernen skal vide, hvilke krav enhederne i forvejen er underlagt, hvilke certifikater der findes, og hvilken sammenligning bestyrelsen ønsker. Derefter skal valget skrives ned med begrundelse, version og dato, så næste måling kan bruge samme udgangspunkt.
Vælges rammen i hast, måler koncernen ofte det, der er let at tælle, frem for det, der bærer risikoen. Enheder med sektorkrav laver deres egen opgørelse ved siden af, og om få år ligger der tre serier, der ikke kan lægges sammen. Et skift uden bro gør desuden alle tidligere tal ubrugelige som sammenligning.
Det skal I lade være med
- At læse CSF Tiers som modenhedstrin · de beskriver noget andet.
- At tro, at et certifikat dækker hele enheden · omfanget står i certifikatet.
- At stole blindt på en kobling mellem to rammer · nogen skal have efterprøvet den.
- At skifte ramme uden en måling efter begge · så knækker serien.
Det skal gennemgangen kunne vise
- ☐ Hvilken ramme og version målingen bygger på, og hvorfor den blev valgt.
- ☐ Hvordan enheder med egne krav eller certifikater indgår i koncerntallet.
- ☐ Hvilke koblinger mellem rammer der er brugt, og hvem der har lavet dem.
- ☐ Hvor i måleserien et eventuelt skift af ramme sker.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Modenhed: hvad der måles · Koncernen på tværs af enheder
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
Skal modenheden i jeres koncern måles?
Skriv kort, hvilke enheder det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Målingen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
