Ordlista

Att mäta

Ramverk: en standard eller ett regelverk som en bedömning görs mot: NIS2, ISO 27001, CIS och andra. Väljaren i plattformen visar vilka som är tillgängliga för er; listan växer.

Frågebibliotek: uppsättningen frågor bakom ett ramverk. Bibliotek kan följa med plattformen eller tas med av en partner. Vilket bibliotek ni svarar på avgör hur många frågor det finns, hur nivåerna är formulerade, och om varje åtgärd efterfrågas en eller två gånger.

Mognadsbedömning: en genomgång av ett bibliotek, som ger poäng, en rapport och underlag till er handlingsplan. En organisation kan göra flera, mot olika ramverk eller vid olika tillfällen.

Kategori: ett avsnitt av bedömningen, som Organisation, Riskhantering eller Kontinuitet. Kategorier är det rapporten poängsätter och det sidomenyn följer medan ni svarar.

Åtgärd: ett enskilt krav, besvarat av en fråga. Också arbetsenheten i handlingsplanen, och det är där ordet gör dubbel tjänst: en åtgärd är både något som mäts och något som görs.

Uppgift: ett steg inuti en åtgärd. Att slutföra en åtgärd är att slutföra dess uppgifter. (Ordet “delmoment” förekommer i exporterad data och i innehållsflödet; i produkten är en uppgift en uppgift.)

Policy: det organisationen formellt har beslutat och skrivit ned.

Praktik: det som faktiskt sker i vardagen.

Nivå: var ett svar hamnar på den femgradiga mognadsskalan. Se Mognadsskalan.

Ej tillämplig: en åtgärd som inte gäller er organisation, borttagen ur poängen i stället för satt till noll.

Underlag: dokument kopplade till ett svar eller en uppgift, som styrker den nivå som anges.

Att rapportera

Rapport: det en bedömning gav, så som det såg ut i det ögonblick rapporten genererades. Den rör sig inte i takt med att ni arbetar.

Sammanfattning: rapportens korta version, för dem som beslutar.

Detaljerade resultat: rapportens långa version, för dem som agerar.

Observation: något bedömningen fann i en kategori.

Rekommendation: vad rapporten föreslår att ni gör åt ett fynd. Ett förslag, inte arbete ni åtagit er.

Godtagbar: det fasta golvet på nivå 3. Under det behöver kategorin arbetas med.

Målnivå: den nivå en kategori förväntas nå, satt av frågebiblioteket. Kan ligga högre än golvet, och kan saknas helt. I rapportens diagram står det ofta bara Mål. Det är målnivån som avses, inte ett mål i handlingsplanen.

Täckning: vad en bedömning nådde och inte nådde. Rapporten namnger de mål som ingen fråga berörde, så att dess tystnad inte misstas för ett rent papper.

Inaktuell rapport: en rapport vars bedömning har ändrats sedan den genererades. Generera om den för att föra ihop de två igen.

Att agera

Handlingsplan: där rekommendationer blir arbete med ansvariga, datum och framsteg. En plan per organisation, som bygger på alla slutförda bedömningar.

Mål: en grupp åtgärder som hör ihop, och den enhet ni fattar beslut om: ni tar in ett måls åtgärder i planen, inte enskilda rekommendationer en och en. (I rapporten betyder Mål i stället målnivå, se ovan.)

I handlingsplanen: arbete ni har åtagit er. Följ det som är i rörelse.

Ej planerade: identifierat arbete ni inte har åtagit er. Bestäm vad ni ska ta er an. Det betyder varken avvisat eller bortglömt.

Ansvarig: den person som svarar för en åtgärd. Ett namn, inte ett team.

Uppgiven: en uppgift markerad som klar utan underlag. Den säger att någon har uppgett det; det är inte synonymt med klar. Observera att det är en uppgiftsstatus. Det har ingenting med vem som genomförde bedömningen att göra.

Riskscenario: en beskriven exponering, med sannolikhet, konsekvens och ett behandlingsbeslut. Hör hemma i riskregistret, inte i handlingsplanen. En åtgärd är något ni gör; ett riskscenario är något som kan drabba er.

Vem som arbetar

Självskattning: era egna medarbetare svarar på frågorna.

Extern granskning: en partnerkonsult svarar åt er, efter att ha granskat underlagen. Ni kan följa arbetet medan det pågår; konsultens interna anteckningar stannar hos konsulten.

De tre orden

Tre ord bär strukturen, och de ligger inuti varandra:

Svenska	Engelska
uppgift	Task	ett steg inuti en åtgärd
åtgärd	Control	ett krav ni arbetar med, som består av uppgifter
handlingsplan	Action Plan	där de åtgärder ni åtagit er ligger

Ni arbetar alltså med en åtgärd, som består av uppgifter, inuti en handlingsplan.

Åtgärdsplan används inte. Det läses som “planen över åtgärder” och lägger därmed ihop den yttre nivån med den mellersta, precis den skillnad de tre orden finns till för att hålla isär. I tal blandas de ofta ihop; i produkten och i den här dokumentationen heter planen handlingsplan.