Ett kontrollramverk är en strukturerad samling säkerhetsåtgärder eller mål som ni använder för att välja, genomföra och följa upp skydd. ISO 27001, CIS Controls och NIST CSF ger olika stöd: krav på ett ledningssystem, konkreta åtgärder respektive mål för riskhanteringen.
Välj utifrån era risker, kundkrav och resurser. Ett ramverk hjälper er att strukturera arbetet, men ersätter inte bedömningen av era risker eller rättsliga skyldigheter.
Vad är en säkerhetskontroll?
Ett ramverk består av kontroller. En kontroll är en åtgärd som minskar risken för att något oönskat händer eller begränsar skadan. Åtgärden kan vara teknisk, ingå i era rutiner eller ge ett fysiskt skydd.
För ett fullgott försvar krävs en balans mellan tre kategorier:
- Preventiva (Förebyggande): Dessa är din första försvarslinje. Syftet är att stoppa incidenten innan den ens påbörjas.
- Tekniska exempel: MFA (multifaktorautentisering), strikta brandväggsregler, kryptering av lagrade data.
- Administrativa exempel: Bakgrundskontroller vid nyanställning, säkerhetsutbildning för anställda.
- Detektiva (Upptäckande): Eftersom inget försvar är 100-procentigt måste du veta när någon tagit sig förbi. Dessa kontroller larmar när något avviker.
- Exempel: SIEM-system (Security Information and Event Management) som analyserar loggar, intrångsdetektering (IDS) och regelbundna sårbarhetsskanningar.
- Korrigerande (Åtgärdande): När en incident är ett faktum avgör dessa kontroller hur snabbt ni är tillbaka i drift.
- Exempel: Testade backuper, en uppdaterad incidentresponsplan (IRP) och redundanta system (disaster recovery).
Ett effektivt kontrollramverk ser till att du har ett "Defense in Depth" – ett försvar i flera lager där en missad kontroll fångas upp av nästa.
Kopplingen till riskhantering
Ett vanligt misstag är att försöka implementera alla 93 kontroller i ISO 27001 utan att reflektera över deras relevans. Detta leder till onödig komplexitet och höga kostnader. Kontroller utan koppling till faktiska risker blir bara "säkerhetsteater".
Processen måste vara riskbaserad:
- Identifiera tillgångar och hot: Vilka är våra "kronjuveler" (kunddata, källkod, tillgänglighet)? Vilka hot är mest relevanta för oss just nu?
- Värdera risker: En risk är en kombination av sannolikhet och konsekvens. Väg in följdskador, avbrott och rättsliga skyldigheter, inte bara tillgångens inköpspris.
- Val av kontroller: Välj åtgärder som hanterar de identifierade riskerna och möter tillämpliga lag- och avtalskrav. Bedöm effekt, kostnad och genomförbarhet, och dokumentera varför åtgärden valts.
Exempel: från risk till kontroll som går att testa
Anta att ett tidigare leverantörskonto fortfarande kan administrera ert ordersystem. Risken är att någon använder kontot för att läsa eller ändra order efter att uppdraget avslutats.
| Del | Exempel på dokumentation |
|---|---|
| Kontrollmål | Endast leverantörspersonal med ett aktivt uppdrag får administrativ åtkomst |
| Åtgärd | Personliga konton, godkända behörigheter och avveckling när uppdrag avslutas |
| Ansvar | Systemägaren godkänner åtkomst; IT genomför och dokumenterar ändringen |
| Underlag | Aktuell kontolista och dokumenterade godkännanden |
| Test av effekt | Jämför konton med aktiva uppdrag och kontrollera att avslutade konton inte kan logga in |
En policy om att stänga konton beskriver avsikten. Kontolistan och testet visar om rutinen fungerar. Om ett konto saknar godkännande behöver ni hantera bristen och undersöka varför processen missade det. Bedöm också den kvarstående risken efter åtgärden.
Knyt kontrollen till relevanta krav och risker i ert valda ramverk. För ISO 27001 dokumenteras kontrollvalen i tillämplighetsförklaringen (SoA); en mappning till ett kontrollnummer ersätter inte genomförande och uppföljning.
Kontrollramverk i leverantörskedjan
Er säkerhet är aldrig starkare än den svagaste länken i leverantörskedjan. Kontrollramverk fungerar här som ett universellt språk mellan köpare och säljare.
- Standardiserad kravställning: Genom att utgå från ett ramverk undviker du att skicka egna, unika frågeformulär till varje leverantör. Du kan istället fråga: "Beskriv hur ni mappar era kontroller mot CIS Controls IG1".
- Mognadsmätning: Gemensamma frågor gör svaren lättare att jämföra, men poäng är inte ett objektivt mått på risk. Kontrollera vilket underlag svaren bygger på och om certifieringens omfattning täcker tjänsten ni köper.
- Mappning mellan ramverk: Om ni använder NIST CSF men leverantören är ISO 27001-certifierad kan mappningstabeller visa överlappande områden. De bevisar inte att era krav är uppfyllda; kontrollera certifikatets omfattning och kompletterande underlag.
Jämförelse av vanliga ramverk
Att välja ramverk handlar om att hitta rätt balans mellan ambitionsnivå och resurser.
Be kunden precisera om kravet gäller ett certifikat, en revisionsrapport eller vissa säkerhetsåtgärder. ISO 27001-certifiering och en SOC 2-rapport är olika underlag. Kundens land avgör inte ensamt vilket som behövs. Läs också vår jämförelse av CIS Controls v8.1 och ISO 27001 om ni vill kombinera styrning med praktiska åtgärder.
| Ramverk | Filosofi | Antal kontroller | Passar bäst för |
|---|---|---|---|
| ISO 27001 | Processorienterat | 93 (Bilaga A) | Organisationer som behöver en internationell kvalitetsstämpel och ska delta i offentliga upphandlingar. |
| CIS Controls v8.1 | Praktiska säkerhetsåtgärder | 18 kontroller med 153 skyddsåtgärder, prioriterade i 3 implementationsgrupper | IT-intensiva bolag som vill prioritera de mest kritiska tekniska åtgärderna snabbt. |
| NIST CSF 2.0 (2024) | Riskorienterat | 6 funktioner, 106 underkategorier | Organisationer som vill ha ett flexibelt ramverk för att kommunicera risk till styrelse och ledning. |
| SOC 2 | Revisionsrapport utifrån valda kriterier | 5 kategorier av Trust Services Criteria | SaaS-bolag som hanterar kunddata och säljer mot den amerikanska marknaden eller finanssektorn. |
Så implementerar du ett kontrollramverk
Att välja ett ramverk är bara början. Den verkliga utmaningen ligger i att integrera kontrollerna i verksamhetens dagliga drift utan att skapa onödig friktion. Här är en beprövad metod för att gå från teori till en säkrare vardag:
- Förankring och omfattning (scope): Utan ledningens stöd och en uttalad budget kommer arbetet att avstanna. Definiera också vad som ska täckas: Är det hela bolaget eller bara den kundvända molnplattformen? En tydlig omfattning gör det lättare att nå mätbara resultat snabbt.
- Gap-analys (nulägesanalys): Gör en ärlig genomgång av ramverket. Vad har vi på plats idag? Vad saknas helt? Och viktigast: Vilka kontroller utför vi bara "ibland"? Gap-analysen blir din roadmap och visar var du får störst effekt för varje investerad timme.
- Skapa policyer och rutiner: Inom säkerhet räknas bara det som går att verifiera. En policy lägger fast ledningens vilja (vad som ska göras), medan en rutin beskriver det praktiska utförandet (hur). Håll det kort och användarvänligt – dokument som ingen läser ger ingen säkerhet.
- Implementera och automatisera: Rulla ut tekniska inställningar och organisatoriska förändringar. Automatisera kontroller där det är möjligt (t.ex. rättighetshantering och logganalys) för att minska beroendet av manuella processer och den mänskliga faktorn.
- Granska och förbättra: Säkerhet är en process, inte ett projekt. Genomför regelbundna internrevisioner för att verifiera att kontrollerna faktiskt fungerar och fortfarande är relevanta. Justera löpande när hoten och verksamheten utvecklas.
Vill du följa upp risker och säkerhetsåtgärder? ChainSecs GRC-stöd samlar risker, åtgärder och underlag. För leverantörer finns säkerhetsbedömningar med NIS2- och ISO 27001-fokus. NIS2-kravkatalogen kan stödja ert interna arbete med krav; ni ansvarar för bedömningen och genomförandet. Boka en demo för att se hur arbetet kan dokumenteras.
Läs ramverkens egna beskrivningar hos ISO, NIST och CIS Controls v8.1.
Vanliga frågor
Vilket kontrollramverk ska min organisation välja?
Utgå från risker och kundernas konkreta krav. ISO 27001 passar när ni behöver ett certifierbart ledningssystem. CIS Controls ger prioriterade säkerhetsåtgärder och NIST CSF hjälper er beskriva nuläge och mål för riskhanteringen. SOC 2 är relevant när kunden efterfrågar en sådan revisionsrapport. Ramverken kan kombineras.
Måste vi implementera alla kontroller i ett ramverk?
Inte alltid. Utgå från risker, lagkrav och avtalskrav. För ISO 27001 ska ni motivera val och uteslutningar i tillämplighetsförklaringen; standardens krav på ledningssystemet kan inte väljas bort på samma sätt som kontroller i bilaga A.
Hur ofta bör vi se över våra kontroller?
Bestäm intervall utifrån kontrollens syfte, riskerna och tillämpliga krav. Se också över kontroller vid incidenter, större systemändringar och nya leverantörsberoenden. Dokumentera vem som följer upp, vilket test som görs och hur brister hanteras; ett gemensamt årsintervall passar inte alla kontroller.
