Når scenariet skal justeres midt i øvelsen

Et scenarie er skrevet ud fra trusselsbilledet og organisationen, som den så ud ved planlægningen. Undervejs viser det sig, at en vej er lukket, at et system er udskiftet, eller at holdet har fundet en mulighed, som ingen forudså. Spørgsmålet er, hvem der må ændre hvad. Svaret hviler på en skelnen mellem to slags ændringer: holdets valg af vej inden for det aftalte scenarie, som er en del af øvelsen, og ændringer af mål, scope eller trusselsaktør, som ændrer selve øvelsen og derfor skal godkendes og noteres.

Uden den skelnen ender man enten med et hold, der ikke må improvisere, eller med en øvelse, der glider ud af de rammer, ledelsen sagde ja til.

Scenariet er ikke en drejebog

En modstander tilpasser sig. Hvis en vej er lukket, prøver den en anden. Et red team skal kunne det samme, ellers måler øvelsen kun, om forsvaret holder mod én bestemt plan. Nationalbankens implementeringsdokument for TIBER-DK skriver netop, at angrebsscenarierne ikke er en drejebog, der skal følges slavisk, og at holdet skal vise kreativitet og finde alternative veje til flaget, når der opstår forhindringer eller muligheder.

Den frihed har grænser. Holdet skal blive tro mod den trusselsaktør og det mål, scenariet bygger på, og det skal holde sig inden for rules of engagement. → Rules of engagement i red teaming

Tre niveauer af ændringer

Det hjælper at aftale på forhånd, hvilke ændringer der hører til hvilket niveau.

Holdets valg af vej · en anden indgang eller en anden rækkefølge inden for samme scenarie, samme mål og samme regler. Holdet beslutter selv og noterer det i logbogen.
Justering af scenariet · et nyt delmål, et ekstra flag, et leg-up eller et skift af udgangspunkt. White team-lederen godkender og noterer beslutningen.
Ændring af øvelsen · nyt hovedmål, nye systemer eller lokationer, en anden trusselsaktør eller længere varighed. Sponsor i ledelsen godkender, og tilladelserne skal gennemgås igen.

Et eksempel gør forskellen tydelig. Scenariet handler om en modstander, der vil nå betalingsflowet via en kompromitteret medarbejderkonto. Hvis holdet vælger at gå via en anden afdelings konto, er det et valg af vej. Hvis holdet vil skifte mål til personaledata, fordi vejen dertil ser kortere ud, er det en ændring af øvelsen, og så skal sponsor tage stilling.

Grænsen mellem niveauerne skal stå i planen. Ellers vil holdet og white team have forskellige opfattelser af, hvad der kræver godkendelse. → Lederen af white team

Gode grunde til at justere

Nogle ændringer er nødvendige for, at øvelsen kan give læring.

Organisationen har ændret sig · et system, scenariet byggede på, er udskiftet eller lukket.
Ny viden om truslen · trusselsbilledet har ændret sig, så scenariet ikke længere er det mest relevante.
Holdet sidder fast · uden en justering bruges resten af perioden uden ny læring. → Når holdet ikke kommer ind
Målet er nået tidligt · der er tid til at afprøve mere. → Når holdet når målet tidligt
Risikoen er steget · noget i driften gør en del af scenariet for risikabel.

I TIBER-DK kan den leverandør, der står for trusselsefterretningen, deltage i statusmøderne under testen og bidrage med ny viden, så ændringer i planen følger den valgte trusselsaktørs måde at arbejde på. Det er en nyttig model: ændringer bør begrundes i truslen, ikke i holdets bekvemmelighed.

Dårlige grunde til at justere

Andre ændringer svækker øvelsen. Det gælder, når et scenarie ændres, fordi resultatet tegner til at blive ubehageligt for nogen, eller fordi holdet gerne vil vise noget, det er godt til, selv om det ikke passer til truslen. Det gælder også, når en del af scenariet droppes for at undgå en tilladelse, der er besværlig at skaffe.

Pres kan også komme udefra. En direktør, der har hørt om øvelsen, kan ønske, at et bestemt system bliver afprøvet, eller at et andet bliver holdt ude. Den slags ønsker skal gennem samme godkendelse som alle andre ændringer.

White team skal kunne sige nej. Spørgsmålet er altid, om ændringen bringer øvelsen tættere på at besvare det spørgsmål, ledelsen stillede, eller længere væk. → Formålet med øvelsen

Betydningen for målingen

En ændring midt i øvelsen påvirker, hvad resultaterne kan sammenlignes med. Hvis blue team blev målt mod én type angreb i de første uger og en anden i de sidste, giver det ikke mening at lægge tallene sammen. Tidslinjen skal derfor vise, hvornår ændringen skete, så målingerne kan opdeles.

Ændringer kan også gøre det sværere at sammenligne med tidligere eller senere øvelser. Det er ikke et argument mod at justere, men et argument for at dokumentere det grundigt. → Måling over tid

Dokumentation af ændringen

Hver ændring på niveau to og tre bør noteres med fire oplysninger: hvad der blev ændret, hvorfor, hvem der godkendte, og hvornår ændringen trådte i kraft. Notatet skal ligge sammen med logbogen og planen, så rapporten kan gengive forløbet korrekt. Det er også nyttigt ved evalueringen bagefter, hvor holdene kan se, hvilke dele af planen der holdt, og hvilke der skulle tilpasses. Gentagne justeringer i samme øvelse kan være et tegn på, at scenariet var for løst forankret i organisationen, og det er en lære til næste planlægning.

Ændringer på niveau tre kræver mere. Tilladelsesbrevet, rules of engagement og eventuelt kontrakten skal opdateres, før holdet går videre. Hvis en ny lokation eller en ny leverandør kommer med, skal deres tilladelse foreligge først. → Tilladelsesbrevet

Det skal I lade være med

At kræve godkendelse af hvert valg, holdet træffer · så kan holdet ikke opføre sig som en modstander.
At lade holdet ændre mål eller scope på egen hånd · det ændrer øvelsen, ledelsen har godkendt.
At justere for at undgå et ubehageligt resultat · det er netop det, øvelsen skal vise.
At glemme tilladelserne ved større ændringer · nye systemer og lokationer kræver nyt ja.
At lægge målinger fra før og efter en ændring sammen · de svarer på forskellige spørgsmål.
At ændre uden at notere det · rapporten bliver utroværdig.

Hvad kan og ikke kan konkluderes

En øvelse, der er justeret undervejs med klare godkendelser, kan give mere læring end en, der blev fulgt slavisk. Ændringerne betyder til gengæld, at resultaterne skal læses i afsnit, og at den samlede øvelse ikke kan sammenlignes direkte med en anden. Om en justering var rigtig, kan først vurderes bagefter, ud fra om den bragte øvelsen tættere på sit formål.

Tjekliste til planen

☐ Er de tre niveauer af ændringer beskrevet?
☐ Er det aftalt, hvem der godkender på hvert niveau?
☐ Er der en skabelon til at notere ændringer?
☐ Er det klart, hvornår tilladelser skal gennemgås igen?
☐ Vil tidslinjen vise, hvornår ændringer trådte i kraft?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: scenarierne er ikke en foreskrivende drejebog, holdet finder alternative veje til flaget, og leverandøren af trusselsefterretning kan bidrage løbende under den aktive test.

Senest gennemgået: oktober 2026.