De fleste organisationer kan gennemføre en risikovurdering én gang. Det svære er at opbygge en fast proces, hvor kritiske systemer og aktiver bliver vurderet igen år efter år, og hvor resultatet stadig giver mening 12 måneder senere. Det er som regel her, processen falder fra hinanden.
Jeres næste vurdering bør være lettere, fordi fundamentet allerede er på plads: Truslerne er vurderet, kritiske aktiver og afhængigheder er kortlagt, risikoappetitten er fastlagt, og tidligere beslutninger er dokumenteret. Den næste vurderingscyklus handler derfor om at undersøge, hvad der har ændret sig – ikke om at bygge vurderingen op fra bunden.
Når I går i gang med en risikoanalyse, er det fristende at kaste jer direkte over systemerne: Hvad kan der gå galt med HR-platformen, CRM-systemet eller filserveren? Det er et naturligt udgangspunkt, men også en af grundene til, at mange risikovurderinger går i stå, før de er gennemført.
Et bedre udgangspunkt er at vurdere truslerne mod organisationen som helhed. For hver trussel – eksempelvis brandskade, cyberhærværk eller menneskelige fejl – vurderer I sandsynligheden, og hvordan truslen kan påvirke fortrolighed, integritet og tilgængelighed.
Tilsammen danner vurderingerne jeres trusselskatalog, som efterfølgende risikoanalyser kan tage udgangspunkt i. Dermed behøver I ikke at begynde med et blankt stykke papir, hver gang et nyt aktiv skal vurderes.
Gør det ikke alene. De organisationer, der får mest ud af processen, involverer de fagpersoner, der reelt kender truslerne. Det kan eksempelvis være en CTO eller andre tekniske specialister til vurderingen af sårbarheder og afdelingsledere eller systemejere til vurderingen af de forretningsmæssige konsekvenser.
Spring kategorier over, som tydeligvis ikke er relevante endnu, men behold dem i kataloget. Når I tager ny teknologi i brug eller ændrer jeres processer, kan de hurtigt blive relevante.
Gevinsten viser sig i år to. Som vores informationssikkerhedsansvarlige udtrykker det:
“Første gang gik vi det hele grundigt igennem. Alle efterfølgende år spørger vi blot: Er der sket ændringer? Er der kommet nye trusler, nye systemer eller nye måder at drive forretningen på? Det gør arbejdet væsentligt lettere.”
Det er hele pointen med et fælles udgangspunkt: Det grundige analysearbejde gennemføres første gang, mens de efterfølgende år primært handler om at identificere og vurdere ændringer.
Når trusselsbilledet er på plads, skal I beslutte, hvilke aktiver der skal vurderes. Det handler om at identificere de systemer og leverandører, som reelt er kritiske for forretningen, de registrerede, hvis personoplysninger I behandler, eller det omkringliggende driftsmiljø.
I behøver ikke medtage hvert eneste aktiv fra begyndelsen. Til en første gennemgang er 10 til 15 kritiske aktiver som regel tilstrækkeligt. Hvis omfanget vokser ukontrolleret undervejs, risikerer risikovurderingen at gå i stå, før den skaber reel værdi.
Det, der ofte bliver overset, er sammenhængen mellem aktiverne. Et system står sjældent alene. Det kan være afhængigt af en leverandør, et netværk eller andre tekniske komponenter, og sikkerheden i de forskellige led hænger sammen.
Et system med et lavt risikoniveau kan derfor stadig være eksponeret, hvis den bagvedliggende leverandør har en dårlig sikkerheds- eller hændelseshistorik. NorthGRC synliggør denne sammenhæng som arvet risiko, så den bliver tydelig i risikobilledet og ikke afhænger af, om nogen kan huske en leverandørsamtale fra halvandet år tidligere.
Det er værd at tage alvorligt. I KPMG’s globale undersøgelse fra 2026 om tredjepartsrisikostyring beskriver kun 18 % af organisationerne deres programmer for tredjepartsrisikostyring som fuldt integreret i den overordnede risikostyring. Samtidig har kun 15 % af de risikoansvarlige høj tillid til de data, programmerne bygger på.
Leverandørrisici, der ligger i et separat regneark ved siden af resten af risikolandskabet, bliver i praksis risici, som ingen har fuldt overblik over.
Kortlægger I afhængighederne grundigt første gang, vil strukturen ofte kunne genbruges. Aktiver og leverandører udskiftes sjældent hvert år, og næste vurderingscyklus handler derfor om at kontrollere, hvad der har ændret sig, frem for at tegne hele landskabet på ny.
I behøver ikke udvikle en struktureret metode til vurdering af trusler, aktiver og risikobehandling fra bunden.
→ Hent den gratis vejledning i risikostyring med ISO 27005
Når I har afgrænset, hvilke aktiver der skal indgå, er næste spørgsmål, hvor grundigt de enkelte aktiver skal vurderes. Selv blandt jeres kritiske aktiver kræver ikke alle den samme analysedybde.
En CIA-baseret vurdering, hvor I vurderer fortrolighed, integritet og tilgængelighed separat, vil ofte være tilstrækkelig for etablerede systemer. En trusselsbaseret vurdering går et skridt videre ved at gennemgå de relevante trusler for det enkelte aktiv og giver et mere detaljeret risikobillede, hvor den ekstra dybde er nødvendig.
Kunsten er at vide, hvilke systemer der kræver den grundige vurdering. Et nyt it-indkøb eller et system, som organisationen er på vej til at blive afhængig af, bør som udgangspunkt gennemgå en trusselsbaseret vurdering, før I træffer den endelige beslutning.
Et etableret system, som I har vurderet flere år i træk, behøver ikke nødvendigvis den samme dybde ved hver vurderingscyklus. Her kan det være tilstrækkeligt at gennemgå, hvad der har ændret sig siden den seneste vurdering.
Uanset hvilket niveau I vælger, bør I dokumentere begrundelsen. En kommentar om, hvorfor sandsynligheden er vurderet som lav, eller hvorfor en bestemt sårbarhed øger konsekvensen, er forskellen på en vurdering, der kan genbruges, og en vurdering, ingen kan forklare året efter. Den skriftlige begrundelse gør det samtidig væsentligt lettere at afgøre, hvordan risikoen skal behandles.
Det er under risikoevalueringen, at analyser omsættes til beslutninger. Processen bliver lettere, når kriterierne er fastlagt, før resultaterne kommer ind.
En tydelig risikoappetit gør det muligt automatisk at holde hver vurdering op mod det risikoniveau, som organisationen er villig til at acceptere. Dermed undgår I at diskutere acceptgrænsen på ny for hvert enkelt aktiv.
Acceptkriterierne skal afspejle organisationens egen risikoappetit og kan variere afhængigt af aktivets kritikalitet og typen af konsekvens. Et acceptabelt niveau for et mindre internt værktøj er ikke nødvendigvis acceptabelt for et system, der behandler følsomme personoplysninger eller understøtter en kritisk forretningsproces.
Hvis risikoen overstiger det niveau, organisationen er villig til at tolerere, skal den behandles.
Det er under risikobehandlingen, at planen bliver konkret. Opret en opgave, og placér ansvaret hos en navngiven person, så risikoen bliver fulgt op på efter en fast tidsplan i stedet for at blive glemt indtil næste hændelse.
Når opgaven indgår i organisationens årshjul og planlægning, bliver risikobehandlingen en del af det almindelige arbejde. Samtidig opbygger I den dokumentation, der gør næste års vurdering til et statustjek frem for et nyt projekt.
Hele metoden kan i princippet håndteres i regneark, og det gør mange organisationer også. Forskellen ved at gennemføre processen i en forbundet GRC-platform er, at de forskellige faser ikke længere er separate øvelser, der kun hænger løst sammen gennem en fælles skabelon.
NorthGRC indeholder et indbygget trusselskatalog, som vedligeholdes af erfarne sikkerhedskonsulenter. Det giver jer et ekspertvalideret udgangspunkt, som I kan tilpasse til jeres eget miljø, frem for en tom liste, I selv skal opbygge.
Aktiver og leverandører kan oprettes manuelt, importeres fra Excel eller synkroniseres via API fra eksempelvis jeres CMDB. Når aktiverne er forbundet og vurderet, identificerer og synliggør platformen automatisk arvede risici, så sammenhængene ikke alene afhænger af enkeltpersoners viden.
Det samme risikolandskab kan rumme forretningsmæssige konsekvenser, konsekvenser for registrerede og samfundsmæssige konsekvenser. Dermed kan teams inden for informationssikkerhed, databeskyttelse og operationel teknologi arbejde ud fra ét forbundet risikobillede frem for tre separate siloer.
Opgaver til risikobehandling går direkte videre til planlægningsmodulet med ansvarlige, deadlines og påmindelser. Rapporteringen trækker samtidig på de aktuelle vurderingsdata frem for en statisk eksport.
Den rapport, bestyrelsen ser ved årets afslutning, afspejler derfor det risikobillede, som organisationen faktisk har arbejdet med. Historikken ligger i platformen og er ikke spredt på tværs af indbakker, regneark og enkeltpersoners hukommelse.
En komplet risikocyklus er lettere at forstå, når I ser den i praksis. Book en personlig demo af NorthGRC, og oplev hele processen fra trusselskatalog til bestyrelsesklar rapport.