CIS Controls og NIST CSF 2.0 er to udbredte rammer, der gør det muligt for ledelsen at se, hvor langt sikkerhedsarbejdet er kommet, uden selv at kende teknikken. CIS Controls er en konkret liste over sikringsforanstaltninger i prioriteret rækkefølge og passer godt til virksomheder, der vil i gang med det praktiske. NIST CSF 2.0 er en bredere ramme, som beskriver, hvad en organisation skal kunne, og passer til ledelsens overblik og dialogen med bestyrelsen. Mange mindre virksomheder får mest ud af at bruge CIS Controls i driften og NIST CSF som sprog over for ledelsen.
Hvorfor en fælles ramme hjælper ledelsen
Uden en ramme bliver status på sikkerhedsarbejdet let en række enkeltstående udsagn. Backup er på plads, flerfaktor-login er indført, og leverandøren har opdateret firewallen. Ledelsen kan ikke vurdere, om det er meget eller lidt, eller hvad der mangler.
En ramme giver en fast målestok. Ledelsen kan se, hvilke områder der er dækket, og hvilke der ikke er, og den kan følge udviklingen fra kvartal til kvartal. Rammen gør det også lettere at sammenligne med kravene fra kunder og forsikring, som ofte er formuleret i lignende kategorier. Hvordan resultatet formidles videre, står under cybersikkerhed i bestyrelseslokalet.
CIS Controls kort fortalt
CIS Controls udgives af Center for Internet Security, en amerikansk nonprofitorganisation. Den aktuelle udgave er version 8.1 og består af 18 kontroller, som hver er delt op i konkrete sikringsforanstaltninger. Kontrollerne dækker blandt andet overblik over udstyr og software, databeskyttelse, sikker konfiguration, kontoadministration, adgangsstyring, sårbarhedshåndtering, logning, backup, uddannelse, leverandørstyring og hændelseshåndtering.
Det særlige ved CIS Controls er de tre implementeringsgrupper. Den første gruppe beskriver det, organisationen bør kunne som et minimum, og er tænkt til virksomheder med begrænsede ressourcer. Gruppe to og tre bygger ovenpå for organisationer med større kompleksitet eller højere risiko. For en mindre virksomhed giver det et naturligt startpunkt og en indbygget prioritering.
NIST CSF 2.0 kort fortalt
NIST Cybersecurity Framework udgives af det amerikanske National Institute of Standards and Technology. Version 2.0 kom i 2024 og er bygget op om seks funktioner.
- Styre (Govern). Strategi, roller, politikker og ledelsens tilsyn.
- Identificere (Identify). Overblik over aktiver, risici og forbedringer.
- Beskytte (Protect). Tiltag, der forebygger hændelser.
- Opdage (Detect). Evnen til at se, når noget går galt.
- Reagere (Respond). Håndtering af en hændelse, når den sker.
- Genoprette (Recover). Tilbage til normal drift.
Funktionen Styre blev tilføjet i version 2.0 og lægger vægt på ledelsens rolle. Det gør rammen velegnet til at forklare bestyrelsen, hvor virksomheden står, fordi de seks funktioner kan beskrives uden fagudtryk. NIST CSF siger mindre om, præcis hvilke tekniske tiltag der skal til, og bruges derfor ofte sammen med en mere konkret liste.
Sådan vælger I
Valget afhænger af, hvem rammen skal hjælpe, og hvad I står over for.
- Vil I i gang med det praktiske? Så er CIS Controls og den første implementeringsgruppe et godt sted at begynde.
- Skal ledelsen og bestyrelsen have et overblik? Så giver NIST CSF et enkelt sprog med seks funktioner.
- Stiller kunderne krav om ISO 27001? Så bør arbejdet tilrettelægges, så det også kan bruges i et ledelsessystem efter standarden, se ISO 27001 for mindre virksomheder.
- Er I omfattet af NIS2-loven? Så er det lovens krav til foranstaltninger, der er målestokken. Rammerne kan hjælpe med at dække dem, men erstatter dem ikke.
Et eksempel er en e-handelsvirksomhed med 25 ansatte, som har brug for at komme i gang hurtigt. CISO’en vurderer virksomheden mod den første implementeringsgruppe i CIS Controls og laver en plan for hullerne. Over for ledelsen præsenteres status i de seks NIST-funktioner med en enkel farve for hver. Det giver driften en konkret opgaveliste og ledelsen et overblik på en halv side. Hvordan rækkefølgen sættes, er beskrevet i hvad skal vi gøre først.
Ingen af rammerne kræver, at virksomheden køber bestemte produkter. Begge kan bruges med de systemer og leverandører, I allerede har. Det er en fordel, når ledelsen skal vurdere tilbud, fordi rammen giver en neutral målestok for, hvad et nyt værktøj faktisk dækker, og om det samme kunne opnås med det, der allerede er betalt for.
Rammen som målestok over tid
En ramme gør mest gavn, når den bruges gentagne gange. Lav en første vurdering, gem den, og gentag den hvert halve eller hele år. Fremskridtet bliver synligt, og ledelsen kan se, om investeringerne flytter noget. Tallene bør dog altid ledsages af en forklaring. En høj score på et område, der ikke er vigtigt for jer, siger mindre end en middel score på det område, hvor jeres største risiko ligger. Valget af nøgletal er uddybet i nøgletal for sikkerhed.
Det skal I lade være med
- At vælge en ramme, fordi en leverandør bruger den i sit tilbud. Valget skal passe til jeres behov.
- At forsøge at opfylde alt på én gang. Rammerne er bygget til at blive taget i etaper.
- At bruge rammen som facit for lovkrav. NIS2-loven og kundekontrakterne har deres egne krav.
- At vise bestyrelsen alle 18 kontroller. Den har brug for overblikket.
- At lade scoren stå alene. Uden risikobilledet kan tallene misforstås.
Det skal I kræve af den eksterne
Den eksterne CISO skal kunne forklare, hvorfor den valgte ramme passer til jer, og hvordan den hænger sammen med jeres øvrige krav. En vurdering mod rammen bør laves uden binding til værktøjer eller produkter, som rådgiveren selv har en økonomisk andel i.
- ☐ En begrundelse for valget af ramme.
- ☐ En første vurdering med dato og metode.
- ☐ En plan for hullerne, prioriteret efter risiko.
- ☐ Et overblik til ledelsen på højst én side.
- ☐ En gentagen vurdering mindst én gang om året.
- ☐ En kobling til kundekrav og eventuelle lovkrav.
Første skridt
Bed jeres CISO eller IT-leverandør om at vurdere jer mod den første implementeringsgruppe i CIS Controls. Resultatet viser, hvor de mest grundlæggende huller er, og giver et konkret udgangspunkt for prioriteringen. Den overordnede ramme for risikoarbejdet er beskrevet under risikovurdering og sikkerhedsstrategi.
Kilder
- CIS Critical Security Controls (Center for Internet Security): version 8.1, 18 kontroller og tre implementeringsgrupper.
- NIST Cybersecurity Framework (NIST): CSF 2.0 med de seks funktioner.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Nøgletal for sikkerhed · ISMS i en mindre virksomhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
