Nessus, Tenable Vulnerability Management eller Tenable One, hva passer virksomheten din

Nessus, Tenable Vulnerability Management eller Tenable One. Slik velger dere, uten markedsføringsspråk.

Tenable selger tre produkter som ser like ut utenfra og er svært ulike under panseret. Vi ser norske IT-sjefer og økonomidirektører kjøpe feil variant et par ganger i året. Enten betaler de for en plattform de ikke kommer til å bruke, eller så betaler de for en skanner som ikke kan svare på spørsmålene styret nå stiller. Denne guiden er samtalen vi tar med dem før kontrakten skrives under.

De tre alternativene i kortform

• Nessus er en sårbarhetsskanner. Dere installerer den, peker den mot nettverket, og den forteller hvilke ressurser som har kjente sårbarheter. Passer best når én person drifter IT, skanningene er periodiske, og rapportene forlater verktøyet som PDF-er.
• Tenable Vulnerability Management er den samme skannemotoren levert som en SaaS-plattform, med rollebasert tilgang, dashbord og et bevisspor på tvers av lokasjoner og team. Passer best når flere enn én ser på resultatene, dere har flere kontorer eller forretningsenheter, eller en revisor ber om dokumentasjon.
• Tenable One er en eksponeringshåndteringsplattform. Den inneholder Vulnerability Management-modulen og legger til webapplikasjoner, identitetseksponering (i hovedsak Active Directory), sky, ekstern angrepsflate, OT og AI-bruk i ett felles bilde. Passer best når risikobildet har beveget seg utenfor servere og bærbare maskiner.

Hva Nessus gjør, og hva den ikke gjør

Nessus skanner etter kjente sårbarheter og feilkonfigurasjoner på IT-ressurser. Dagens SKU-er er Nessus Essentials (gratis, 5 IP-er), Nessus Professional (4 790 USD per år, ubegrenset antall IT-vurderinger) og Nessus Expert (legger til skanning av webapplikasjoner og ekstern angrepsflate for én analytiker). Begge betalte utgaver støtter CVSS v4, EPSS og Vulnerability Priority Rating på en topp 10-liste.

Det Nessus gjør godt: pek en skanner mot et nettverk, finn kjente CVE-er, eksporter en rapport. Det Nessus ikke klarer: dele resultater på tvers av et team uten at hver analytiker har egen lisens, holde et sentralt revisjonsspor, eller koble funn sammen på tvers av sky, identitet og web. Verktøy, ja. Program, nei.

Passer best når dere har én IT-ansvarlig, ett kontor, færre enn et par hundre ressurser, og ingen compliance-press som krever sentralisert rapportering. De fleste norske virksomheter under 30 ansatte starter her.

Hva Tenable Vulnerability Management legger til

Tenable Vulnerability Management er SaaS-plattformen bygd rundt Nessus-motoren. Samme skanner, men resultatene ligger i en skykonsoll dere logger inn på fra hvor som helst, med rollebasert tilgang for de som skal se dem, og et bevisspor for revisoren som etter hvert kommer.

I praksis betyr det tre ting. Dere slutter for det første å sende skanne-PDF-er på e-post. Funn tildeles en ansvarlig, følges fram til retting, og tidsstemples. Dere kan for det andre skanne fra interne sensorer, skysensorer og agenter samtidig, inkludert ressurser som aldri står stille lenge nok til en nettverksskanning. For det tredje får dere Vulnerability Priority Rating på alt dere skanner, ikke bare på en topp 10. Plattformen het tidligere Tenable.io, navnet i dag er Tenable Vulnerability Management.

Passer best når flere enn én ser på sårbarhetsdata, dere har flere lokasjoner eller forretningsenheter, konsulenter som trenger avgrenset tilgang, eller et regelverk (ISO 27001, DORA, NIS2 når Norge innlemmer den) som forventer at dere kan vise at dere rettet noe, og ikke bare at dere fant det.

Hva Tenable One legger til

Tenable One er paraplyplattformen som tar Vulnerability Management-modulen og legger til de andre flatene angriperne kommer inn gjennom. Per 2026 er modulene Tenable Vulnerability Management, Tenable Web App Scanning, Tenable Identity Exposure, Tenable Cloud Security, Tenable Attack Surface Management, Tenable OT Security og Tenable AI Exposure (som ble allment tilgjengelig 27. januar 2026).

Poenget med plattformen er ikke “flere skannere”. Poenget er at en upatchet server, en eksponert S3-bøtte, en gammel Active Directory-konto med for mye rettigheter, og et glemt subdomene er det samme problemet sett fra angriperens side. Tenable One scorer dem på én skala, slik at styrenotatet sier “her er de ti tingene vi skal rette dette kvartalet”, i stedet for fem rapporter som ikke snakker sammen.

Et viktig forbehold om navngivning: Tenable Identity Exposure (tidligere Tenable.ad) gir dere eksponeringsoversikt over feilkonfigurasjoner i Active Directory og identitetsrisiko. Det er altså ikke et identitetshåndteringsverktøy, og det erstatter ikke privilegert tilgangsstyring. Privilegert tilgang leverer vi gjennom CyberArk.

Passer best når dere har en reell web- eller skytilstedeværelse, dere drifter Active Directory, dere har en ekstern angrepsflate utenfor ett kontor, eller styret nå stiller spørsmål om AI-bruk. Driver dere bare med servere og bærbare maskiner på ett kontor, er Tenable One mer plattform enn dere trenger.

En beslutningsregel i fire spørsmål

Still dere selv disse fire, i rekkefølge:

1. Trenger flere enn to personer å handle på sårbarhetsdata? Hvis nei, holder Nessus Professional sannsynligvis. Hvis ja, vil dere ha SaaS-plattformen.
2. Ber en revisor, regulator eller stor kunde dere om å dokumentere hvordan dere lukket funn? Hvis ja, Tenable Vulnerability Management. Da er leveransen bevissporet, ikke selve skanningen.
3. Inkluderer den reelle angrepsflaten deres webapplikasjoner, skykontoer, Active Directory eller eksterne ressurser dere ikke har full oversikt over? Hvis ja, Tenable One. En sårbarhetsskanner alene vil bomme på flaten der hendelsen virkelig starter.
4. Får dere spørsmål om AI-eksponering (Shadow AI, AI-tjenester i produksjon)? Hvis ja, er Tenable One med AI Exposure-modulen den eneste av de tre som dekker det.

To ja-svar peker mot plattformen. Tre eller fire peker mot Tenable One.

Hva FM CyberSecurity gjør med dette

Vi er Tenable-partner og drifter plattformen ende til ende. Det betyr at vi setter opp utrullingen, kjører skannerne, justerer omfanget, prioriterer funn mot virksomheten deres, skriver den styreklare rapporten, og overleverer rettearbeidet til teamet deres eller kjører det inne i et konsulentoppdrag. Vi videreselger ikke lisenser for en margin og forsvinner.

Dere kan kjøpe enhver av de tre gjennom oss og la oss drifte dem som en tjeneste, eller dere kan kjøpe dem selv og hente oss inn for å kjøre programmet sammen med IT-ansvarlig hos dere. Begge deler er vanlig. Valget mellom Nessus, Tenable Vulnerability Management og Tenable One er altså et størrelsesspørsmål, ikke et partnerskapsspørsmål.

Neste steg

Ta kontakt med Anders i eksponerings- og sårbarhetspraksisen vår for en tretti minutters samtale om hvilken av de tre som passer virksomheten deres, avgrenset til ressursene deres og målgruppene dere skal svare overfor. Vi sier ifra når Nessus er nok, når den ikke er det, og hvordan et realistisk førsteår ser ut.

FAQ

Kan vi starte med Nessus og oppgradere til plattformen senere?

Ja, og mange gjør det. Nessus Professional får dere i gang med skanning raskt, og beviser verdien overfor den som sitter på budsjettet. Når teamet vokser, en revisor ber om dokumentasjon, eller et nytt kontor kommer på nett, går dere over til Tenable Vulnerability Management uten å miste skannekompetansen. Plugin-settet, scoringen og malene er samme motor.

Er Tenable One verdt det for et foretak med 50 ansatte?

Det avhenger av flaten, ikke av antall ansatte. Et foretak med 50 ansatte, ett kontor, en driftet Microsoft 365-leietaker og bærbare maskiner er overdekket av Tenable One. Et foretak med 50 ansatte, tre webapplikasjoner, et flerkontooppsett i skyen, Active Directory og kundedata er som regel underdekket av Nessus alene. Tell flater, ikke ansatte.

Hvordan ser prisingen ut sammenliknet?

Nessus Professional koster 4 790 USD per år og Expert 6 790 USD. Tenable Vulnerability Management og Tenable One prises per ressurs, der plattformnivå og modulvalg styrer tallet. Begge plattformene koster mer enn Nessus, og skalerer som regel opp med antall ressurser, så for en liten ressursmasse kan regnestykket bli nærmere enn dere tror. Be om et tilbud mot det reelle ressursantallet deres, ikke mot en overskrift fra leverandøren.

Erstatter Tenable One Nessus, eller inneholder den den?

Tenable One inneholder Tenable Vulnerability Management-modulen, som bruker Nessus-motoren under panseret. Tenable One erstatter altså ikke Nessus, den absorberer kapasiteten og legger de andre flatene rundt. Dere kan fortsatt kjøre en separat Nessus-instans for ad hoc-arbeid hvis et team trenger det.

Trenger vi fortsatt et internt sårbarhetsprogram hvis vi har penetrasjonstesting?

Ja. En pentest er en punktsjekk mot et avgrenset omfang. Et sårbarhetsprogram er det jevne arbeidet mellom pentestene, der dere finner de nye CVE-ene som dukker opp hver uke, og rydder opp i dem før noen tester for dem. Vi leverer applikasjons- og infrastrukturtesting via Aikido AI Pentest, og sårbarhetsprogrammet via Tenable. De svarer på ulike spørsmål.