Hvorfor Guardian360 udskifter sin scanningsmotor, og hvorfor "mindre" vil betyde "mere sikkert"

Hvis du har arbejdet med sårbarhedsscannere et stykke tid, kender du mønstret: kør en scanning, få en kæmpe liste, sortér efter alvorlighed, og begynd at jage de røde.

Det virker, indtil det ikke gør.

For virkeligheden i 2026 er denne: sårbarhedsdata eksploderer, angriberadfærd ændrer sig hurtigt, og den knappeste ressource i de fleste it-teams er ikke værktøjer... det er tid.

Derfor foretager Guardian360 to store ændringer i Lighthouse:

1. Vi udskifter vores scanner-arsenal (vores scannings-"maskinrum").
2. Vi introducerer en risikobaseret tilgang, der forbinder tekniske fund med forretningsrisiko, på linje med ISO 27001, NIS2 og andre frameworks.

Og ja: for mange partnere og kunder vil dette rejse et rimeligt spørgsmål:

"Kommer vi til at se færre sårbarheder... og er det egentlig sikkert?"

Lad os pakke "hvorfor" bag disse beslutninger ud, og hvorfor færre, mere relevante fund typisk fører til bedre resultater, bedre indsigt og en langt mere effektiv brug af dyre timer.

1. Hvorfor vi udskifter vores scanner-arsenal

Vi genopbygger fundamentet for at gøre scanning:

• Mere pålidelig (konsistente resultater, færre overraskelser i grænsetilfælde)
• Hurtigere (mindre ventetid, mere løbende synlighed)
• Lettere (mindre fodaftryk og driftsmæssig overhead)

Og der er også en strategisk grund:

At bevæge sig ud over virtuelle maskiner mod en agent

I dag forlader mange scanningsløsninger sig stadig i høj grad på virtuelle maskiner og tunge udrulninger. Vores retning er klar: at muliggøre agentbaserede kapaciteter, så partnere og kunder kan få dækning uden altid at skulle vedligeholde virtuelle appliances som standardtilgang.

Dette er ikke forandring for forandringens skyld. Det handler om at bygge en scanningsplatform, der er klar til den næste fase af Lighthouse: løbende indsigt, lavere driftsmæssig friktion og mere handlingsrettede resultater.

2. Hvorfor vi introducerer en risikobaseret tilgang (og hvorfor den passer bedre til ISO 27001 og NIS2)

De fleste scannere er bygget til at besvare et teknisk spørgsmål:

"Hvor alvorlig er denne sårbarhed?"

Men ISO 27001, NIS2 og moderne sikkerhedsstyring kræver, at du besvarer et andet spørgsmål:

"Så hvad betyder dette for vores organisation, og hvad gør vi først?"

Det skift betyder noget, fordi teknisk alvorlighed alene ikke beskriver forretningsrisiko. Forretningsrisiko afhænger af kontekst: hvor sårbarheden befinder sig, hvad den berører, og hvad der sker, hvis den misbruges.

CIA: den manglende ingrediens i sårbarhedshåndtering baseret kun på alvorlighed

En praktisk måde at gøre den kontekst eksplicit på er den klassiske CIA-triade:

• Fortrolighed (Confidentiality): ville udnyttelse eksponere fortrolige oplysninger (kundedata, IP, legitimationsoplysninger, journaler)?
• Integritet (Integrity): kunne udnyttelse tillade manipulation (ændring af data, manipulation af transaktioner, ændring af konfigurationer, forgiftning af logs)?
• Tilgængelighed (Availability): kunne udnyttelse forårsage nedetid eller forstyrrelse (ransomware-effekt, serviceafbrydelse, produktionsstop)?

Med andre ord: den samme CVE kan betyde meget forskellige ting afhængigt af aktivets CIA-profil.

Eksempel: samme sårbarhed, forskellig forretningsrisiko

En sårbarhed med "høj alvorlighed" på en testserver med lav værdi kan være irriterende, men ikke forretningstruende.

Præcis den samme sårbarhed på:

• et system, der behandler lønudbetaling (integritet),
• en kundeportal med personoplysninger (fortrolighed),
• eller en hospitalskritisk applikation (tilgængelighed),

...er pludselig en væsentlig forretningsrisiko.

 Så i stedet for at behandle hvert fund som lige og sortere udelukkende efter CVSS spørger en risikobaseret tilgang:

• Hvilket aktiv er berørt?
• Hvor kritisk er det aktiv for fortrolighed, integritet og tilgængelighed?
• Er det tilgængeligt / udnytteligt i dette miljø?
• Hvad er den reelle indvirkning, hvis det misbruges?
• Hvad er den mest effektive næste handling?

Hvorfor dette passer bedre til ISO 27001 og NIS2

ISO 27001 er ikke en "saml alle sårbarheder"-standard. Den handler om at drive et ISMS, der identificerer, vurderer og behandler risiko på en kontrolleret, gentagelig måde. En risikobaseret tilgang understøtter det direkte: du kan vise hvorfor du prioriterede noget, hvad du gjorde, og hvordan det reducerede risiko.

NIS2 skubber organisationer mod målbar modstandsdygtighed og ansvarlig risikohåndtering, ikke blot teknisk output. En risikobaseret tilgang hjælper partnere og kunder med at kommunikere i forretningstermer, fordi bestyrelser og revisorer ikke vil have "vi havde 8.000 fund", de vil have "vi reducerede risikoen for kritiske tjenester".

Resultatet: bedre beslutninger, bedre dokumentation, mindre spildt indsats

Ved at knytte fund til CIA og forretningskontekst kan Lighthouse skifte fra:

• "Her er en skræmmende liste"

til:

• "Her er de problemer, der truer det, du faktisk går op i, og her er den klogeste rækkefølge at rette dem i."

Det er kernen i den risikobaserede tilgang: ikke færre kontroller, men bedre prioritering og stærkere styring.

3. Den ubehagelige sandhed: ikke hver CVE betyder noget for dit miljø

Her er den del, der ofte går tabt i sårbarhedshåndtering: CVE-universet er enormt, og det meste af det vil aldrig betyde noget for dit specifikke kundemiljø.

• National Vulnerability Database (NVD) opregner hundredtusindvis af CVE'er (over 326.000 på skrivetidspunktet)( https://nvd.nist.gov/general/nvd-dashboard).
• Imens indeholder CISA's Known Exploited Vulnerabilities (KEV)-katalog, en praktisk "dette udnyttes aktivt i naturen"-reference, omkring 1.484 poster (rapportering ved udgangen af 2025)( https://www.securityweek.com/cisa-kev-catalog-expanded-20-in-2025-topping-1480-entries).

Den kontrast betyder ikke "ignorér alt andet". Den betyder:

Alvorlighed er ikke det samme som risiko

En CVSS-score fortæller dig, hvor slemt noget kunne være under visse antagelser. Den fortæller dig ikke, hvor sandsynligt det er at blive udnyttet i de kommende dage eller uger.

Derfor findes modeller som EPSS: for at estimere udnyttelsessandsynlighed baseret på observerede signaler og mønstre. FIRST's EPSS-dokumentation illustrerer, hvordan udnyttelsesaktivitet har tendens til at koncentrere sig i en lille delmængde af offentliggjorte CVE'er (deres eksempel viser ~2,7 % med observeret udnyttelsesaktivitet i et vindue på 30 dage)( https://www.first.org/epss/model).

Og trusselsrapportering viser fortsat, at udnyttelse er en vigtig vektor for indledende adgang, men igen koncentreret der, hvor angribere får det bedste afkast. Verizons DBIR fra 2025 fremhæver udnyttelse af sårbarheder som en førende brudvektor (20 %) og noterer en betydelig stigning år for år (https://www.verizon.com/about/news/2025-data-breach-investigations-report).

Så ja: sårbarheder betyder noget. Men ikke lige meget, og ikke alle på én gang.

4. Hvorfor "færre sårbarheder" kan føre til bedre sikkerhedsresultater

En massiv liste af fund skaber tre forudsigelige problemer:

1) Støj begraver signal

Når alt ser presserende ud, er intet presserende. Teams brænder cyklusser af på at triagere elementer, der er teknisk gyldige, men praktisk talt irrelevante.

2) Tiden bruges på det, der er let, ikke det, der er risikabelt

Uden forretningskontekst bliver udbedring en popularitetskonkurrence i patching: "højeste CVSS først", selv om det berørte system er ikke-kritisk eller utilgængeligt.

3) Rapportering bliver performativ

Du ender med at bevise, at du arbejdede hårdt, i stedet for at bevise, at du reducerede risiko.

En risikobaseret tilgang vender dette om:

• Fokusér på det, der er udnytteligt, tilgængeligt og væsentligt
• Knyt fund til forretningsindvirkning
• Gør udbedring målbar, forklarlig og reviderbar

 Sådan gør du sårbarhedshåndtering bæredygtig, ikke heroisk.

5. Hvad partnere kan forvente i Lighthouse

Med det nye scanningsfundament og den risikobaserede tilgang får partnere:

• Bedre indsigt i forretningsrisiko (ud over tekniske alvorlighedsniveauer)
• Mere relevante scanningsresultater, hvilket reducerer spildt indsats
• Mere effektiv udbedring, fordi handlinger prioriteres efter reel risiko og forretningskontekst
• Stærkere compliance-dokumentation, fordi beslutninger og handlinger kan forklares og knyttes til styringskrav

Sådan giver vi praktisk mening til vores mission:

"Digital styring og modstandsdygtighed inden for rækkevidde."

Og vores vision:

"At give beslutningstagere indsigt til at sikre, overholde og optimere deres forretning."

6. Konklusionen

Vi sigter ikke mod at vise flere fund.

Vi sigter mod at vise de rigtige fund, på det rigtige tidspunkt, i den rigtige kontekst, så partnere og kunder kan bruge deres begrænsede tid der, hvor den reducerer risiko mest.

Hvis du er vant til scannere, der stolt viser "10.000 problemer fundet", kan dette skift føles kontraintuitivt i starten.

Men i praksis er mindre støj + mere relevans = bedre indsigt + hurtigere risikoreduktion.

Og det er præcis der, Lighthouse er på vej hen.