Cyberdeklaration

Metod

Så nära rör vi oss, och exakt vad vi gör.

Allt standardarbete samlas in utifrån på två kontaktnivåer. En tredje finns, men bara med skriftligt uppdrag. Här står varje kontroll, vilket verktyg som används och vad verktygen inte ser.

Externa observationer är kopplade till 18 av föreskriftens 57 kravparagrafer i 2 till 6 kap. Interna krav behöver kompletterande underlag. De 39 andra deklarerar ni själva i del två, och dem skriver vi inte under.

Register utan koppling, en fråga fram och tillbaka, och en aktiv kontroll som stoppas vid en röd gräns

Tre kontaktnivåer

Så nära rör vi oss

  1. 01

    Nivå 0, ingen kontakt

    Uppslag i databaser och register som redan innehåller bilden av er. Shodan, Censys, CT-loggar, läckdatabaser, RDAP, Bolagsverket och upphandlingar. Era system förblir orörda.
  2. 02

    Nivå 1, standardfrågor

    Samma frågor som vilken webbläsare eller e-postserver som helst ställer. DNS-uppslag, en TLS-handskakning, hämtning av startsidan och ett par kända adresser som security.txt. Kontakten begränsas till dessa standardfrågor.
  3. 03

    Nivå 2, aktiv kontroll

    Sårbarhetsskanning och portskanning. Ingår aldrig i standardnivåerna och görs endast med skriftligt uppdrag och en plan för driftpåverkan.

Allt standardarbete sker på nivå 0 och 1. Nivå 2 görs aldrig utan skriftligt uppdrag.

Del A, kontroll för kontroll

  • Rekvisit
    4 kap 26 § DNSSEC
    Kontroll
    Signering och giltig kedja för alla domäner
    Verktyg
    Zonemaster, DNS över HTTPS med AD-flagga, DNSViz
    Nivå
    Nivå 1
  • Rekvisit
    4 kap 25 § kryptering vid överföring
    Kontroll
    TLS-versioner, chiffer, certifikatkedja, HSTS, omdirigering till https, STARTTLS på MX, MTA-STS
    Verktyg
    testssl.sh, httpx, STARTTLS-fråga, DNS över HTTPS
    Nivå
    Nivå 1
  • Rekvisit
    4 kap 25 § allmänt råd nyckelhantering
    Kontroll
    Utgångna och självsignerade certifikat, svaga nycklar, okända utfärdare
    Verktyg
    crt.sh, testssl.sh
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 19 § verifierbar identitet
    Kontroll
    SPF, DMARC-policy, DKIM, webbcertifikat, publik sida om verifiering
    Verktyg
    DNS över HTTPS, checkdmarc, httpx
    Nivå
    Nivå 1
  • Rekvisit
    4 kap 13 § säkerhetskonfigurering
    Kontroll
    Exponerade tjänster utan behov, adminpaneler, standardsidor, banners, säkerhetshuvuden
    Verktyg
    Shodan, Censys, httpx, Wappalyzer
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 11 § segmentering
    Kontroll
    OT-protokoll mot internet, administration på samma publika adress som externa tjänster
    Verktyg
    Shodan och Censys mot organisationens IP-block från RIPEstat
    Nivå
    Nivå 0
  • Rekvisit
    4 kap 27 § p 1 och 2 samt 31 § säkerhetsuppdateringar
    Kontroll
    Versioner mot CVE, CISA KEV och EPSS, tid sedan rättning
    Verktyg
    Shodan, Censys, httpx, Wappalyzer, NVD
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 31 § utfasad mjukvara
    Kontroll
    Versioner utan säkerhetsstöd
    Verktyg
    Samma banners mot endoflife.date
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 17 § flerfaktor vid extern åtkomst
    Kontroll
    Exponerade VPN, RDP-gateway, Citrix och OWA, synligt flöde till identitetsleverantör
    Verktyg
    Shodan, Censys, httpx
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 14 till 16 §§ autentiseringsuppgifter
    Kontroll
    Läckta konton, stealer-loggar, hemligheter i publika repon, exponerade konfigurationsfiler
    Verktyg
    HIBP domänsökning, Hudson Rock, trufflehog, gitleaks, GitHub-sökning
    Nivå
    Nivå 0
  • Rekvisit
    3 kap 17 § allmänt råd sårbarhetsrapportering
    Kontroll
    security.txt och publicerad policy
    Verktyg
    httpx mot .well-known
    Nivå
    Nivå 1
  • Rekvisit
    4 kap 8 och 9 §§ förteckning över digital miljö
    Kontroll
    Observerad tillgångsbild mot er egen förteckning, hängande DNS-poster
    Verktyg
    subfinder, amass i passivt läge, crt.sh, SecurityTrails, DNS över HTTPS
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 13 § p 2 och 25 § exponerad lagring
    Kontroll
    Publikt listbara behållare och kataloger, endast förekomst
    Verktyg
    GrayhatWarfare, uppslag mot molnleverantören, httpx
    Nivå
    Nivå 0 och 1
  • Rekvisit
    3 kap 15 § p 2 redundans
    Kontroll
    Antal och spridning av namnservrar, MX-redundans, koncentration till ett ASN
    Verktyg
    Zonemaster, DNS över HTTPS, RIPEstat
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 1 och 2 §§ digitala leveranskedjor
    Kontroll
    DNS-, e-post-, hosting-, CDN- och identitetsleverantör, tredjepartsskript, SPF-includes
    Verktyg
    DNS över HTTPS, httpx, Wappalyzer, BuiltWith, SecurityTrails
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 9 § och 3 kap 15 § domänhygien
    Kontroll
    Transferlås, utgångsdatum, registrant, zonfel
    Verktyg
    RDAP, Zonemaster
    Nivå
    Nivå 0 och 1
  • Rekvisit
    4 kap 24 § skydd mot skadlig kod
    Kontroll
    Blocklistor och publika indikationer på kompromettering
    Verktyg
    Google Safe Browsing, Spamhaus, VirusTotal, ransomware.live
    Nivå
    Nivå 0

Del B, verktyg per lager

  • Lager
    01 Infrastruktur
    Verktyg
    Shodan, Censys, RIPEstat, analys av publik app
  • Lager
    02 Kod
    Verktyg
    GitHub- och GitLab-sökning, trufflehog, gitleaks, Docker Hub, npm och PyPI
  • Lager
    03 Läckor
    Verktyg
    HIBP, Hudson Rock, IntelX, ransomware.live
  • Lager
    04 Människor
    Verktyg
    LinkedIn, theHarvester, SpiderFoot, alltid aggregerat
  • Lager
    05 Organisation
    Verktyg
    Bolagsverket, allabolag, årsredovisningar, ExifTool på publika dokument
  • Lager
    06 Upphandlingar
    Verktyg
    Mercell, e-Avrop, TED, Kommers, Platsbanken, LinkedIn Jobs, kommunala diarier
  • Lager
    07 Leverantörskedja
    Verktyg
    DNS, httpx, Wappalyzer, BuiltWith, SecurityTrails
  • Lager
    08 Varumärke
    Verktyg
    dnstwist, crt.sh, appbutiker
  • Lager
    09 Fysiskt och historik
    Verktyg
    Wayback, Street View, WiGLE, nyhetsarkiv
Nio ringar runt en byggnad, det sjätte lagret framhävt

Tillval med skriftligt uppdrag, nivå 2

Aktiv teknisk kontroll. Ingår aldrig i standardnivåerna.

Omfång
Sårbarhetsmallar med nuclei och portskanning med nmap mot värdar och IP-block som ni skriftligt pekat ut, samt skärmbilder av alla funna värdar.
Förutsättningar
Skriftligt uppdrag, namngiven kontaktperson, överenskommet tidsfönster, plan för att avbryta och bedömning av driftpåverkan. Vi följer samma modell som MCFFS 2026:12 3 kap 8 § anger för tillsynens egen skanning.
Leverans
Resultatet redovisas i samma protokollformat som Del A, i en separat bilaga märkt aktiv kontroll, så att passiv och aktiv evidens aldrig blandas.

Vad varje nivå innehåller och kostar står under Priser.

Kontrollkatalogen anger utfall och styrka per rad. Kontrollkatalogen