Spørgeskemaet er billigst for enhederne og mindst præcist, interviewet giver forklaringen bag svarene, og stikprøven viser, om praksis faktisk ser ud, som den er beskrevet. Store koncerner bruger ofte alle tre og vælger dybden enhed for enhed.
Valget er et metodevalg og ikke et lovkrav. Sammenligningen nedenfor er praksis, med de offentlige rammer som støtte.
Spørgeskemaet
Et spørgeskema sendes til den ansvarlige i hver enhed, som svarer på en skala for hvert område. Det kan nå mange enheder på kort tid, og svarene kan lægges direkte sammen.
Svagheden er, at svarene bygger på den svarendes egen forståelse af spørgsmålet og af skalaen. Ifølge NIST SP 800-55 forudsætter en kvalitativ vurdering, at alle læser skalaen ens. Det er svært at sikre, når hundrede mennesker svarer hver for sig.
Spørgeskemaet passer til små enheder med lav risiko, til år mellem de store vurderinger og som første skridt før et interview.
Interviewet
C2M2 version 2.1 beskriver sin selvevaluering som en workshop, hvor folk fra driften og ledelsen svarer sammen og når frem til konsensus gennem åben dialog. Modellen regner med omkring én dag pr. vurderet enhed og nævner, at vurderingen kan gøres mere grundig.
Interviewet eller workshoppen giver noget, skemaet ikke kan. Den, der vurderer, kan spørge ind, når et svar er uklart, og kan høre, hvor folk er uenige. Ofte er det dér, de vigtigste svagheder viser sig.
Belastningen er større. Nøglepersoner skal bruge tid, og resultatet afhænger af, hvem der deltager. Hvis kun ledelsen er med, kan billedet blive for pænt. Hvis kun driften er med, kan styringsdelen mangle.
Stikprøven
En stikprøve ser på beviset: en procedure, en log, en liste over brugere, et referat af en evaluering. Den britiske Cyber Assessment Framework lægger vægt på bevis og fagligt skøn og advarer mod at bruge den som afkrydsningsliste. Det er den tankegang, stikprøven bygger på.
Digitaliseringsstyrelsens vejledning i evaluering og opfølgning skelner mellem revision, hvor revisor arbejder med mange stikprøver for at blive meget sikker i sin sag, og intern audit, som mere er en review-proces. En modenhedsmåling ligger typisk nærmere den sidste. Stikprøverne skal bekræfte svarene, ikke dække hver kontrol.
Stikprøven er den mest præcise metode, men den kræver adgang til materiale og tid hos både enheden og den, der vurderer.
De tre side om side
- Spørgeskema · Præcision: Lav · Belastning for enheden: Lav · Passer til: Mange små enheder, år mellem vurderinger
- Interview eller workshop · Præcision: Mellem · Belastning for enheden: Mellem · Passer til: Enheder med middel risiko, første måling
- Stikprøve · Præcision: Høj · Belastning for enheden: Høj · Passer til: Kritiske enheder, efterprøvning af egne svar
Tabellen er sitets opsummering og ikke en regel.
Kvalitativ, semikvantitativ eller kvantitativ
SP 800-55 deler vurderinger i tre typer. Kvalitative vurderinger bruger ord. Semikvantitative bruger tal på en skala, hvor tallene kun har betydning inden for vurderingen. Kvantitative bygger på målte data og kræver mere data. Et spørgeskema med en skala fra 1 til 5 er semikvantitativt, selv om svarene ligner tal. En stikprøve kan give kvantitative data, for eksempel hvor stor en del af de udvalgte brugere der havde for mange rettigheder.
Dybden vælges pr. enhed
Metoderne fordeles typisk efter risiko. Et tænkt eksempel: Alle enheder får spørgeskemaet hvert år. De ti største eller mest kritiske får desuden en workshop. Tre af dem får hvert år stikprøver på de områder, hvor deres egne svar ligger højest i forhold til de andre.
Fordelingen skal stå i rapporten, så bestyrelsen kan se, hvilken dybde hvert tal bygger på. Et trin 3 fra et spørgeskema og et trin 3 efter stikprøver er ikke det samme resultat.
Samme tankegang om at vælge niveau efter risiko gælder, når kunden vurderer sine leverandører, som beskrevet under kontrollen af leverandøren. Her handler det om koncernens egne enheder.
Fejlkilder i hver metode
Hver metode har sine typiske fejl, og det er praksis at kende dem på forhånd.
Spørgeskemaet bliver ofte besvaret af én person, som ikke kender alle områder. Svar på områder, personen ikke kender, bliver gæt.
Workshoppen kan blive domineret af den mest erfarne eller den højest placerede. Det er praksis at lade en uafhængig ordstyrer lede den og at notere uenigheder frem for kun konsensus.
Stikprøven kan blive for lille til at sige noget. Den kan også blive valgt af enheden selv, som naturligt nok finder de pæneste eksempler frem. Fem tilfældige brugere viser, om processen findes, men ikke, hvor godt den virker for alle.
Hvad det kræver, og hvad det koster at lade være
Det kræver en plan for, hvilken metode hver enhed får, en fælles skala med eksempler, og at hvert resultat i rapporten er mærket med den metode, det bygger på. Det kræver også, at stikprøverne vælges efter en regel, der kan forklares.
Uden en bevidst fordeling ender koncernen med enten at belaste alle enheder lige meget eller at stole på spørgeskemaer for de mest kritiske enheder. Begge dele giver et dårligere billede end nødvendigt.
Det skal I lade være med
- At lægge tal fra skema og stikprøve sammen uden mærkning · de bygger på forskelligt bevis.
- At holde workshop med kun ledelsen · driftens viden falder ud.
- At vælge stikprøverne efter, hvor det er nemt · vælg efter risiko og efter de højeste egne svar.
Det skal gennemgangen kunne vise
- ☐ Hvilken metode hver enhed er målt med, og hvorfor.
- ☐ En fælles skala med eksempler, som alle har fået.
- ☐ Reglen for udvælgelse af stikprøver.
- ☐ Hvilke svar der er bekræftet, og hvilke der er ændret efter stikprøven.
Kilder
- NIST SP 800-55 vol. 1, Measurement Guide for Information Security (december 2024), afsnit 2.2, læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 3.1 og 5.1, læst 14. november 2026.
- NCSC, Cyber Assessment Framework, version 4.0, læst 14. november 2026.
- Digitaliseringsstyrelsen, Vejledning i evaluering og opfølgning (juni 2016), afsnit 2.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Fordel enhederne på de tre metoder efter risiko, og mærk hvert resultat med metoden.
Læs også: Selvevaluering eller ekstern vurdering · Bred eller dyb
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
