Ansvar og forsikring ved en red team‑øvelse

En red team-øvelse foregår i den virkelige drift, eventuelt over flere uger, og kan omfatte både systemer, lokaler og kontakt med medarbejdere. Det giver flere situationer, hvor noget kan gå galt, end ved en afgrænset teknisk test. Hvem der bærer følgerne, afgøres af kontrakten med leverandøren, af parternes forsikringer og af de aftaler, I har med udlejer, vagtselskab og driftsleverandører. Sikkerhedsfunktionens opgave er at stille spørgsmålene, før øvelsen begynder, og få svarene skrevet ned.

Teksten er ikke juridisk rådgivning. Lad en jurist og jeres forsikringsrådgiver vurdere kontraktudkastet og dækningen.

Hvor en øvelse kan skabe skade

Det er nyttigt at tænke de mulige skadesituationer igennem, før ansvaret drøftes. De afhænger af scenariet, men kan omfatte:

Driftsforstyrrelse · en aktivitet påvirker et produktionssystem mere end forventet. → Produktion i red teaming
Fysisk skade · en dør, en lås eller et stykke udstyr bliver beskadiget under et forsøg på adgang.
Personskade eller konfrontation · en situation med vagter, medarbejdere eller forbipasserende udvikler sig.
Data · holdet får adgang til følsomme oplysninger, som bliver behandlet forkert.
Tredjeparter · en leverandør, en anden lejer eller en kunde bliver berørt uden at være orienteret.

Listen bruges til at stille de rigtige spørgsmål, ikke til at skræmme. Flere af situationerne kan forebygges med en god risikovurdering og klare stopregler. → Risikovurdering af øvelsen

Spørgsmål om leverandørens ansvar

Spørg, hvordan leverandøren påtager sig ansvar for skader, der opstår under øvelsen, og om der er begrænsninger. Det er almindeligt, at ansvaret er begrænset, men begrænsningen skal stå i forhold til de situationer, øvelsen kan skabe.

Afklar også, hvordan ansvaret gælder for alle personer på holdet. Hvis leverandøren bruger tilknyttede konsulenter, skal det fremgå, at leverandøren svarer for deres handlinger, som var de leverandørens egne. → Tilknyttede konsulenter

Spørg desuden, hvordan ansvaret håndteres, hvis holdet handler uden for rules of engagement. Det er netop i de situationer, hvor en aftale ikke er overholdt, at ansvarsspørgsmålet bliver vigtigt. Spørg endelig, hvordan ansvaret er fordelt i tiden. Nogle skader viser sig først senere, fx hvis en konfiguration blev ændret under øvelsen og ikke ført tilbage. Kontrakten bør sige, hvordan den slags forhold håndteres efter øvelsens afslutning, og hvor længe leverandøren hæfter for dem.

Spørgsmål om forsikring

Bed om at se dokumentation for leverandørens forsikringer, og spørg, hvad de dækker. Relevante spørgsmål er, om forsikringen dækker skader på tredjemands ejendom, personskade, formuetab hos kunden og skader, der opstår ved fejl eller forsømmelse.

Spørg også, om forsikringen dækker aktiviteter som fysisk adgang og social engineering. En forsikring, der er tegnet med teknisk rådgivning for øje, dækker ikke nødvendigvis en situation i en bygning. Det er leverandørens forsikringsselskab, der kan svare på det, ikke leverandøren alene. Bed om, at svaret kommer skriftligt, og at det henviser til den konkrete øvelse. En generel bekræftelse af, at leverandøren er forsikret, giver ikke svar på det, I har brug for at vide.

For TLPT efter DORA stiller artikel 27, stk. 1, litra e, krav om, at testerne er fuldt dækket af relevante erhvervsansvarsforsikringer, herunder mod risici for forseelser og forsømmelighed. Kravet gælder TLPT og ikke en frivillig øvelse uden for rammen, men det kan bruges som inspiration til, hvilke spørgsmål der er relevante. → Krav til TLPT-testere

Jeres egen side

Ansvaret er ikke kun leverandørens. Jeres organisation har givet tilladelsen, beskrevet scope og stillet oplysninger til rådighed. Hvis en tilladelse er givet for et område, I ikke råder over, eller hvis scope er beskrevet forkert, kan det få betydning for, hvem der bærer følgerne.

Tjek jeres egne forsikringer. Nogle policer har vilkår for aktiviteter, der bevidst udfordrer sikkerheden, og I bør vide, om en øvelse påvirker dækningen. Afklar også, om udlejer, vagtselskab og driftsleverandør har vilkår, der skal tages hensyn til. Deres aftaler med jer kan fx kræve varsling før aktiviteter i bygningen, og manglende varsling kan påvirke, hvem der hæfter. → Vagtselskab og alarmcentral

Personer, der ikke har sagt ja

En særlig side af ansvaret ved red teaming handler om de mennesker, der bliver berørt uden at kende til øvelsen. Medarbejdere, der bliver kontaktet i et social engineering-forløb, har ikke givet samtykke til det enkelte forsøg, men organisationen har besluttet, at de kan indgå. Det giver organisationen et ansvar for, hvordan de behandles under og efter øvelsen. → Medarbejderhensyn

Endnu mere forsigtig skal man være med personer, der slet ikke hører til organisationen: ansatte hos andre lejere, leverandørens folk, besøgende og forbipasserende. Jeres ledelse kan ikke give tilladelse på deres vegne, og en skade eller en ubehagelig oplevelse kan føre til krav, som ingen har forudset. Den bedste beskyttelse er et scope og rules of engagement, der holder dem ude, og et hold, der trækker sig, hvis det alligevel sker.

Aftal også, hvem der tager kontakten, hvis en person uden for organisationen skal have en forklaring bagefter. Det bør være jer, ikke holdet.

Når en situation opstår

Aftal, hvad der sker, hvis en skade eller en konfrontation opstår under øvelsen. Holdet skal stoppe, sikre personer og udstyr og kontakte white team med det samme. White team beslutter, om øvelsen fortsætter, og hvem der skal underrettes. → Når holdet bliver stoppet

Situationen skal dokumenteres, mens den er frisk: hvad der skete, hvornår, hvem der var til stede, og hvad der blev gjort. Dokumentationen er grundlaget for en eventuel sag med forsikringsselskaberne, og den bør indgå i rapporten. Gennemgå situationen på det næste statusmøde, og vurder, om rules of engagement eller risikovurderingen skal justeres, før øvelsen fortsætter. En situation, der næsten gik galt, er lige så vigtig at lære af som en, der faktisk gjorde.

Det skal I lade være med

At genbruge ansvarsbestemmelser fra en pentestkontrakt · de tager ikke højde for bygninger og mennesker.
At antage, at forsikringen dækker fysisk adgang · spørg konkret.
At glemme jeres egne policer · en øvelse kan påvirke dækningen.
At lade holdet improvisere ved en skade · aftal en fast procedure.
At udskyde dokumentationen · den skal laves, mens situationen er frisk.

Hvad kan og ikke kan konkluderes

En afklaring af ansvar og forsikring før start gør det tydeligt, hvem der bærer følgerne, hvis noget går galt, og reducerer risikoen for en tvist bagefter. Den kan ikke forhindre, at skader opstår, og den kan ikke erstatte en juridisk vurdering af jeres konkrete aftaler. En leverandørs forsikring siger heller ikke noget om kvaliteten af øvelsen.

Tjekliste før underskrift

☐ Er de mulige skadesituationer for scenariet gennemgået?
☐ Er leverandørens ansvar og eventuelle begrænsninger beskrevet?
☐ Gælder ansvaret for alle personer på holdet?
☐ Har I set dokumentation for leverandørens forsikringer og deres dækning?
☐ Er jeres egne policer og andre parters vilkår afklaret?
☐ Er der en procedure for skader og konfrontationer under øvelsen?

Kilder

DORA, forordning (EU) 2022/2554: artikel 27, stk. 1, litra e, om at testere ved TLPT skal være fuldt dækket af relevante erhvervsansvarsforsikringer, herunder mod risici for forseelser og forsømmelighed.

Senest gennemgået: oktober 2026.