En smal red team‑øvelse om én forretningsproces

Ikke alle red team-øvelser behøver at omfatte hele organisationen. En smal øvelse retter sig mod én forretningsproces, fx udbetalinger fra økonomiafdelingen, adgangen til ledelsens korrespondance eller håndteringen af kundedata i et bestemt system. Svaret på, om den smalle form er rigtig, hviler på, om processen er vigtig nok til at fortjene sin egen afprøvning, og om spørgsmålet kan besvares uden at åbne hele huset for holdet.

Den smalle øvelse er stadig red teaming. Der er en modstander, et mål og et forsvar, der ikke ved, at der øves. Forskellen er, at målet og vejen dertil er bundet til én proces, og at resultatet derfor siger meget om den proces og mindre om resten.

Hvorfor vælge den smalle form?

Der er flere gode grunde. En proces kan være særligt udsat, fordi den flytter penge eller fortrolige oplysninger. Den kan være ny, ændret eller flyttet til en ny leverandør. Eller ledelsen kan have et meget konkret spørgsmål, som en bred øvelse kun ville besvare indirekte.

Den smalle form kan også være et godt sted at starte for en organisation, der ikke har prøvet red teaming før. Den er lettere at styre, involverer færre parter og giver et resultat, som er let at forstå og handle på. → Den første red team-øvelse

Eksempler på processer, der egner sig

Tænkte eksempler, hvor en afgrænset øvelse kan give mening:

Betalinger · kan en modstander få en udbetaling godkendt til en forkert modtager, og opdager nogen det i tide? → Betalingssvindel som scenarie
Ledelsens kommunikation · kan en modstander få adgang til direktionens mail eller dokumenter, og bliver det set?
Kundedata i ét system · kan en udvalgt database med kundeoplysninger nås, og udløser det en reaktion?
Leverandøradgang · kan en betroet tredjeparts adgang bruges til at nå en bestemt proces?

Fælles for eksemplerne er, at målet kan beskrives som en forretningskonsekvens, og at forsvaret omkring processen kan afgrænses.

Afgrænsningen er det svære

En smal øvelse kræver en præcis afgrænsning. Processen hænger sammen med systemer, mennesker og leverandører, og det er ikke nødvendigvis klart, hvor den slutter. Hvis holdet skal nå betalingsflowet, kan vejen gå gennem en medarbejders arbejdsstation, et fælles identitetssystem eller en ekstern bank. Hvilke af dem må indgå?

Lav en oversigt over processen, før scope fastlægges. Den skal vise, hvilke systemer og roller processen bygger på, hvem der ejer dem, og hvilke dele der er hos leverandører. Ud fra den beslutter I, hvad holdet må bruge som vej, og hvad der er fredet. → Scope i red teaming

Vær opmærksom på, at en for stram afgrænsning kan gøre øvelsen urealistisk. En modstander ville ikke begrænse sig til de systemer, der står på listen. Hvis den naturlige vej går gennem et fælles system, kan det være bedre at tage det med under klare regler end at udelukke det og få et kunstigt resultat. → Systemer, der ikke må røres

Hvem skal være med?

En proces har en ejer i forretningen. Den ejer bør være med i planlægningen, men ikke nødvendigvis i white team. Hvis procesejeren selv indgår i det forsvar, der afprøves, fx som godkender af betalinger, kan det svække øvelsen at gøre vedkommende til en del af den lille kreds, der kender til den.

Overvej i stedet, om procesejerens leder kan repræsentere forretningen i white team. Så får øvelsen den nødvendige forretningsforståelse, uden at forsvaret bliver advaret. Afgørelsen afhænger af organisationen og skal træffes bevidst. → White team

Hvis processen involverer en leverandør, fx en bank eller en lønudbyder, skal leverandørens rolle og tilladelse afklares. Det gælder især, hvis øvelsen kan føre til handlinger, som leverandøren ser.

Mennesker og fysisk adgang i den smalle øvelse

En forretningsproces kan hvile lige så meget på mennesker som på systemer. En udbetaling godkendes af en person, en ændring af bankoplysninger modtages af en medarbejder, og en servicedesk kan nulstille adgangen til et økonomisystem. Hvis øvelsen skal være realistisk, kan det være relevant at tage de menneskelige led med.

Det kræver en særskilt beslutning. Social engineering og fysisk adgang skal godkendes af ledelsen, afstemmes med HR og afgrænses lige så præcist som de tekniske dele. Fund om mennesker skal formuleres som fund om processer, ikke om enkeltpersoner. Nielco IT tilbyder red teaming, der kan omfatte social engineering og fysisk adgang. Hvad der påvirker omfanget, er beskrevet under pris og tilbud. → Social engineering i en red team-øvelse

Hvis I vælger at holde mennesker ude, skal det stå i scope, og rapporten skal nævne, at den del af processen ikke er afprøvet. Ellers kan et godt resultat blive læst bredere, end det fortjener.

Målingen bliver mere præcis

En fordel ved den smalle øvelse er, at målingen kan blive meget konkret. Når processen er kendt, kan I aftale på forhånd, hvilke kontroller der burde have reageret: overvågningen af den bestemte konto, godkendelsesgangen i økonomisystemet, advarslen fra banken. Øvelsen kan så vise, hvilke af dem der faktisk virkede.

Notér også, hvornår handlingerne fandt sted i forhold til processens normale rytme. En mistænkelig betaling midt i en månedsafslutning stiller andre krav til opmærksomheden end en betaling en stille tirsdag. Det gør resultatet let at omsætte til handling. Rapporten kan pege på de kontroller i processen, der ikke reagerede, og forslaget til forbedring kan rettes direkte til procesejeren. → Opdagelse, eskalering og reaktion

Det skal I lade være med

At afgrænse så stramt, at ingen modstander ville gå den vej · resultatet bliver kunstigt.
At glemme de fælles systemer, processen bygger på · identitet og arbejdsstationer kan være vejen ind.
At gøre procesejeren til en del af white team uden at overveje det · det kan advare forsvaret.
At overse leverandørens rolle · en bank eller lønudbyder kan se handlingerne.
At læse resultatet som en vurdering af hele organisationen · det gælder én proces.

Hvad kan og ikke kan konkluderes

En smal øvelse kan vise, om forsvaret omkring en bestemt proces opdagede og stoppede et realistisk forsøg på at misbruge den. Den kan ikke vise, hvordan resten af organisationen ville have klaret et bredere angreb, og et godt resultat for én proces kan ikke overføres til andre. Til gengæld kan den give et klarere og mere handlingsrettet svar end en bred øvelse.