Rammeværk

"Rammeværk" dækker dokumenter af vidt forskellig art, og meget forvirring opstår, når de sammenlignes, som om de var ens. Program- eller ledelsessystemrammeværker beskriver, hvordan sikkerhed styres: ISO/IEC 27001 stiller krav til et ISMS, og NIST CSF 2.0 organiserer ønskede resultater i seks funktioner. Kontrolkataloger angiver, hvad der skal implementeres: ISO/IEC 27002 med 93 kontroller, NIST SP 800-53 Rev. 5 med kontroller i 20 familier og CIS Controls v8.1 med 18 kontroller og 153 safeguards fordelt på tre Implementation Groups, hvoraf IG1 (56 safeguards) præsenteres som grundlæggende cyberhygiejne. Risikorammeværker beskriver, hvordan risiko vurderes og håndteres: ISO/IEC 27005, NIST SP 800-30 og Risk Management Framework i SP 800-37 eller FAIR til kvantitative estimater. Styringsrammeværker som COBIT 2019 placerer sikkerheden i virksomhedens samlede IT-governance.

En anden sondring går mellem frivillige rammeværker og bindende lovgivning. NIS2, DORA og databeskyttelsesforordningen fastsætter retlige mål og frister, men siger sjældent, hvordan de nås; rammeværkerne leverer hvordan, og et certifikat eller en vurdering efter et rammeværk er dokumentation for, ikke bevis på, at loven er overholdt. Trusselscentrerede vidensbaser som MITRE ATT&CK er heller ikke kontrolrammeværker, selv om de ofte bruges til at efterprøve, om de valgte kontroller dækker realistiske angrebsteknikker.

Organisationer, der er underlagt flere regelsæt, ender typisk med en krydsreference eller et fælles kontrolrammeværk: ét internt sæt kontroller, hvor hver kontrol er koblet til de krav, den opfylder i 27001 anneks A, NIS2 artikel 21, stk. 2, kundekontrakter og sektorregler, så ét stykke dokumentation kan bruges i flere audits. Offentlige koblinger hjælper, fx NIST's OLIR-program og CIS' koblinger til andre rammeværker, men koblinger er mange-til-mange og tilnærmede, og en kontrol, der "passer" til et krav, dækker måske kun en del af det.

Valget bør følge det spørgsmål, man vil have besvaret. Til et certifikat, som kunderne genkender, er ISO 27001 standardvalget i Europa; til kommunikation med bestyrelsen og gap-analyser er CSF-funktionerne populære; for en lille organisation, der har brug for en prioriteret teknisk huskeliste, er CIS IG1 en realistisk start; og i Danmark tilbyder D-mærket en lettere mærkningsordning rettet mod mindre virksomheder. Den typiske fejl er at samle på rammeværker: at tage flere i brug parallelt uden et fælles kontrolsæt, hvilket mangedobler dokumentationen uden at forbedre sikkerheden.