En stor del af de tekniske kontrolpunkter kan driften selv måle, fordi svaret er ja eller nej og kan trækkes fra systemerne. Det, driften ikke bør bedømme selv, er de skønsprægede valg: om segmenteringen er rigtig, om en undtagelse er rimelig, og om rollemodellen holder. Dér er den, der har bygget opsætningen, dårligt placeret.
Opdelingen i målbare og skønsprægede kontrolpunkter er sitets egen ordning. Den bygger på, hvad kilderne siger om egenkontrol, interessekonflikt og uafhængighed.
Det, kilderne siger om egenkontrol
Vejledningen “Cyberforsvar der virker”, udgivet af Center for Cybersikkerhed i 2023, regner egenkontrol, eftersyn, tjek og interne audits blandt det, organisationen “i vid udstrækning selv” kan klare. Til andre undersøgelser skal der eksterne til. Vejledningen anbefaler, at de vigtigste it-aktiver scannes jævnligt, og at resultaterne ender i en prioriteret plan, som topledelsen godkender.
Automatiske kontroller foretrækkes af NIST, fordi resultatet bliver det samme, hver gang de køres. Det er netop de kontroller, driften kan køre selv.
Det, kilderne siger om interessekonflikt
NIST nævner som eksempel på interessekonflikt, at én person både gennemfører en formel vurdering og har ansvaret for at rette fundene. Vejledningen skriver, at eksterne giver et uafhængigt syn, men også at adgang for udefrakommende kan give ekstra risiko.
Forordning (EU) 2024/2690 er rettet mod en afgrænset gruppe digitale tjenesteudbydere, men punkt 2.3 i bilaget er en brugbar målestok. Det kræver en uafhængig gennemgang af tilgangen til sikkerhed, herunder mennesker, processer og teknologier, og den skal laves af folk med passende auditkompetence. Bruger enheden egne folk, må de, der gennemgår, hverken stå over eller under de medarbejdere, hvis område bliver gennemgået. Er virksomheden for lille til det, skal upartiskheden sikres på en anden måde.
For finansielle enheder under DORA siger artikel 24, stk. 4, at test udføres af uafhængige parter, enten interne eller eksterne. Bruges interne testere, skal de både have ressourcer nok og være fri af interessekonflikter.
Ingen af kilderne kræver for en almindelig privat virksomhed, at gennemgangen udføres af eksterne. Valget mellem egne folk og andres øjne er derfor jeres eget, og det kan træffes punkt for punkt.
Målbare og skønsprægede kontrolpunkter
Sitets ordning deler kontrolpunkterne i to. Eksemplerne er tænkte.
- (Har alle konti flerfaktor slået til?) · (Er undtagelserne fra flerfaktor rimelige?)
- (Hvilke maskiner mangler opdateringer?) · (Er rettefristerne passende for det, der er eksponeret?)
- (Hvilke konti har ikke logget ind i et halvt år?) · (Passer rollemodellen til organisationen?)
- (Findes der regler, der tillader al trafik?) · (Er segmenteringen den rigtige?)
- (Er logning slået til i lejeren?) · (Logges det, der skal bruges ved en hændelse?)
Det målbare kan driften køre som faste rapporter. Svaret ændrer sig ikke med den, der kigger. Det skønsprægede kræver, at nogen holder valget op mod en målestok og mod miljøets risiko, og dér er det en fordel, at den, der kigger, ikke selv traf valget.
De målbare som faste rapporter
Et målbart kontrolpunkt bliver først nyttigt, når det måles igen og igen på samme måde. Skriv for hvert punkt, hvilken kommando, skærm eller rapport der giver svaret, hvem der kører den, og hvor resultatet gemmes. Så kan driften se udviklingen over tid, og den, der senere gennemgår miljøet, kan bruge rapporterne som bevis i stedet for at trække det hele forfra.
Resultaterne hører hjemme i den prioriterede plan, som vejledningen fra Center for Cybersikkerhed beskriver. Et tal, ingen handler på, er ikke en kontrol.
Hvorfor egne valg er svære at bedømme
Den, der har bygget en opsætning, kender begrundelserne. Det er en styrke i den daglige drift og en svaghed i en gennemgang. Begrundelsen fra dengang føles stadig gyldig, også når forudsætningen er væk. En regel, der blev åbnet til et projekt, ser rimelig ud for den, der husker projektet. For en, der kommer udefra, er den bare en åben regel uden forklaring, og det er netop det spørgsmål, der skal stilles.
Dygtighed ændrer ikke på det. Ingen kan se bort fra sin egen hukommelse. Derfor er det de skønsprægede punkter, der har mest gavn af et andet blik.
Mellemformer
Andre øjne behøver ikke at komme udefra. Muligheder, der bruges i praksis:
- en kollega fra et andet team gennemgår den del, man ikke selv har bygget
- driften måler selv, og en ekstern læser kun de skønsprægede punkter
- en ekstern gennemgang med længere mellemrum og egenkontrol imellem
For de digitale tjenesteudbydere, forordningen gælder for, skal ordningen opfylde kravet om, at den interne gennemgang hverken foretages af personer, der er over- eller underordnet området. Hvordan valget mellem intern og ekstern audit træffes for hele sikkerhedsarbejdet, er beskrevet under intern eller ekstern sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften deler sine kontrolpunkter i de to grupper, laver faste rapporter for de målbare og aftaler, hvem der ser på de skønsprægede.
Måler driften ikke selv, bruger en ekstern gennemgang tid på det, en rapport kunne have vist. Ser ingen andre på de skønsprægede valg, bliver de stående, også når forudsætningen er væk.
Det skal I lade være med
- At bruge andres tid på at tælle det, driften kan tælle selv · brug de andre øjne på skønnet.
- At lade den, der byggede segmenteringen, godkende den · bed en anden om at læse den.
- At skrive, at ekstern gennemgang er et krav · det er det kun for nogle.
Det skal gennemgangen kunne vise
- ☐ En liste over målbare kontrolpunkter med faste rapporter.
- ☐ En liste over skønsprægede kontrolpunkter og hvem der ser på dem.
- ☐ At den, der bedømmer et valg, ikke selv har truffet det.
- ☐ For digitale tjenesteudbydere: hvordan uafhængigheden efter punkt 2.3.2 er sikret.
Kilder
- Center for Cybersikkerhed, Cyberforsvar der virker, 4. udgave juli 2023, trin 6, læst 13. november 2026.
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.4 og 6.4.1, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 2.3, læst 13. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 24, stk. 4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres kontrolpunkter i to kolonner, målbare og skønsprægede, og lav en fast rapport for de målbare.
- Hvad en teknisk gennemgang er, og hvornår den bruges
- Fra engangsgennemgang til løbende kontrol af opsætningen
Læs også: Valg af auditor til teknikken · Undtagelseslisten
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
