Ledelsen kan styre sikkerhedsarbejdet med fem til otte nøgletal, når hvert tal er knyttet til en risiko, som ledelsen har taget stilling til, og har en målsætning og en ansvarlig. Gode eksempler er andelen af konti med totrinsbekræftelse, tiden fra en kritisk sårbarhed bliver kendt, til den er lukket, og om gendannelse fra backup er afprøvet inden for den aftalte periode. Tal, der kun viser aktivitet, som antal blokerede angreb eller antal udsendte opdateringer, siger lidt om, hvorvidt virksomheden er bedre beskyttet. Færre tal med en klar betydning giver bedre styring end mange grafer.
Hvorfor de fleste sikkerhedstal ikke hjælper ledelsen
Sikkerhedsværktøjer producerer store mængder tal. Firewallen tæller blokerede forbindelser, mailfilteret tæller afviste mails, og antivirusprogrammet tæller fund. Tallene er nyttige for driften, men ledelsen kan ikke bruge dem til noget. Stiger antallet af blokerede angreb, kan det betyde flere angreb, bedre filtre eller en ændret optælling. Ingen af delene fører til en ledelsesbeslutning.
Et nøgletal for ledelsen skal kunne besvare spørgsmålet: Er vi på vej mod det beskyttelsesniveau, vi har besluttet? Det kræver, at tallet måler noget, virksomheden selv kan påvirke, og at der er et mål at holde det op imod.
Sådan vælges tallene
Udgangspunktet er risikovurderingen. For hver af de vigtigste risici spørges der: Hvilket tiltag reducerer risikoen, og hvordan kan vi se, om tiltaget virker? Svaret på det sidste spørgsmål er kandidat til et nøgletal.
Et eksempel: Risikoen er, at en angriber overtager en medarbejders konto via et lækket kodeord. Tiltaget er totrinsbekræftelse. Nøgletallet er andelen af konti, der er beskyttet, med særskilt opgørelse for administratorkonti. Målet kan være alle administratorkonti med det samme og alle øvrige konti inden for et halvt år.
Hvordan risikovurderingen bygges op, så den kan bruges på den måde, er beskrevet i artiklen om risikovurdering for ledelsen.
Nøgletal, der ofte giver mening
Hvilke tal der passer, afhænger af virksomheden. Disse går dog igen hos mange:
- Totrinsbekræftelse: andel af konti beskyttet, særskilt for administratorer og fjernadgang.
- Opdateringer: tid fra en kritisk sikkerhedsopdatering er udsendt, til den er installeret på de vigtigste systemer.
- Gendannelse: dato for seneste afprøvede gendannelse af et forretningskritisk system og om den lykkedes inden for den aftalte tid.
- Adgange: antal konti for fratrådte medarbejdere og leverandører, der stadig er aktive.
- Leverandører: andel af kritiske leverandører, hvor sikkerhedskravene er skrevet ind i aftalen.
- Planen: andel af godkendte tiltag, der er gennemført til tiden.
- Uddannelse: andel af ledelsen og medarbejderne, der har gennemført den aftalte træning.
Nøgletal 5 knytter sig til arbejdet med sikkerhedskrav til jeres IT-leverandør. Nøgletal 7 har en særlig betydning for NIS2-omfattede virksomheder, fordi medlemmerne af ledelsesorganet efter loven skal deltage i relevante kurser, se NIS2-uddannelse af ledelsen.
Tal og NIS2
NIS2-loven nævner blandt de foranstaltninger, en omfattet virksomhed skal have, politikker og procedurer til vurdering af, om foranstaltningerne til styring af cybersikkerhedsrisici er effektive. Loven foreskriver ingen bestemte nøgletal. Et lille sæt veldefinerede tal kan dog være en praktisk måde at vise, at virksomheden følger op på, om tiltagene virker, og at ledelsen har haft resultaterne forelagt. Hvordan det tilsyn kan tilrettelægges, er beskrevet i NIS2 og ledelsens ansvar.
Præsentation for ledelsen
Tallene vises bedst som en kort oversigt med nuværende værdi, mål og udvikling siden sidst. Et ord eller to om årsagen til ændringer hjælper mere end en ekstra graf. Når et tal bevæger sig den forkerte vej, skal oversigten vise, hvad der gøres ved det, og om ledelsen skal beslutte noget. Et tal, der har stået stille i flere kvartaler, fortjener samme opmærksomhed som et, der falder, fordi det ofte betyder, at et tiltag er gået i stå.
Nøgletallene indgår naturligt i den samlede sikkerhedsrapport til bestyrelsen, men de bør også kunne ses af direktionen mellem bestyrelsesmøderne. Tallene gennemgås en gang om året for at vurdere, om de stadig måler det rigtige. Når et mål er nået og holdt i en periode, kan tallet udskiftes med et andet, der peger på en risiko, som nu er vigtigere.
Et eksempel fra en mindre virksomhed
Produktionsvirksomheden med 40 ansatte har tre leverandører og ingen egen sikkerhedsfunktion. Risikovurderingen peger på tre hovedrisici: overtagelse af konti, stop i produktionen efter angreb på styringssystemerne og tab af data ved fejl i backup. Ledelsen vælger fire tal. Det første er andelen af konti med totrinsbekræftelse, opgjort særskilt for administratorer. Det andet er antallet af systemer i produktionsnettet, der ikke modtager sikkerhedsopdateringer. Det tredje er datoen for seneste vellykkede gendannelse af ERP-systemet. Det fjerde er andelen af leverandøraftalerne, der indeholder de aftalte sikkerhedskrav. Driftsleverandøren opgør tallene hvert kvartal, og den eksterne CISO kontrollerer dem med stikprøver. Efter et år er alle administratorkonti beskyttet, og det tal erstattes af et tal for medarbejdernes træning, fordi ledelsen nu ser den største svaghed dér. Fire tal på en halv side giver direktøren et billede, som kan forklares for bestyrelsen på få minutter.
Det skal I lade være med
- At måle det, der er nemt at tælle · det, værktøjerne leverer automatisk, er sjældent det, ledelsen har brug for.
- At have tal uden mål · uden et mål kan ingen se, om udviklingen er god eller dårlig.
- At sammenligne med andre virksomheder uden kilde · tal fra salgsmateriale og uklare undersøgelser er et dårligt pejlemærke.
- At lade leverandøren alene definere tallene · den, der leverer driften, bør ikke selv bestemme, hvad den måles på.
- At beholde et tal, ingen reagerer på · fjern det, og find et, der fører til handling.
Det skal I kræve af den eksterne
- ☐ Et forslag til fem til otte nøgletal, hvert koblet til en risiko i risikovurderingen.
- ☐ Klare definitioner, så tallet opgøres på samme måde hver gang.
- ☐ Angivelse af, hvor data kommer fra, og hvem der leverer dem.
- ☐ Mål og frister, som ledelsen godkender.
- ☐ En årlig gennemgang af, om tallene stadig er de rigtige.
- ☐ Forklaring på ændringer i sprog, som direktionen kan genbruge over for bestyrelsen.
Et godt første skridt er at tage de tre største risici fra jeres risikovurdering og finde ét tal til hver. Når de har været fulgt i et par måneder, kan sættet udvides. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 1, nr. 6, om politikker og procedurer til vurdering af foranstaltningernes effektivitet og § 7, stk. 2, om kurser for ledelsesorganets medlemmer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsrapport til bestyrelsen · CIS Controls og NIST CSF: rammer, som ledelsen kan følge med i
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
