Måles en server mod et CIS Benchmark, afhænger antallet af afvigelser i høj grad af, hvilken profil der er valgt. Level 1 er en grundanbefaling, der kan indføres forholdsvis hurtigt, mens Level 2 er forsvar i dybden til miljøer, hvor sikkerhed vejer tungest, og derfor skal profilen stå i planen, før nogen tæller fund.
En liste med mange afvigelser fra Level 2 siger noget andet end en liste med mange afvigelser fra Level 1. Uden profilen kan driften ikke læse listen rigtigt.
Hvad CIS selv siger om profilerne
Center for Internet Security beskriver profilerne i sin FAQ om benchmarks. Det følgende er gengivet med egne ord.
- Level 1 · Formål: Grundanbefaling, der kan indføres forholdsvis hurtigt · Påvirkning af driften: Lavet til ikke at give en mærkbar belastning af ydelsen
- Level 2 · Formål: Forsvar i dybden til miljøer, hvor sikkerheden er altafgørende · Påvirkning af driften: Kan give problemer for organisationen, hvis den indføres uden omtanke
- STIG-profil · Formål: Afløser det, der tidligere hed Level 3 · Påvirkning af driften: Ikke beskrevet nærmere i FAQ’en
Benchmarks bliver til ved en konsensusproces blandt fagfolk, og de kan hentes som PDF uden licensbetaling. For Windows dækker benchmarkene den nyeste udgave inden for 90 dage efter, at den er kommet, ifølge FAQ’en.
Selve benchmark-dokumenterne med de enkelte anbefalinger er ikke gengivet her. Hvilke indstillinger der står i hvilken profil, skal læses i det benchmark, der gælder for den konkrete platform og version.
Hvorfor profilen ændrer afvigelseslisten
Level 2 indeholder flere og strammere anbefalinger end Level 1. Måles et almindeligt kontormiljø mod Level 2, vil listen typisk vokse med indstillinger, som ingen havde planlagt at indføre. Nogle af dem er gode at kende. Andre passer ikke til miljøet, fordi de, med CIS’ egne ord gengivet frit, kan skade driften, hvis de ikke indføres med omhu.
Det giver tre fejl, der går igen:
- Rapporten nævner “CIS” uden profil. Så kan ingen se, om en afvigelse er en mangel i grundopsætningen eller en ekstra stramning.
- Level 1 og Level 2 blandes, så nogle maskiner måles mod den ene og andre mod den anden, uden at det står nogen steder.
- Afvigelser fra Level 2 får samme vægt som afvigelser fra Level 1. Det skubber de grundlæggende mangler ned på listen.
Valg af profil pr. maskinrolle
Profilen behøver ikke være den samme overalt. Det er almindelig praksis at vælge pr. rolle, og her er et tænkt eksempel på, hvordan det kan se ud:
- (Almindelige klienter) · Profil (tænkt): (Level 1) · Begrundelse (tænkt): (Mange brugere og mange programmer; stramninger skal kunne indføres uden at bryde arbejdet)
- (Administrationsmaskiner) · Profil (tænkt): (Level 2) · Begrundelse (tænkt): (Få brugere og få programmer; maskinen bruges kun til administration)
- (Domænecontrollere) · Profil (tænkt): (Level 2) · Begrundelse (tænkt): (Kompromittering rammer hele kataloget)
- (Fagsystemservere) · Profil (tænkt): (Level 1) · Begrundelse (tænkt): (Producentens krav begrænser, hvad der kan strammes)
Står valget i planen, kan rapporten opgøre afvigelserne pr. rolle og pr. profil. Det gør det lettere at se, hvor grundopsætningen halter, og hvor der er tale om stramninger, I kan vælge til senere.
Sådan bruges profilen i gennemgangen
Gennemgangen bør oplyse fire ting om målestokken, så et fund kan genskabes:
- Navnet på benchmarket og den platform, det gælder.
- Versionen og datoen for benchmarket.
- Den valgte profil pr. maskinrolle.
- Om målingen er sket automatisk eller ved læsning i hånden.
NIST skriver, at automatiske kontroller er hurtigere og giver ensartede resultater, men at nogle indstillinger stadig må kontrolleres manuelt (SP 800-115, afsnit 3.4, udgivet i 2008). Det gælder også her. En automatisk måling mod en profil giver en liste. Hvilke punkter der er bevidste valg, og hvilke der er huller, kræver, at nogen læser listen med kendskab til miljøet.
Når I vælger en anbefaling fra
Ingen kører en profil fuldt ud uden afvigelser. En anbefaling, I bevidst ikke følger, skal stå på undtagelseslisten med begrundelse, afbødning og en dato for, hvornår den ses på igen. Så bliver den ikke et nyt fund ved næste gennemgang, og den, der gennemgår, kan i stedet kontrollere, at begrundelsen stadig holder.
Skifter I senere en rolle fra Level 1 til Level 2, bør det ske som en planlagt ændring med test, ikke som en reaktion på en lang rapport. Stramningerne i Level 2 kan påvirke programmer og brugere, og de skal indføres med samme omhu som andre ændringer i opsætningen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning om profil pr. maskinrolle, skrevet ned med begrundelse, og at versionen af benchmarket noteres. Det kræver også, at nogen kender de anbefalinger, profilen indeholder for jeres platforme.
Uden det valg bliver afvigelseslisten et tal, der ikke kan sammenlignes over tid. Driften risikerer at bruge kræfter på stramninger fra Level 2, mens mangler i grundopsætningen bliver stående.
Det skal I lade være med
- At skrive “CIS” uden profil og version · fundene kan ikke genskabes eller sammenlignes.
- At indføre Level 2 på alle maskiner på én gang · CIS advarer selv om følgerne for driften.
- At give alle afvigelser samme vægt · grundopsætningen kommer først.
Det skal gennemgangen kunne vise
- ☐ Det benchmark, der er målt imod, med platform, version og dato.
- ☐ Den valgte profil pr. maskinrolle med begrundelse.
- ☐ Afvigelser opgjort pr. rolle og pr. profil.
- ☐ Bevidste fravalg på undtagelseslisten med begrundelse og dato.
Kilder
- CIS, CIS Benchmarks FAQ, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres maskinroller op, og sæt en profil og en begrundelse ud for hver, før næste måling.
Læs også: Valg af målestok · Windows-servere holdt op mod en baseline
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
