CISSP Domän 1 2026: Säkerhet och riskhantering i EU-kontext

• CISSP Domän 1 handlar om säkerhet och riskhantering som styrningsfråga, inte som en samling isolerade tekniska kontroller.
• Domänen kopplar samman CIA-triaden, riskbedömning, juridiska krav, etik, säkerhetspolicyer och utbildning.
• I svensk och europeisk kontext blir Domän 1 särskilt relevant genom GDPR, NIS2 och riskbaserade krav på styrning och kontinuitet.
• För CISSP-kandidater är scenariobaserat resonemang viktigare än att memorera definitioner utan sammanhang.

Säkerhet och riskhantering i CISSP Domän 1 är den disciplin som hjälper organisationer att besluta vad som ska skyddas, varför skyddet behövs och vem som äger risken. Domänen utgör den styrande delen av CISSP:s kunskapsområde: tekniska kontroller får sin mening först när de kopplas till affärsmål, lagkrav, riskaptit och ansvar.

Det är också därför området fortsätter att vara affärskritiskt. Gartner uppskattade att globala slutanvändarutgifter för säkerhet och riskhantering skulle nå 215 miljarder USD 2024, vilket speglar hur säkerhetsbeslut har flyttat närmare ledningsnivå. För CISSP Domän 1 är det centrala dock inte utgiftsnivån i sig, utan förmågan att omsätta investeringar till styrbara riskbeslut.

Senast uppdaterad: 2026. Artikeln bygger på allmänt tillgängliga områden i (ISC)² CISSP Exam Outline samt etablerade riskbegrepp från bland annat NIST SP 800-30, ISO/IEC 27005, GDPR och NIS2. Juridiska hänvisningar är beskrivande och ersätter inte juridisk rådgivning.

Vad CISSP Domän 1 omfattar

Certified Information Systems Security Professional, CISSP, är en certifiering från ISC2 för yrkesverksamma inom informationssäkerhet. Certifieringen täcker flera säkerhetsdomäner, där Domän 1 fokuserar på säkerhet och riskhantering. Den behandlar bland annat konfidentialitet, integritet och tillgänglighet, styrning, riskhantering, efterlevnad, etik, policystruktur och säkerhetsmedvetenhet.

En vanlig feltolkning är att Domän 1 främst är ett definitionsområde. I praktiken testar den ofta förmågan att resonera som en säkerhetsledare: vilket beslut passar organisationens mål, riskaptit och ansvarsfördelning? En tekniskt stark kontroll kan vara fel svar om den saknar ägare, bryter mot regulatoriska krav eller inte hanterar den risk som scenariot faktiskt beskriver.

Domänen fungerar därför som en brygga mellan strategi och genomförande. En CISO eller säkerhetsansvarig kan inte nöja sig med att veta att kryptering, säkerhetskopior eller åtkomstkontroller finns. Rollen behöver kunna förklara vilken risk kontrollen reducerar, vilken återstående risk som accepteras och vilken beslutsnivå som har mandat att acceptera den.

CIA-triaden som praktiskt beslutsverktyg

CIA-triaden består av konfidentialitet, integritet och tillgänglighet. Den beskrivs ofta som en grundmodell, men i Domän 1 är poängen att kunna väga dessa mål mot varandra. Alla system kräver inte samma balans, och balansen förändras beroende på verksamhetens syfte, dataflöden och hotbild.

Konfidentialitet handlar om att information endast ska vara tillgänglig för behöriga parter. I praktiken kan detta innebära stark autentisering, rollbaserad åtkomst, kryptering, sekretessklassning och rutiner för hantering av personuppgifter. För organisationer som behandlar känsliga personuppgifter blir kopplingen till GDPR tydlig, särskilt genom principer som dataminimering, inbyggt dataskydd och åtkomstbegränsning.

Integritet handlar om att information ska vara korrekt, fullständig och skyddad mot obehörig förändring. Det kan röra sig om loggning, versionshantering, digitala signaturer, datavalidering och separation av arbetsuppgifter. I en finansiell process kan integritet vara viktigare än snabb åtkomst, eftersom felaktiga transaktioner eller manipulerade beslutsunderlag kan skapa större skada än kortvarig nedtid.

Tillgänglighet handlar om att system och information finns tillgängliga när de behövs. Här blir kontinuitetsplanering, redundans, återställningstester och avtalade servicenivåer centrala. För samhällsviktiga eller verksamhetskritiska tjänster kopplas tillgänglighet nära till RTO och RPO, alltså mål för återställningstid och acceptabel dataförlust.

En bra mental bild är att CIA-triaden inte är tre oberoende mål, utan tre prioriteringar som måste hanteras i samma beslut. Ett molnbaserat analysverktyg kan exempelvis ge hög tillgänglighet och snabb innovation, men samtidigt kräva tydligare dataklassning, leverantörsstyrning och kontroller för åtkomst till personuppgifter.

Riskbedömning: från hot till beslutsunderlag

Riskbedömning i Domän 1 handlar om att identifiera vilka tillgångar som är viktiga, vilka hot som kan påverka dem, vilka sårbarheter som finns och vilken konsekvens en incident kan få. NIST SP 800-30 och ISO/IEC 27005 använder olika strukturer och begrepp, men båda betonar att riskbedömning ska ge beslutsunderlag, inte enbart producera en lista med risker.

Ett praktiskt exempel kan vara ett svenskt bolag som flyttar ett kundärendehanteringssystem till en molntjänst. Tillgångarna omfattar kunddata, ärendehistorik, integrationer och driftberoenden. Hoten kan omfatta obehörig åtkomst, felkonfiguration, leverantörsavbrott och bristande spårbarhet. Sårbarheter kan vara svag behörighetsstyrning, otydliga loggkrav och otillräckligt testad återställning.

Denna typ av matris är enkel, men den visar något som ofta saknas i svaga riskbedömningar: varje risk behöver ett beslut, en ägare och ett antagande om återstående risk. Riskägaren bör vara den verksamhetsansvariga som kan acceptera konsekvensen för affärsprocessen, medan säkerhetsfunktionen stödjer med metod, kontrollförslag och uppföljning.

Riskaptit sätts normalt på styrelse- eller ledningsnivå och översätts därefter till policyer, kontrollkrav och eskaleringsregler. Om ledningen exempelvis anger låg aptit för personuppgiftsincidenter behöver detta synas i dataklassning, åtkomstgranskningar, incidentrapportering och leverantörskrav. CISO operationaliserar då ramen, men accepterar inte ensam risker som påverkar verksamhetens mål eller regulatoriska exponering.

En enkel ansvarsfördelning kan beskrivas med RACI. Ledningen är accountable för riskaptit och större riskacceptanser. Verksamhetsägaren är accountable för risker i sin process. Säkerhetsfunktionen är responsible för metod, rådgivning och uppföljning. Juridik, dataskydd, IT-drift och inköp är ofta consulted, medan berörda processägare och användargrupper hålls informed när beslut påverkar arbetssätt.

Riskrespons: undvika, minska, överföra eller acceptera

När en risk har bedömts behöver organisationen välja respons. De klassiska alternativen är att undvika risken genom att avstå från aktiviteten, minska risken med kontroller, överföra delar av risken genom avtal eller försäkring, eller acceptera den inom beslutad riskaptit. I CISSP-sammanhang är det viktigt att förstå att risköverföring sällan flyttar bort ansvar helt; organisationen behåller ofta ansvar för styrning, uppföljning och efterlevnad.

Ett praktiskt beslutsstöd är att börja med lagkrav och kontraktuella trösklar, eftersom vissa risker inte kan accepteras fritt. Därefter prövas risken mot organisationens riskaptit. Sedan vägs kostnad och nytta av kontroller mot konsekvens och sannolikhet. Slutligen dokumenteras återstående risk, riskägare och tidpunkt för omprövning. Den ordningen minskar risken för att ekonomiska argument används för att acceptera risker som egentligen kräver åtgärd.

Två vanliga misstag i riskkvantifiering är att blanda ihop inneboende och återstående risk samt att ge sken av precision med siffror som inte kan stödjas. Belopp, sannolikheter och intervall kan vara användbara, men de bör visa osäkerhet snarare än dölja den. En riskbedömning som anger ett exakt förlustvärde utan antaganden är ofta mindre användbar än en bedömning som anger intervall, drivkrafter och osäkerhetsfaktorer.

EU- och svensk kontext: GDPR, NIS2 och styrning

Domän 1 blir särskilt relevant i europeiska organisationer eftersom flera regelverk bygger på riskbaserad styrning. GDPR kräver exempelvis att personuppgifter skyddas med lämpliga tekniska och organisatoriska åtgärder, och principen om inbyggt dataskydd innebär att integritet behöver beaktas tidigt i processer och systemutveckling. Det passar väl med Domän 1:s fokus på policy, riskbedömning och ansvar.

NIS2 förstärker riskbaserade krav för berörda sektorer och lägger större vikt vid ledningens ansvar, incidenthantering, kontinuitet, leverantörssäkerhet och säkerhetsåtgärder. För en säkerhetsansvarig innebär detta att riskhantering inte kan behandlas som en årlig dokumentövning. Den behöver kopplas till styrning, uppföljning, leverantörskrav, utbildning och incidentförmåga.

I Sverige kompletteras EU-regler av nationella krav och vägledning, exempelvis från MSB för samhällsviktig verksamhet och informationssäkerhetsarbete. CISSP Domän 1 ersätter inte dessa krav, men ger ett språk för att strukturera dem: vilka tillgångar omfattas, vem äger risken, vilka kontroller är proportionerliga och hur följs de upp?

Tredjepartsrisk och molnets delade ansvar

Tredjepartsrisk är ofta underbehandlad när Domän 1 studeras för teoretiskt. I praktiken är leverantörer, molntjänster, SaaS-plattformar och driftpartners en del av organisationens riskprofil. Ett system kan ha stark intern styrning men ändå skapa betydande risk om avtalet saknar krav på loggning, incidentrapportering, datalagring, underleverantörer eller återställning.

Molnets modell för delat ansvar gör detta tydligt. Leverantören ansvarar för vissa delar av infrastrukturen och tjänstens säkerhet, medan kunden ansvarar för exempelvis identiteter, konfiguration, data, åtkomstmodeller och användning. Var gränsen går beror på tjänstemodell och avtal, vilket gör leverantörsstyrning till en riskhanteringsfråga snarare än en ren inköpsfråga.

CIA-prioriteringar påverkas också av molnval. Konfidentialitet kräver kontroll över dataklassning, nyckelhantering och behörighet. Integritet kräver spårbarhet, ändringskontroll och skydd mot felkonfigurationer. Tillgänglighet kräver realistiska RTO- och RPO-mål, testad återställning och förståelse för beroenden mellan tjänster, regioner och integrationer.

Threat modeling i Domän 1

Threat modeling betraktas ofta som teknisk design, men den har en tydlig plats i Domän 1 när den används för att förbättra riskidentifiering. En enkel hotkartläggning före kontrollval kan visa vilka aktörer, angreppsvägar och konsekvenser som är mest relevanta. Det gör riskbedömningen mer konkret än en generell lista över hot.

För ett kundsystem kan hotmodellering exempelvis synliggöra att den största risken inte är ett avancerat intrång, utan felaktiga administratörsrättigheter, osäkra integrationer eller bristande övervakning av massnedladdning. Resultatet blir bättre kontrollval: starkare identitetsstyrning, transaktionsloggning, larm på ovanliga datamönster och tydligare incidentrutiner.

Policyer, standarder, procedurer och riktlinjer

Domän 1 skiljer mellan olika styrdokument eftersom de fyller olika funktioner. En policy uttrycker ledningens krav och riktning. En standard gör kraven mätbara och konsekventa. En procedur beskriver hur något ska göras steg för steg. En riktlinje ger rekommenderad vägledning där viss flexibilitet behövs.

Skillnaden är viktig i verkliga organisationer. Om en policy säger att all känslig information ska skyddas, men standarden saknar klassningsnivåer och proceduren saknar behörighetsflöde, blir kravet svårt att följa. Om riktlinjer används där tvingande standarder behövs skapas otydlighet, särskilt vid revision, incidentutredning eller leverantörsuppföljning.

Ett moget säkerhetsprogram knyter därför ihop dokumenten med riskregistret och kontrollbiblioteket. När en risk förändras bör organisationen kunna se vilka policyer, standarder, procedurer, utbildningar och kontroller som påverkas. Detta är också en praktisk del av kontinuerlig förbättring, inte enbart dokumenthantering.

Etik och professionellt ansvar

CISSP Domän 1 inkluderar etik eftersom säkerhetsbeslut ofta innebär avvägningar mellan affärsnytta, integritet, transparens och skydd. ISC2:s etiska kod betonar professionellt ansvar, laglydnad, omsorg och kompetent agerande. I praktiken innebär det att en säkerhetsprofessionell ska kunna eskalera risker sakligt, undvika intressekonflikter och inte dölja osäkerhet i beslutsunderlag.

Etik är också relevant för examenskandidater. Brain dumps och otillåtna examensfrågor underminerar certifieringens syfte och tränar dessutom fel färdighet. Domän 1 kräver förståelse för resonemang, styrning och konsekvensbedömning; genvägar som bygger på memorering av frågor ger svagt stöd både i examen och i arbetsrollen.

Studera Domän 1 med scenariologik

Den som förbereder sig för CISSP bör läsa Domän 1 med fokus på varför ett svar är rätt i ett styrningssammanhang. Scenariofrågor premierar ofta det alternativ som först klargör ansvar, risk, policy eller affärspåverkan innan en teknisk åtgärd väljs. Det betyder inte att tekniken är oviktig, utan att Domän 1 placerar tekniken i rätt beslutsram.

En effektiv studiemetod är att efter varje ämne kunna förklara tre saker med egna ord: vilket problem begreppet löser, vem som normalt äger beslutet och hur återstående risk hanteras. Detta hjälper kandidater att undvika de vanligaste misstagen: att blanda ihop inneboende och återstående risk, välja kontroll innan riskägare och kravbild är kända, eller bortse från tredjepartsrisk i ett scenario.

Strukturerad utbildning kan vara relevant när en kandidat behöver tempo, handledning och möjlighet att diskutera scenarier snarare än att enbart läsa själv. Readynez erbjuder en CISSP-certifieringsutbildning för den som vill förbereda sig med lärarledd genomgång, men grunden bör alltid vara att förstå domänens logik och kunna tillämpa den i praktiska beslut.

Att omsätta Domän 1 i säkerhetsarbetet

Det mest användbara sättet att se CISSP Domän 1 är som ett språk för ansvarstagande. Den hjälper organisationer att koppla säkerhetsmål till affärsmål, riskaptit, regulatoriska krav och operativa kontroller. När den används väl blir den en modell för bättre beslut, inte enbart ett examensområde.

En praktisk nästa åtgärd är att granska en aktuell risk i den egna organisationen och ställa fyra frågor: är riskägaren tydlig, är responsen kopplad till riskaptit, är återstående risk dokumenterad och omfattar bedömningen relevanta leverantörer eller molnberoenden? Om svaren är otydliga finns ofta ett Domän 1-problem att lösa innan fler tekniska kontroller läggs till.

FAQ

Vilka är huvudområdena i CISSP Domän 1?

Domän 1 omfattar säkerhet och riskhantering, inklusive CIA-triaden, säkerhetsstyrning, riskbedömning, riskrespons, juridiska och regulatoriska frågor, etik, policyer, standarder, procedurer, riktlinjer och säkerhetsmedvetenhet. Den betonar hur dessa delar används för att fatta styrda och riskbaserade beslut.

Hur hänger CISSP Domän 1 ihop med GDPR och NIS2?

Domän 1 ger begrepp och metoder för riskbaserad styrning, vilket passar väl med GDPR:s krav på lämpliga tekniska och organisatoriska åtgärder och NIS2:s fokus på riskhantering, ledningsansvar, incidenthantering och leverantörssäkerhet. Den ersätter inte juridisk analys, men hjälper säkerhets- och riskteam att strukturera arbetet.

Vad är skillnaden mellan inneboende och återstående risk?

Inneboende risk är risken innan kontroller eller riskbehandling beaktas. Återstående risk är den risk som finns kvar efter att kontroller, avtal, processer eller andra åtgärder har införts. I Domän 1 är det viktigt att rätt beslutsnivå accepterar återstående risk, inte en allmänt beskriven ursprungsrisk.

Varför är tredjepartsrisk viktig i Domän 1?

Tredjepartsrisk är viktig eftersom leverantörer, molntjänster och outsourcing kan påverka konfidentialitet, integritet och tillgänglighet. Även om en leverantör driver en tjänst behåller organisationen ofta ansvar för kravställning, uppföljning, dataskydd, incidentrapportering och kontinuitet.

Hur bör man studera CISSP Domän 1 inför examen?

Studier bör fokusera på scenariologik, styrning och riskbeslut. Kandidater bör kunna förklara varför ett visst alternativ passar organisationens riskaptit, ansvarsfördelning och kravbild. Memorering av listor räcker sällan när frågan prövar om kandidaten kan resonera som en säkerhetsledare.