Vil I måle jeres opsætning mod en dansk myndighedsvejledning, er de to vejledninger fra Center for Cybersikkerhed, som nu ligger hos Styrelsen for Samfundssikkerhed, et oplagt udgangspunkt. “Cyberforsvar der virker” har ti tekniske områder, og “Reducer risikoen for ransomware” har elleve tekniske anbefalinger, og hver af dem kan omsættes til noget, der kan vises i systemerne.
Vejledningerne er skrevet som anbefalinger. Det er driftens opgave at finde det udtræk, der viser, at anbefalingen er fulgt.
De to vejledninger
“Cyberforsvar der virker” er 4. udgave fra juli 2023. Trin 2 i vejledningen lister ti tekniske områder, som ifølge teksten ikke står i prioriteret rækkefølge, men som alle bør gennemføres.
“Reducer risikoen for ransomware” er 2. udgave fra april 2023 og har elleve tekniske anbefalinger. De overlapper i høj grad med de ti områder. Ransomwarevejledningen tilføjer et punkt om at begrænse eller blokere brugen af makroer.
Begge er vejledninger og ikke lovkrav. De kan bruges som målestok af enhver virksomhed.
Fra anbefaling til udtræk
Tabellen samler de ti områder og tilføjelsen fra ransomwarevejledningen. Kolonnen med udtræk er vores forslag til, hvad der kan påvise anbefalingen. Det står ikke i vejledningerne.
- Opdater software · Hvad der skal kunne vises: At styresystemer og programmer er opdaterede · Udtræk, der kan bruges: Opdateringsstatus pr. maskine med dato for seneste installation
- Segmentér og begræns trafik · Hvad der skal kunne vises: At nettet er delt op, og at trafik mellem zonerne er begrænset · Udtræk, der kan bruges: Firewallens regelsæt og en netværkstegning
- Antivirus og lokal firewall på klienter · Hvad der skal kunne vises: At beskyttelsen er aktiv på alle klienter · Udtræk, der kan bruges: Dækningsliste fra endpoint-beskyttelsen og den lokale firewalls status
- Styr brugerkonti og rettigheder · Hvad der skal kunne vises: At privilegerede rettigheder kun ligger på konti, der kun bruges til den slags opgaver, og at rettigheder gennemgås løbende · Udtræk, der kan bruges: Medlemskab af administratorgrupper og spor efter seneste gennemgang
- Sikre passwords og flerfaktor · Hvad der skal kunne vises: At flerfaktor altid gælder privilegerede konti og ekstern adgang · Udtræk, der kan bruges: Udtræk over metoder pr. konto og politikker for ekstern adgang
- Backup af data og konfigurationer · Hvad der skal kunne vises: At der tages backup, at en kopi er offline, og at reetablering testes · Udtræk, der kan bruges: Backupjob med status, placering af offlinekopi og protokol fra gendannelsestest
- Logning · Hvad der skal kunne vises: At adgang, fejlede og gennemførte login og konfigurationsændringer logges, gemmes separat og gennemses · Udtræk, der kan bruges: Logopsætning pr. kilde, opbevaringssted og spor efter gennemsyn
- Beskyt fjernadgang · Hvad der skal kunne vises: At fjernadgang er afgrænset og beskyttet · Udtræk, der kan bruges: VPN- og fjernadgangsopsætning med krav om flerfaktor
- Krypter data på klienter og mobile enheder · Hvad der skal kunne vises: At lagring på bærbare og mobile enheder er krypteret · Udtræk, der kan bruges: Krypteringsstatus fra klient- og mobilstyring
- Positivliste over applikationer · Hvad der skal kunne vises: At kun godkendte programmer kan køre · Udtræk, der kan bruges: Politik for programkontrol og hvilke maskiner den gælder
- Makroer (kun ransomwarevejledningen) · Hvad der skal kunne vises: At makroer er begrænset eller blokeret · Udtræk, der kan bruges: Indstillingerne for makroer i kontorpakken, effektive på maskinen
Ransomwarevejledningen er skarpere end anbefalingsformen på ét punkt. Den skriver, at fjernadgang altid skal foregå med flerfaktor-autentifikation. Den nævner også, at konti låses ved gentagne forkerte login.
Opsætningen, ikke procedurebeskrivelsen
Et område som “styr brugerkonti og rettigheder” kan let besvares med en procedure. Proceduren viser hensigten. Den viser ikke, at rettighederne faktisk er gennemgået. Efter NIST’s beskrivelse viser en læsning af dokumenter, at der er givet en retning. Om kontrollerne virker i systemerne, viser den ikke (NIST, SP 800-115 fra 2008, i afsnittet om dokumentgennemgang).
Det samme gælder flerfaktor. En politik kan kræve flerfaktor for alle, mens en gammel protokol eller en undtaget gruppe lader nogle konti logge på uden. Udtrækket over metoder pr. konto og over de konti, politikken ikke rammer, er det, der viser dækningen. Og for segmentering er tegningen ikke beviset. Det er regelsættet, der viser, om zonerne faktisk er adskilt.
Derfor bør hvert område belægges med to ting: det, der er sat op, og spor af, at det har virket. For backup er det både jobbet og protokollen fra en gendannelse. For logning er det både opsætningen og et tegn på, at nogen læser loggen.
Når it-driften ligger hos en leverandør
“Cyberforsvar der virker” har en sætning, der er vigtig for mange danske virksomheder. Hvor it-afdelingen i høj grad er lagt ud, skriver vejledningen, at kunden må efterprøve, om leverandøren faktisk har indført tiltagene, og den anbefaler at kræve løbende rapportering. Udtrækkene i tabellen er så dem, leverandøren skal kunne levere. Aftal formatet på forhånd, så rapporteringen indeholder data fra systemerne og ikke kun en status i farver. En grøn markering ud for backup siger mindre end en liste over job med dato og resultat.
Egenkontrol eller hjælp udefra
Trin 6 i “Cyberforsvar der virker” lægger en stor del af kontrollen hos organisationen selv. Egne eftersyn, tjek og interne audits kan i vid udstrækning klares internt, mens andre undersøgelser kræver folk udefra. Trinnet råder også til jævnlig scanning af de væsentligste aktiver, så fundene kan ende i en prioriteret plan, som topledelsen godkender.
Tabellen ovenfor er netop egnet til egenkontrol. Driften kan selv trække udtrækkene og se, hvor der er huller. En gennemgang udefra giver mest værdi dér, hvor egne valg skal efterses af en anden. En praktisk rækkefølge er at tage de områder først, hvor udtrækket er let at trække, fx opdatering og flerfaktor, og gemme dem, der kræver mere arbejde, til en senere runde. Så har driften hurtigt et billede af de grundlæggende områder, og de sværere, som positivliste over applikationer, kan planlægges som et projekt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften går områderne igennem ét for ét og finder det udtræk, der viser hvert. Nogle områder, fx positivliste over applikationer, er ikke gennemført i mange miljøer, og så er svaret et fravalg, der skal begrundes.
Uden udtræk står I med en vejledning, I mener at følge, og intet, der viser det. Ved en hændelse er det for sent at finde beviset.
Det skal I lade være med
- At svare med en procedure, hvor der skal et udtræk til · proceduren viser hensigt, ikke opsætning.
- At kalde vejledningernes anbefalinger for lovkrav · de er myndighedens anbefalinger.
- At springe områder over uden at skrive hvorfor · fravalg skal kunne forklares.
Det skal gennemgangen kunne vise
- ☐ Et udtræk pr. område med dato.
- ☐ Spor af, at backup er gendannet, og at logs er gennemset.
- ☐ Flerfaktor på al fjernadgang og alle privilegerede konti.
- ☐ Begrundelse for områder, der ikke er gennemført.
Kilder
- Center for Cybersikkerhed, Cyberforsvar der virker, 4. udgave juli 2023, trin 2 og 6, læst 13. november 2026.
- Center for Cybersikkerhed, Reducer risikoen for ransomware, 2. udgave april 2023, s. 8 og 9, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg tre af områderne, fx opdatering, backup og flerfaktor, og find det udtræk, der viser hvert, inden udgangen af måneden.
Læs også: De statslige tekniske minimumskrav som tjekliste · Læseadgang til det, driftsleverandøren driver
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
