Beredskabsplanen under en red team‑øvelse

I en skjult red team-øvelse ved forsvaret ikke, at der øves. Hvis det opdager holdet og vurderer aktiviteten som en alvorlig hændelse, gør det det, planen foreskriver: hændelsesledelsen samles, beredskabet aktiveres, og måske indkaldes krisestaben. Det er en af de mest værdifulde ting, en øvelse kan vise, fordi planen bliver brugt under realistisk pres. Men det har også omkostninger og risici. Svaret på, hvordan beredskabsplanen håndteres i en øvelse, hviler på en aftale før start om, hvilke dele af planen der må løbe, hvilke der skal standses, og hvem i white team der holder øje.

Planen bliver afprøvet, uanset om I vil det

CSRC Glossary gengiver en definition af en beredskabsplan for cyberhændelser fra NIST SP 800-34 Rev. 1: en dokumenteret, forudbestemt række instruktioner eller procedurer til at opdage, reagere på og begrænse følgerne af angreb mod organisationens informationssystemer. Netop det, øvelsen efterligner. Hvis forsvaret opdager holdet, aktiveres planen, og den kan ikke skelne mellem en øvelse og et angreb.

Det er en fordel. En åben beredskabsøvelse afprøver, om procedurerne kan bære, når alle ved, at der øves. En skjult red team-øvelse viser, om planen bliver taget i brug af sig selv, og om den bruges, som den er skrevet. Forskellen mellem de to former er beskrevet nærmere andetsteds. → Red teaming, tabletop og beredskabsøvelse

Del planen op før øvelsen

White team bør læse beredskabsplanen og dele den op i tre grupper af handlinger:

Må løbe frit · intern vurdering, indkaldelse af hændelsesledelsen, intern kommunikation, undersøgelse af logs og systemer.
Må løbe med opsyn · begrænsning af adgang, spærring af konti, isolering af enkelte systemer og indkaldelse af krisestaben.
Skal standses · henvendelser til myndigheder, politi, kunder og medier, nedlukning af forretningskritiske tjenester, genetablering fra backup og indkaldelse af ekstern hændelsesbistand, der koster penge.

Grænsen mellem grupperne afhænger af organisationen. En virksomhed med et robust driftsmiljø kan tillade mere end en, hvor en enkelt nedlukning rammer kunderne med det samme. Det vigtige er, at grænsen er aftalt og skrevet ned, så white team ikke skal improvisere. Et tænkt eksempel: en kommunal forsyningsvirksomhed tillader, at forsvaret isolerer enkelte arbejdsstationer på kontoret, men kræver, at white team bliver spurgt, før noget i styringen af vandværkerne berøres. Beslutningen er truffet af direktionen sammen med den driftsansvarlige, og den står i rules of engagement, så både holdet og white team kender den. → Inddæmning under øvelsen

White teams udkigspunkter

For hver handling i den midterste og nederste gruppe skal white team vide, hvordan det får besked, før handlingen sker. Det kan være, at en person i white team i forvejen er en del af hændelsesledelsen, eller at en betroet kontaktperson i beredskabet kender til øvelsen. Hvis ingen af delene er tilfældet, kan white team ikke nå at gribe ind, og stopreglerne bliver teori. → Stopregler

Aftal også, hvad white team gør, når det griber ind. Det kan være at bekræfte over for den ansvarlige, at forløbet er en del af en godkendt øvelse, eller at bruge en forberedt forklaring, der får en bestemt handling udsat uden at afsløre hele øvelsen. Lederen af white team bør have mandat til at træffe den beslutning hurtigt. → Lederen af white team

Omkostninger, der skal afklares

En aktiveret beredskabsplan koster tid og nogle gange penge. Medarbejdere arbejder om natten, ledere aflyser møder, og en ekstern hændelsesbistand kan begynde at registrere timer. Det skal være afklaret på forhånd, hvordan den slags håndteres. Hvis organisationen har en aftale med en ekstern bistand, bør det undersøges, hvad det koster at aktivere den, og om aktiveringen skal stoppes eller tillades til et vist punkt.

Overvej også, hvilke andre aktiviteter der bliver påvirket. En hændelsesledelse, der bruger to dage på holdet, er ikke til rådighed for andre opgaver. Planlæg øvelsen uden om perioder, hvor organisationen i forvejen er presset, fx ved store systemskift eller regnskabsafslutning.

Regulerede krav til test af planer

For nogle organisationer er test af beredskabsplaner et krav. DORA artikel 11, stk. 6, kræver, at finansielle virksomheder tester deres planer for IKT-driftsstabilitet og planer for IKT-indsats og genopretning mindst én gang om året og ved væsentlige ændringer, og at virksomheder, der ikke er mikrovirksomheder, medtager cyberangrebsscenarier. NIS2-direktivets artikel 21, stk. 2, nævner håndtering af hændelser og driftskontinuitet og krisestyring blandt de foranstaltninger, der mindst skal omfattes.

En red team-øvelse kan give værdifuld viden om, hvordan planerne virker, men den er ikke automatisk en test af planerne i lovens forstand. Den afprøver kun de dele, forløbet nåede, og kun hvis forsvaret opdagede holdet. Om en øvelse kan indgå i dokumentationen over for en tilsynsmyndighed, er en vurdering for den, der ejer compliance. Teksten er ikke juridisk rådgivning.

Efter øvelsen: hvad planen lærte

Når øvelsen er afsløret, bør beredskabsplanens forløb gennemgås for sig. Relevante spørgsmål er, om planen blev aktiveret ud fra de kriterier, der står i den, om rollerne var kendte, om kontaktlister virkede, og om planen forudsatte systemer eller oplysninger, der ikke var til rådighed. Cybersecurity Framework 2.0 har det som et resultat, at beredskabsplaner etableres, kommunikeres, vedligeholdes og forbedres. Øvelsen giver konkret grundlag for forbedringen. → Lessons learned-mødet

Hvis forsvaret ikke opdagede holdet, blev planen ikke afprøvet. Det kan være en grund til efter afsløringen at spille resten af forløbet åbent, fx som en tabletop eller en beredskabsøvelse, hvor holdets faktiske skridt bruges som scenarie. Så får organisationen afprøvet planen mod et realistisk forløb, selv om opdagelsen udeblev.

Det skal I lade være med

At glemme, at planen er ægte · den aktiveres for alvor, når forsvaret reagerer.
At lade grænserne være uskrevne · white team skal ikke improvisere midt i en hændelse.
At mangle udkigspunkter · uden dem når white team ikke at gribe ind.
At overse omkostningerne · ekstern bistand og overarbejde skal være afklaret.
At kalde øvelsen en lovpligtig test af planen · det er en særskilt vurdering.
At springe planens egen gennemgang over · den er en af øvelsens vigtigste læringer.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, om beredskabsplanen blev taget i brug, og hvordan den fungerede for et bestemt forløb. Den kan ikke vise, om planen ville bære en hændelse af en anden type eller størrelse, og de dele, white team standsede, er ikke afprøvet.

Tjekliste til beredskabsplanen

☐ Har white team læst planen og delt handlingerne i tre grupper?
☐ Ved white team, hvordan det får besked før hver kritisk handling?
☐ Er det aftalt, hvad white team gør, når det griber ind?
☐ Er omkostninger ved ekstern bistand og overarbejde afklaret?
☐ Er det besluttet, om planen gennemgås for sig efter afsløringen?

Kilder

CSRC Glossary: incident response plan: definition fra SP 800-34 Rev. 1.
Cybersecurity Framework 2.0, CSWP 29: forbedring af beredskabsplaner (ID.IM-04).
DORA, forordning (EU) 2022/2554: artikel 11, stk. 6, om test af planer for IKT-driftsstabilitet og IKT-indsats og genopretning.
NIS2, direktiv (EU) 2022/2555: artikel 21, stk. 2, litra b og c.

Senest gennemgået: oktober 2026.