Vad är ett säkerhetsbetyg?
Ett säkerhetsbetyg bedömer en organisations cybersäkerhet utifrån det som vem som helst kan se på internet. Så byggs betygen, så skiljer sig skalorna och här tar de slut.
Av TrustSek-redaktionen · Senast granskad
- Ämne
- Säkerhetsbetyg
- Åtkomst som krävs
- Ingen
- Metod
- Öppet underlag
Ett säkerhetsbetyg är en bedömning utifrån.
Ett säkerhetsbetyg, på engelska security rating och ibland kallat cyberriskpoäng, sammanfattar det som syns av en organisations säkerhet från internet i en siffra eller ett betyg. Det tas fram utan organisationens medverkan: ingen åtkomst till systemen, ingen programvara att installera och inget frågeformulär. Därför är betygen användbara när ni behöver bedöma någon ni inte styr över, som en leverantör, en kund eller ett företag som söker cyberförsäkring.
Eftersom ingen behöver medverka kan ett betyg tas fram i förväg, för många organisationer, och upprepas när det behövs. Baksidan är att det bara ser det som syns utifrån.
Vad som ingår.
Betygen läser samma slags öppna underlag, även om varje leverantör väger dem olika:
- E-postsäkerhet: om SPF, DKIM och DMARC skyddar domänen mot förfalskning. Se e-postsäkerhet.
- Kryptering och webbkonfiguration: certifikat, TLS-versioner, omdirigering till HTTPS och säkerhetsheaders. Se TLS och webbsäkerhet.
- Programversioner: publika tjänster som visar versioner med kända sårbarheter. Se sårbarheter.
- Exponering: subdomäner, öppna portar och förväxlingsbara domäner. Se attackyta.
- Rykte: om domänen eller dess IP-adresser finns på listor över skadlig kod, nätfiske eller botnät. Se domänens rykte.
- Tecken på incidenter: till exempel att organisationen pekas ut på en läcksida för ransomware. Se ransomware.
Skalorna skiljer sig mellan leverantörerna.
Det finns ingen gemensam standard. Så här beskrev leverantörerna sina betyg på sina egna webbplatser den 27 september 2026:
| Skala | Hur siffran byggs upp | |
|---|---|---|
| SecurityScorecard | A till F | Betyg inom tio kategorier, bland annat DNS, IP-rykte och hur snabbt sårbarheter åtgärdas |
| Bitsight | 250 till 900 | Högre siffra betyder starkare resultat; riskvektorer i fyra viktade kategorier |
| UpGuard | 0 till 950, med betyg A till F | Börjar på 950 och tappar poäng för varje kontroll som fallerar, efter allvarlighet och vikt |
| TrustSek | En riskmultiplikator | Varje fynd lägger till risk på en årlig baslinje på 2 %; 1,0× är en domän utan fynd |
En 700 på en skala säger ingenting om ett B på en annan. Jämför därför organisationer på samma skala, och läs vad som ligger bakom siffran. I jämförelserna går vi igenom varje leverantör närmare, med källor.
Vad ett betyg kan visa.
- Säkerhetsarbete som syns utifrån. En saknad DMARC-post, ett utgånget certifikat eller en föråldrad webbserver är fakta, inte åsikter, och ofta just de svagheter som angripare letar efter först.
- Konkreta frågor att ställa. ”Er e-postdomän publicerar ingen DMARC-policy” ger ett snabbare och ärligare svar från en leverantör än en allmän fråga i ett formulär.
- Förändring över tid. Samma bedömning gjord igen efter en åtgärd visar om åtgärden syns utifrån.
- En utgångspunkt när ni inte har något annat. Innan en leverantör har svarat på ett frågeformulär, eller innan försäkringsbolaget frågar, visar betyget vad som redan är öppet.
Vad det inte kan visa.
- Något inne i organisationen. Säkerhetskopiering, incidenthantering, åtkomstkontroll, utbildning och multifaktorautentisering internt syns inte från internet, och det är merparten av vad regelverk som NIS2 och cybersäkerhetslagen och ISO 27001 kräver.
- Bevis på säkerhet. Ett rent resultat betyder att inget synligt hittades. Det bevisar inte att organisationen är säker, och ett dåligt resultat bevisar inte att den har drabbats av intrång.
- Säkert ägarskap. Ett betyg måste avgöra vilka domäner, adresser och tjänster som tillhör organisationen. Delad hosting, molnplattformar och CDN gör det svårare, så kontrollera att varje fynd gäller något organisationen faktiskt driver.
- Vad som händer mellan bedömningarna. Ett betyg beskriver det som syntes när det togs fram.
Så använder ni ett betyg väl.
- Läs fynden, inte bara siffran. En poäng utan fynden bakom går varken att åtgärda eller ifrågasätta.
- Kontrollera underlaget bakom varje fynd. Är tillgången deras, och stämmer fyndet fortfarande i dag?
- Använd betyget för att börja ett samtal, inte för att avsluta det. Fråga leverantören om konkreta fynd, och godta belägg för att ett fynd är fel eller redan åtgärdat.
- Spara det daterade resultatet med bedömningen det stöder, och gör om det när avtalet förnyas eller leverantörens roll ändras.
- Bedöm er själva först. Era kunder, försäkringsbolag och angripare ser samma underlag.
TrustSek visar varje fynd bakom poängen, hur det testades och hur ni åtgärdar det, och markerar underlag som inte gick att samla in som ej kontrollerat i stället för att gissa. I metoden beskriver vi exakt hur fynden blir en poäng.
Se er egen domäns säkerhetsbetyg
Kontrollera er domän, eller en leverantörs, och se varje fynd bakom poängen.