Spindelvævet og heatmappet er de to figurer, der oftest møder en bestyrelse i en rapport om sikkerhedsmodenhed. Begge giver et hurtigt overblik. Begge kan også give et forkert indtryk, hvis læseren ikke ved, hvad der ligger bag.
Artiklen gennemgår, hvad figurerne kan, hvor de typisk snyder, og hvilke spørgsmål bestyrelsen kan stille. Hvordan figurerne vildleder, er praksis og sitets vurdering. Den bygger på NIST’s beskrivelse af, hvad kvalitative og semikvantitative tal er.
Hvad figurerne bygger på
NIST’s vejledning om måling regner heatmaps og vurderinger som høj, mellem og lav for kvalitative vurderinger. Tal, der bruges til at rangordne, fx modenhedstrin, kalder vejledningen semikvantitative. De mister efter vejledningen deres betydning uden for den vurdering, de kommer fra, og en ordinalskala er et rangordningssystem.
Det betyder, at afstanden mellem trin to og tre ikke nødvendigvis er den samme som mellem trin tre og fire. Begge figurer tegner dem alligevel som lige store.
Bestyrelsesforeningens vejledning foreslår selv et heatmap med top-risici som et punkt i de faste rapporter til bestyrelsen. Figuren er altså almindelig og forventet. Spørgsmålet er, hvordan den læses.
Spindelvævet
Et spindelvæv har en akse pr. område, og hver akse går fra laveste til højeste trin. Det nuværende niveau tegnes som en flade, ofte med målniveauet som en anden flade ovenpå.
Figuren er god til at vise, hvilke områder der stikker ud. Den vildleder på fire måder.
- Fladen vokser skævt · arealet vokser med kvadratet på afstanden fra midten. Et løft fra trin to til tre ser større ud end det er, og områder ved siden af hinanden forstærker hinanden visuelt.
- Rækkefølgen af akserne betyder noget · den samme score kan se jævn eller takket ud, alt efter hvilke områder der står ved siden af hinanden.
- Spredningen forsvinder · i en koncern er hvert punkt ofte et gennemsnit af mange enheder. Fladen viser ikke, at én enhed ligger på trin et.
- Aksen begynder ikke altid ved nul · starter aksen ved trin et, ser forskellene større ud.
Heatmappet
Et heatmap viser en række områder eller risici i et gitter, ofte med sandsynlighed og konsekvens som akser, og farver felterne fra grøn til rød. I en koncern bruges det også med enheder på den ene akse og områder på den anden.
Heatmappet vildleder på andre måder.
- Farvegrænserne er valgt · hvor gul bliver rød, er en beslutning, og den står sjældent i figuren.
- Felter ligner tal · en placering i feltet høj og høj ligner en præcis måling, men er et skøn.
- Alt i samme felt ser ens ud · to risici i samme farve kan være meget forskellige.
- Udvikling ses ikke · et heatmap er et øjebliksbillede. Det viser ikke, om en risiko er på vej op eller ned.
Spørgsmål, bestyrelsen kan stille
En bestyrelse behøver ikke kende teorien bag figurerne. Den kan stille fem spørgsmål, hver gang en figur vises.
- Hvad er hvert punkt et gennemsnit af, og hvor stor er spredningen?
- Hvem har besluttet farvegrænserne, og hvornår?
- Er skala og rammeværk de samme som sidst?
- Hvilke enheder eller områder er ikke med?
- Hvad er den laveste enkeltværdi bag figuren?
Svarene bør stå i rapporten ved siden af figuren. Gør de ikke det, er det et tegn på, at figuren bærer mere, end den kan.
Hvad der kan stå ved siden af
Det er god praksis at sætte en lille tabel ved siden af hver figur. For spindelvævet kan tabellen vise laveste, højeste og typiske værdi pr. område. For heatmappet kan den vise de risici, der har flyttet sig siden sidst, og hvorfor. Begge figurer kan suppleres med en kort tidsserie for de vigtigste nøgletal.
Figurerne er gode til at åbne en drøftelse. De bør ikke være det eneste grundlag for en beslutning.
Når figuren skal bruges over flere år
Skal figurerne sammenlignes fra år til år, skal de tegnes ens. Det betyder samme akser, samme rækkefølge af områder, samme skala og samme farvegrænser. Det er praksis at gemme opsætningen sammen med metoden, så den næste, der laver rapporten, kan gentage den.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den, der laver rapporten, skriver grundlaget for figuren ned: hvad punkterne er gennemsnit af, hvem der har sat grænserne, og hvad der ikke er med. Det kræver også, at bestyrelsen spørger.
Uden den disciplin bliver figuren sandheden. En flade, der vokser, ligner fremgang, selvom den måske kun skyldes en ændret rækkefølge af akser eller en ny skala.
Det skal I lade være med
- At vise et spindelvæv uden spredning · gennemsnittet skjuler den svageste enhed.
- At ændre farvegrænser uden at skrive det · så ligner det en forbedring.
- At læse et heatmap som en måling · det er et kvalificeret skøn.
Det skal gennemgangen kunne vise
- ☐ Grundlaget for hver figur i rapporten.
- ☐ Spredning og laveste værdi ved siden af gennemsnit.
- ☐ Dokumenterede farvegrænser og hvem der har besluttet dem.
- ☐ Samme skala og akserækkefølge som ved sidste måling.
Kilder
- NIST SP 800-55v1, december 2024, afsnit 1.4 og 2.2, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, tema 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag figurerne i den seneste rapport, og skriv svarene på de fem spørgsmål ved siden af hver.
Læs også: Skalaen · Rapportens opbygning
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
