Står I med en gennemgang, der skal dække mange platforme, mangler der ofte en fast rækkefølge at ordne arbejdet og rapporten efter. De 18 CIS Controls kan bruges som den disposition: de fleste af dem svarer til områder, der kan læses i opsætningen, mens nogle få handler om uddannelse, leverandører, hændelser og test, som en konfigurationsgennemgang ikke dækker.
Brugt sådan er CIS Controls et skelet for omfang og rapport. Det er ikke en modenhedsmåling, og det er ikke auditkriterier.
De 18 kontroller
Center for Internet Security kalder version 8.1 den seneste udgave. Version 8.1 har tilføjet en sikkerhedsfunktion for styring (Governance). Titlerne er her oversat med egne ord, med CIS’ engelske titel i parentes.
- 1 · Overblik over og styring af virksomhedens aktiver (Inventory and Control of Enterprise Assets)
- 2 · Overblik over og styring af software (Inventory and Control of Software Assets)
- 3 · Beskyttelse af data (Data Protection)
- 4 · Sikker konfiguration af aktiver og software (Secure Configuration of Enterprise Assets and Software)
- 5 · Styring af konti (Account Management)
- 6 · Styring af adgang (Access Control Management)
- 7 · Løbende sårbarhedsstyring (Continuous Vulnerability Management)
- 8 · Styring af auditlogs (Audit Log Management)
- 9 · Beskyttelse af e-mail og browser (Email and Web Browser Protections)
- 10 · Forsvar mod skadelig kode (Malware Defenses)
- 11 · Gendannelse af data (Data Recovery)
- 12 · Styring af netværksinfrastruktur (Network Infrastructure Management)
- 13 · Overvågning og forsvar af netværket (Network Monitoring and Defense)
- 14 · Sikkerhedsbevidsthed og uddannelse (Security Awareness and Skills Training)
- 15 · Styring af tjenesteudbydere (Service Provider Management)
- 16 · Sikkerhed i applikationssoftware (Application Software Security)
- 17 · Håndtering af hændelser (Incident Response Management)
- 18 · Penetrationstest (Penetration Testing)
De underliggende tiltag og inddelingen i grupper efter virksomhedens størrelse gengiver vi ikke her.
De kontroller, der passer til en læsning af opsætningen
Efter vores vurdering kan kontrollerne 1 til 13 i vid udstrækning belægges med udtræk fra systemerne. Det er dem, der giver disposition til en teknisk gennemgang:
- Kontrol 1 og 2 svarer til systemlisten og softwarelisten, bygget fra katalog, netværk og styringsværktøjer.
- Kontrol 4 er kernen: opsætningen holdt op mod en baseline eller et benchmark.
- Kontrol 5 og 6 dækker konti, grupper, administratorrettigheder og flerfaktor.
- Kontrol 7 dækker opdateringsniveau og scanningsresultater.
- Kontrol 8 dækker, hvad der logges, og hvor længe.
- Kontrol 9 til 13 dækker mailfilter og browser, endpoint-beskyttelse, backup og gendannelse, netværksudstyr og overvågning af nettet.
Kontrol 3 og 16 ligger på grænsen. Beskyttelse af data kan delvist ses i kryptering og deling, men klassifikationen af data er ikke en indstilling. Sikkerhed i egenudviklet software kræver en anden slags gennemgang end læsning af driftsopsætning.
De kontroller, der går ud over teknikken
Kontrol 14, 15, 17 og 18 handler om uddannelse, leverandørstyring, hændelseshåndtering og penetrationstest. Det er vores vurdering, at de ikke kan belægges med en læsning af opsætningen. De kan nævnes i rapporten som afgrænsning, så læseren ser, hvad gennemgangen ikke har set på.
Penetrationstest er en anden teknik end gennemgang og hører ikke til i en konfigurationsgennemgang. Leverandørstyring kan derimod have en teknisk side: hvilke konti og forbindelser leverandører har ind i miljøet. Den side kan med, mens kontrakter og opfølgning hører hjemme i en anden slags gennemgang.
Sådan bruges dispositionen i praksis
En fremgangsmåde, som er sitets egen ordning, er at lade kontrollerne være overskrifter i både planen og rapporten:
- Plan: skriv under hver kontrol, hvilke platforme og udtræk der hører til. Kontroller uden for omfanget markeres som fravalgt med en linje om hvorfor.
- Udtræk: læg hvert udtræk i en mappe med kontrollens nummer, så det er let at finde beviset bag et fund.
- Rapport: ordn fundene efter kontrol, og skriv under hver kontrol, hvilken målestok der er brugt.
Fordelen er, at to gennemgange med et års mellemrum får samme opbygning og kan sammenlignes. Ulempen er, at kontrollerne ikke følger den måde, driften er organiseret på. Et fund i firewallen kan høre under både kontrol 4, 12 og 13. Vælg én placering, og hold fast i den.
Rækkefølgen i listen har også en praktisk pointe. Kontrol 1 og 2 kommer først, fordi resten bygger på dem. Uden et overblik over maskiner og software kan ingen sige, om konfigurationen er gennemgået for alle, om alle maskiner opdateres, eller om alle logger. Mangler systemlisten, er det derfor fornuftigt at bruge den første del af gennemgangen på at bygge den, før kontrol 4 til 13 tages op.
Styrelsen for Samfundssikkerhed nævner selv CIS 18 blandt de standarder, man kan tage udgangspunkt i, i vejledningen “Cyberforsvar der virker” fra 2023.
Hvad dispositionen ikke er
Dispositionen siger ikke noget om, hvor moden sikkerheden er, og den giver ikke en score. Måling af modenhed over tid og den almene auditmetode med kriterier og konklusion er andre opgaver. Her er CIS Controls kun en fast rækkefølge at lægge kontrolpunkterne i.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen før gennemgangen fordeler platforme og udtræk under kontrollerne og skriver fravalgene ned. Det tager kort tid, når systemlisten findes.
Uden en fast disposition bliver rapporten ordnet efter den rækkefølge, udtrækkene blev trukket i. Så er det svært at se, hvad der ikke er gennemgået, og to rapporter fra forskellige år kan ikke lægges ved siden af hinanden.
Det skal I lade være med
- At bruge dispositionen som en score · den ordner arbejdet, den måler ikke modenhed.
- At lade kontrol 14, 15, 17 og 18 stå tomme uden forklaring · skriv dem som afgrænsning.
- At placere samme fund under flere kontroller · det giver dobbelttælling.
Det skal gennemgangen kunne vise
- ☐ En plan med platforme og udtræk fordelt på kontrollerne.
- ☐ En liste over fravalgte kontroller med begrundelse.
- ☐ Fund ordnet efter kontrol med målestok for hver.
- ☐ Udtræk arkiveret, så de kan findes ud fra kontrollens nummer.
Kilder
- CIS, CIS Critical Security Controls, liste over kontrollerne, læst 13. november 2026.
- Center for Cybersikkerhed, Cyberforsvar der virker, 4. udgave juli 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg de platforme, gennemgangen skal dække, ind under kontrollerne 1 til 13, og skriv de fravalgte kontroller op med en linje om hvorfor.
Læs også: Valg af målestok · Rapporten fra en teknisk gennemgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
