Ét kort pr. kontrol.

Adgangskontrol

4 kontroller

1. KK-01Adgangskontrolpolitik (dokumenteres)Fundamentet under alle øvrige adgangskontroller
2. KK-02Multifaktor-godkendelse (måles automatisk)Den enkeltkontrol, der stopper flest kontoovertagelser, målt frem for påstået
3. KK-03Rollebaseret adgang (dokumenteres)Rettigheder efter funktion, ikke person, og administratorer styret særskilt
4. KK-04On- og offboarding (dokumenteres)Adgange oprettes efter rollemodellen og lukkes samme dag, på tværs af alle systemer

Kryptering og data­beskyttelse

4 kontroller

1. KK-05Kryptering i hvile (dokumenteres)Et mistet device er ikke automatisk et databrud, når lageret er krypteret
2. KK-06Kryptering under transport (dokumenteres)Data kan hverken aflyttes eller ændres på vejen
3. KK-07Dataklassifikation (dokumenteres)Uden klassifikation kan ingen svare på, hvilke data der kræver hvilken beskyttelse
4. KK-08Sikker sletning (dokumenteres)Data skal faktisk forsvinde, når fristen udløber, og udstyr må ikke forlade huset med læsbare data

Endpoint og overvågning

4 kontroller

1. KK-09EDR (måles automatisk)Rygraden i evnen til at opdage angreb i tide, og dermed i NIS2's rapporteringsfrister
2. KK-10Anti-malware (måles automatisk)Den mest basale tekniske kontrol i ethvert regelsæt, og den første en leverandørvurdering spørger til
3. KK-11Centraliseret logning (måles automatisk)Uden samlede logs kan et angreb hverken opdages i tide eller efterforskes bagefter
4. KK-12Sikkerhedsovervågning (måles automatisk)Forskellen på at have logs og at opdage noget i dem

Backup og gendannelse

4 kontroller

1. KK-13Backup-procedurer (dokumenteres)Kopieret regelmæssigt, opbevaret adskilt fra driften, og kan gendannes
2. KK-14Gendannelsestest (dokumenteres)En backup er kun et håb, indtil gendannelsen er testet
3. KK-15Driftskontinuitet (dokumenteres)Kan virksomheden fortsætte eller hurtigt genoptage driften ved nedbrud, angreb eller tab af leverandør?
4. KK-16Redundans (dokumenteres)Ét nedbrud må ikke stoppe driften, og fravalgene skal dokumenteres lige så godt som tilvalgene

Organisatoriske kontroller

4 kontroller

1. KK-17Informationssikkerhedspolitik (dokumenteres)Det styrende dokument, ledelsen vedtager
2. KK-18Risikovurdering (dokumenteres)Hvad kan gå galt, hvor sandsynligt er det, og hvor ondt gør det? Dokumentet der begrunder alle til- og fravalg
3. KK-19Awareness-træning (dokumenteres)Medarbejderne som forsvarslinje frem for angrebsflade, og ledelsen skal selv uddannes
4. KK-20Leverandørstyring (dokumenteres)Hvem behandler data for jer, på hvilke vilkår, og med hvilken sikkerhed? Kladder tæller ikke

Hændelses­håndtering

4 kontroller

1. KK-21Hændelsesresponsplan (måles automatisk)Hvem beslutter, hvem undersøger, hvem kommunikerer, i hvilken rækkefølge, fra det øjeblik noget opdages
2. KK-22Hændelseslog (måles automatisk)Alle hændelser registreres, også dem der ikke anmeldes, så et fravalg ligner en vurdering og ikke en forglemmelse
3. KK-23Brudnotifikation (måles automatisk)Anmeldelsesveje og skabeloner skal ligge klar, før uret starter
4. KK-24Læring efter hændelser (måles automatisk)Det, der gør hændelseshåndtering til en forbedringsmotor frem for ren brandslukning

Netværk

4 kontroller

1. KK-25Firewall (dokumenteres)Kun så god som sit regelsæt og sin seneste gennemgang
2. KK-26Netværkssegmentering (dokumenteres)Forskellen på et lokalt problem og et totalt nedbrud
3. KK-27Patchhåndtering (måles automatisk)Kendte sårbarheder findes og lukkes systematisk; lukketiden er kontrollens vigtigste måltal
4. KK-28Sikker fjernadgang (dokumenteres)Krypteret, med MFA og kun fra styrede enheder; aldrig fjernskrivebord direkte på nettet