En modenhedsvurdering af en koncern har mindst fire læsergrupper, og de har brug for noget forskelligt. Bestyrelsen skal kunne træffe beslutninger om retning og ressourcer. Direktionen skal kunne fordele opgaver. Enhedslederne skal kunne se deres eget selskab. Teknikerne skal kunne rette fundene.
Det er bedre at lave flere udgaver af samme vurdering end at sende én lang rapport til alle. Udgaverne skal bygge på de samme data og de samme fund, så ingen kan sige, at de har fået et andet billede.
Hvad kilderne siger om modtageren
I NIST’s skabelon for en måling er modtageren et felt for sig, ved siden af ejer og indsamler. Rapportformatet er også et felt for sig. Tanken er, at samme tal kan vises på forskellig måde, alt efter hvem der skal bruge det.
Bestyrelsesforeningen skriver om rapportering til bestyrelsen, at modtageren skal kunne forstå den og handle på den, ellers skaber den ikke værdi.
Hvad hver modtager skal have, er derudover praksis. Opdelingen herunder er sitets forslag.
Bestyrelsen
Bestyrelsens udgave er kort. Den indeholder den samlede konklusion, niveau mod målniveau pr. område, de svageste enheder, de største risici og de beslutninger, bestyrelsen skal træffe. Den indeholder også et afsnit om, hvad vurderingen ikke dækker.
Det, der holdes ude, er tekniske detaljer, lister over enkelte sårbarheder og navne på systemer. Det er ikke fordi, bestyrelsen ikke må se dem, men fordi de flytter opmærksomheden væk fra beslutningerne.
Direktionen
Direktionens udgave har bestyrelsens indhold og desuden hele fundlisten på et overordnet niveau, de prioriterede handlinger, forslag til ejere og frister og en vurdering af, hvilke ressourcer planen kræver. Direktionen skal kunne bruge udgaven som grundlag for den plan, den lægger frem for bestyrelsen.
Enhedslederne
Hver enhedsleder får sit eget selskabs resultater: områdernes niveau, afstanden til målniveau og baseline og selskabets egne fund. Om enhedslederen også ser de andre selskabers resultater, er en beslutning for koncernen. Hvem der må se hvad, er beskrevet i hvem må se enhedernes resultater.
Det, der holdes ude, er andre selskabers fund i detaljer, medmindre koncernen har besluttet åbenhed.
Teknikerne
Teknikernes udgave er den mest detaljerede. Den indeholder hvert fund med bevis, berørte systemer, konkrete forslag til rettelse og eventuelle tekniske henvisninger. Den kan deles op pr. selskab eller pr. driftsområde.
Det er sitets vurdering, at den tekniske udgave bør behandles fortroligt. Den beskriver svagheder så præcist, at den kan være værdifuld for en angriber. Den bør derfor kun gå til dem, der skal rette fundene, og opbevares med adgangskontrol. Hvordan en teknisk rapport er bygget op, står på sitet om tekniske kontrolpunkter.
Samme tal i alle udgaver
Det vigtigste princip er, at alle udgaver bygger på samme fundliste med samme ID’er. Et fund, der står som alvorligt i teknikernes udgave, skal også tælles som alvorligt i bestyrelsens. Hvis bestyrelsens udgave er renset for ubehagelige fund, opdager nogen det før eller siden, og så er tilliden til hele vurderingen væk.
Det er god praksis at lade den, der laver vurderingen, skrive alle udgaver ud fra samme grundlag, og at lade intern revision eller anden linje kontrollere, at tallene stemmer.
Offentlige organisationer
Har koncernen offentlige ejere eller opgaver, kan andre regler afgøre, hvem der skal have hvad. Den side af sagen behandles på sitet om revision af offentlig IT. Denne artikel handler om private koncerner.
Hvad der ikke skal deles
Udgaverne til bestyrelse og direktion vil ofte blive gemt i bestyrelsesportaler og mødemapper med bredere adgang end en teknisk rapport. Det er en grund til at holde systemnavne og sårbarhedsdetaljer ude af dem. Det er også en grund til at tænke over, hvad der sker, hvis en udgave sendes videre, fx til en kunde, der beder om dokumentation for sikkerheden. Den situation er beskrevet i modenhedsprofilen udadtil.
Rækkefølgen af udleveringen
Det er praksis at udlevere udgaverne i en bestemt rækkefølge. Enhederne ser deres udkast først, så de kan gøre indsigelser. Derefter får direktionen sin udgave, og til sidst går bestyrelsens udgave ud. Så når bestyrelsen ikke at læse om et fund, som enheden aldrig har hørt om.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at det aftales på forhånd, hvilke udgaver der skal laves, og hvem der får hvilken. Det tager lidt længere tid at skrive fire udgaver end én, men hver udgave bliver kortere.
Lader man være, læser bestyrelsen en teknisk rapport, den ikke kan bruge, og teknikerne får en ledelsesrapport uden de detaljer, de skal bruge. Samtidig ligger de mest følsomme oplysninger i en mødemappe, hvor mange har adgang.
Det skal I lade være med
- At rense bestyrelsens udgave for ubehagelige fund · alle udgaver skal bygge på samme liste.
- At sende den tekniske udgave bredt · den beskriver svagheder præcist.
- At lave udgaverne fra forskellige data · så kan tallene ikke afstemmes.
Det skal gennemgangen kunne vise
- ☐ En aftale om, hvilke udgaver der laves, og hvem der får dem.
- ☐ Samme fund-ID’er og samme alvorlighed i alle udgaver.
- ☐ Adgangskontrol på den tekniske udgave.
- ☐ En afstemning af tallene mellem udgaverne.
Kilder
- NIST SP 800-55v1, december 2024, afsnit 3.1.1, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, tema 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilke fire udgaver jeres næste vurdering skal leveres i, og hvem der får hver.
Læs også: Enhederne med i målingen · Alvorlighedsgrader for fund
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
