Kontroller kort fortalt

Hvad er kontroller?

Kontroller er de konkrete håndtag, risici sænkes med – for eksempel MFA, regelmæssige backups, klare adgangsrettigheder, kryptering eller overvågning. De er sikkerhed omsat til praksis: hvor Risikostyring beskriver, hvad der skal beskyttes, svarer kontrollerne på, hvordan det sker. Begrebet kommer fra de internationale standarder; i databeskyttelsesretten taler man om det samme som Tekniske og organisatoriske foranstaltninger.

Typer af kontroller

• Forebyggende: forhindrer hændelser (f.eks. adgangsstyring, kryptering, MFA).
• Opdagende: gør hændelser synlige (f.eks. overvågning, logning, alarmering).
• Reagerende: begrænser skaden (f.eks. backups, Hændelsesrespons, beredskabsplaner).

Kontroller, artikel 32-foranstaltninger og standarder

Bilag A til ISO/IEC 27001 opregner 93 anerkendte kontroller i fire temaområder (organisatoriske, personorienterede, fysiske, teknologiske) – et internationalt gennemprøvet pejlemærke, som også passer til NIS2. Som supplement beskriver den tyske standard IT-Grundschutz egnede foranstaltninger alt efter beskyttelsesbehov. Indholdsmæssigt er kontrollerne stort set sammenfaldende med de tekniske og organisatoriske foranstaltninger efter artikel 32 i GDPR – kun ordvalget er forskelligt. GDPR er en EU-forordning og gælder umiddelbart i alle medlemsstater.

Kontroller og risikostyring

Kontroller vælges ikke tilfældigt, men systematisk ud fra jeres risikoanalyse : til hver relevant risiko den passende foranstaltning – hverken mere eller mindre. Netop den risikobaserede tilgang kræver NIS2, der i Danmark er gennemført med NIS 2-loven i kraft siden den 1. juli 2025. Konkret: En mellemstor netbutik erkender i risikoanalysen, at kompromitterede administratoradgange er dens største risiko. Som forebyggende kontroller indfører den MFA på alle administrationskonti, begrænser administratorrettigheder til få personer efter princippet om mindst mulig rettighed og krypterer de tilhørende databaser. Som supplement bruger den opdagende kontroller: logins logges, og usædvanlige adgange meldes automatisk. Til det alvorlige tilfælde ligger regelmæssigt testede backups og en klar beredskabsplan klar som reagerende foranstaltning. Hver enkelt foranstaltning er dokumenteret, knyttet til en ansvarlig person og en konkret risiko og forsynet med en dato for næste eftersyn. Dermed kan I over for den myndighed, der fører tilsyn med jeres sektor, dokumentere, at beskyttelsen er passende, og at NIS2-direktivets krav om risikobaseret sikkerhedsstyring er opfyldt.

Læs mere: ISO/IEC 27001 (ledelsessystemer for informationssikkerhed)