CIS Controls.
Prioriter cyberforsvaret, begrund den passende Implementation Group, og kontroller implementeringen sporbart i egen drift.
- CIS Critical Security Controls v8.1
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
CIS Controls er prioriterede anbefalinger fra Center for Internet Security til cyberforsvar. Version 8.1 ordner 153 Safeguards i 18 emneområder. Implementation Groups hjælper med at begynde ud fra risici og tilgængelige ressourcer. Grupperne bygger på hinanden; dokumenteret implementering er hverken automatisk certificering eller bevis for alle lovpligter.
CIS Controls v8.1 som praktisk orientering.
CIS Controls strukturerer valget af beskyttelsespraksisser for systemer og netværk. En Control er et emneområde; de tilhørende Safeguards beskriver mere konkrete handlingsfelter. Udgiversiden om v8.1 betegner udgaven som en iterativ revision af v8, blandt andet med præciserede begreber, tilpassede aktivklasser og tilknytning til NIST CSF 2.0.
Anbefalingerne er ikke en generelt gældende lovpligt. En organisation kan aftale dem som arbejdsgrundlag; kunder eller kontrakter kan kræve bestemt dokumentation. CIS-FAQ’en gør udtrykkeligt klart, at Controls ikke erstatter andre regulatoriske eller formelle dokumentationsprocedurer. Valget bør derfor passe til egne tjenester og yderligere forpligtelser.
CIS Controls og CIS Benchmarks har forskellige opgaver. Controls vedrører generel beskyttelsespraksis, Benchmarks sikker konfiguration af bestemte produkter og teknologier. Et konfigurationsfund kan understøtte en implementeringsvurdering, men besvarer ikke alle organisatoriske spørgsmål. Udgiveren beskriver denne afgrænsning i sin Controls-FAQ.
Vælg Implementation Groups efter risici og ressourcer.
Implementation Groups støtter organisationer af forskellige størrelser i prioriteringen. Ifølge CIS-gruppeoversigten tæller risikoprofil og tilgængelige ressourcer. IG1 omfatter 56 grundlæggende Safeguards; CIS anbefaler alle organisationer denne start. Begrænsede sikkerhedsressourcer forklarer retningen, men medfører ikke generel undtagelse fra yderligere risici eller kontraktkrav.
IG2 supplerer IG1-valget med 74 Safeguards til større driftskompleksitet. Udgiversiden beskriver blandt andet egne IT-ansvarlige, forskellige afdelinger og mere følsomme informationer. IG2 betyder derfor ikke, at kun tillægspunkterne behandles, mens grundlaget udelades. Det samlede aftalte omfang er afgørende.
IG3 tilføjer yderligere 23 Safeguards og omfatter dermed alle 153. CIS beskriver blandt andet specialiserede sikkerhedskompetencer og arbejde med målrettede angreb. Grupperne er ikke en generel modenhedsskala: En valgt gruppe siger i sig selv hverken, om foranstaltningerne fungerer, eller hvilke restrisici organisationen har accepteret.
Cyberforsvarets vigtigste arbejdsområder.
Følgende seks områder samler arbejdet med CIS Controls redaktionelt; de er ikke en ny officiel katalogstruktur. Den offentliggjorte udgave, den aftalte Implementation Group og den betragtede drift er fortsat afgørende for det konkrete valg.
Forstå aktiver og data.
Beskyttelsesbeslutninger kræver et sporbart overblik over faktisk anvendte systemer, software og informationer. Som praktisk forberedelse bør de ansvarlige afklare, hvilken tjeneste der betragtes, og hvilke afhængigheder der understøtter den. En aktivliste mister værdi, hvis ændringer i driften ikke længere registreres, eller ingen kan vurdere fuldstændigheden.
Forbind sikker konfiguration og sårbarhedsarbejde.
Konfiguration, understøttet software og håndtering af kendte sårbarheder spiller sammen. Ved implementeringen anbefales det at fastlægge både den tekniske bestemmelse, ansvar og ændringsvej. Produktspecifikke Benchmarks kan hjælpe med at vurdere konfigurationen; de erstatter ikke beslutningen om, hvilke systemer og driftsbetingelser vurderingen omfatter.
Driv identiteter og adgange.
Rettigheder skal passe til opgaver og beskyttelsesbehov. En praktisk vurdering bør se på både indstillinger og arbejdstrin ved personers tiltrædelse, jobskifte og fratrædelse. En korrekt oprettet kontotype beviser endnu ikke, at forældede adgange pålideligt opdages og fjernes; passende driftsregistreringer er nyttige til dette.
Afstem observation og reaktion.
Sikkerhedsoplysninger skal nå frem til personer, der kan vurdere og behandle dem. Afklar ved implementeringen, hvem der undersøger meddelelser, hvordan en hændelse videregives, og hvilken stedfortræder der træder til. Et værktøjs tilgængelighed alene forklarer ikke ansvarsfordelingen. En afprøvet reaktionsopgave kan vise, om den aftalte procedure faktisk fungerer.
Medregn genopretning og leverandører.
Den betragtede ydelse afhænger ofte af sikkerhedskopier, eksterne tjenester og aftalte supportveje. Undersøg i praksis, hvem der kan genoprette hvilken ydelse ved en afbrydelse, og hvilke oplysninger der kræves. Dokumentationen bør vise eget anvendelsesomfang; en leverandørrapport besvarer ikke automatisk alle kundernes opgaver.
Inddrag mennesker og kontrol.
Beskyttelsespraksis kræver forståelige opgaver og vurdering af implementeringen. Som hjælp kan teams dokumentere, hvem der driver en foranstaltning, hvilken observation der viser dens tilstand, og hvornår næste kontrol skal ske. Tilpasninger er meningsfulde, når tjenester, trusler eller ansvar ændres. Et spørgeskema, som er udfyldt én gang, afspejler ikke af sig selv disse ændringer.
Anvend CIS Controls trin for trin.
Afgræns den betragtede tjeneste.
Beskriv som praktisk begyndelse tjenesten, dens systemer, informationer og eksterne afhængigheder, så den senere vurdering har en synlig grænse.
Begrund gruppe og supplerende krav.
Vælg en Implementation Group ud fra risici og ressourcer, og dokumenter, hvilke yderligere lovmæssige eller kontraktlige krav der skal medregnes særskilt.
Aftal implementering og ansvar.
Omsæt det valgte arbejdsgrundlag til konkrete opgaver, og udpeg for hver opgave en person med passende ansvar og beføjelser.
Indsaml driftsregistreringer.
Forbind implementeringen med egnede konfigurationer, kontrolregistreringer eller procesbeviser, og angiv deres omfang og den betragtede periode.
Forbind vurdering og forbedring.
Undersøg bevisernes udsagnskraft, behandl konstaterede afvigelser, og fastlæg, hvordan virkningen af en korrektion skal kunne konstateres.
Træf ny beslutning ved ændringer.
Gennemgå valg, ansvar og dokumentation på ny, når tjenesten, risikoprofilen eller de tilgængelige ressourcer ændres væsentligt.
Hvad en CIS Controls-vurdering siger.
En vurdering er kun meningsfuld inden for det beskrevne omfang. Dokumenter, hvilken udgave og hvilket udvalg der blev vurderet, hvilke systemer der er omfattet, og hvilke beviser resultatet bygger på. En selvevaluering kan strukturere arbejdet; et gruppelabel eller en enkelt samlet værdi forklarer endnu ikke alene den faktiske implementering.
CIS Controls Assessment Specification giver grundlag for fælles forståelse af vurdering af Safeguards. Den offentlige dokumentation indeholder en udgave til v8.1. Hvilken konkret procedure og hvilke stikprøver Deres formål kræver, skal aftales før en vurdering; dette overblik gengiver ikke enkelte kontrolinstruktioner.
CIS Controls Accreditation vedrører kvalificerede udbydere af implementerings-, audit- eller vurderingsydelser. Den offentlige programside beskriver kompetencebekræftelsen og valget af en egnet leverandør. Det skal adskilles fra vurdering af kundeorganisationen. Det medfører hverken et generelt certifikat for alle Controls-brugere eller en fast gyldighed for egen implementeringsdokumentation.
Betragt andre rammeværker som supplement.
NIST CSF strukturerer ønskede sikkerhedsresultater, mens CIS Controls hjælper med at prioritere praktisk beskyttelsesarbejde. ISO 27001 behandler ledelsessystemet og dets uafhængige certificering. NIST SP 800-53 giver et bredere katalog over sikkerheds- og databeskyttelseskontroller. PCI DSS stiller særskilte krav til beskyttelse af betalingskortdata; et Controls-udvalg erstatter ikke den enkelte dokumentation.
I Secani.
Secani stiller sit eget redaktionelle virksomhedskatalog baseret på CIS Controls v8.1 til rådighed. Profiloplysninger registrerer blandt andet den aftalte Implementation Group, cloud, OT og egen softwareudvikling. Grupperne behandles som kumulativ prioritering og ikke som certificering eller modenhedsvurdering; kataloget er ikke en officiel CIS-oversættelse, og den uafhængige faglige godkendelse udestår.
Begynd med et begrundet arbejdsgrundlag.
Vælg en tjeneste, hvis beskyttelsespraksis skal forbedres sporbart. Aftal omfang, anvendt udgave og passende Implementation Group med de ansvarlige. Dokumenter samtidig, hvem der træffer beslutninger om supplerende foranstaltninger eller accepterede risici.
Undersøg derefter, hvilke driftsbeviser der allerede findes for dette omfang, og hvilke udsagn de tillader. Planlæg manglende arbejde med ansvarlige og frister. Dermed opstår en kontrollerbar opgave, før et omfattende foranstaltningsprogram udvides til hele organisationen.
Ofte stillede spørgsmål.
Nej. Implementation Groups prioriterer et kumulativt udvalg efter risici og ressourcer; de er hverken en certificeringsskala eller en generel modenhedsskala.
Ja. IG2 supplerer de 56 Safeguards fra IG1 med yderligere 74; IG3 tilføjer derefter 23 og omfatter dermed alle 153.
Nej. Controls beskriver generelle beskyttelsespraksisser, Benchmarks hærdning af bestemte produkter og teknologier; en konfigurationskontrol vurderer derfor ikke automatisk hele Controls-implementeringen.
Nej. Et valgt Controls-arbejdsgrundlag og en uafhængig vurdering af et ISMS giver forskellige udsagn; yderligere lovmæssige eller kontraktlige dokumentationskrav skal fortsat undersøges særskilt.
Prioriter beskyttelsesarbejdet sporbart.
Tal om, hvordan De kan arbejde med Deres valgte omfang, ansvar og dokumentation i Secani.
Denne side forklarer CIS Controls med egne ord og erstatter ikke udgiverpublikationerne eller en faglig undersøgelse. Den aftalte udgave, det betragtede omfang og de til enhver tid gældende krav er afgørende.