Besøgende, leverandører og håndværkere: processer, øvelsen kan afprøve

I en større organisation kommer der hver dag mennesker ind, som ikke er ansatte: gæster til møder, konsulenter, rengøring, kantinepersonale, håndværkere og serviceteknikere. Hver gruppe har sin egen vej ind, og vejene er ikke nødvendigvis beskrevet lige grundigt. Det gør besøgsprocesserne til et relevant emne for en red team-øvelse med fysisk adgang. Øvelsen afprøver ikke, om receptionisten er opmærksom; den afprøver, om processen for registrering, bekræftelse, ledsagelse og udlevering af adgang holder, når nogen udnytter de huller, hverdagen har skabt.

Hvorfor besøgsprocesser er relevante

NIS2-direktivets artikel 21 beskriver en tilgang, der omfatter alle farer, og som skal beskytte net- og informationssystemer og deres fysiske miljø. Adgangskontrolpolitikker nævnes blandt de foranstaltninger, væsentlige og vigtige enheder mindst skal have. Direktivet siger intet om, hvordan besøgende skal håndteres, men det gør det klart, at den fysiske adgang til systemerne hører med til sikkerhedsarbejdet. Teksten er ikke juridisk rådgivning.

For sikkerhedsfunktionen er spørgsmålet praktisk. Et serverrum, et netværksskab på en etage eller en arbejdsstation, der står ulåst i et mødelokale, er kun beskyttet, så længe de mennesker, der kommer ind, er dem, organisationen tror. → Fysisk adgang i red teaming

Kortlæg vejene ind

Før processerne kan afprøves, skal de være kendt. Det lyder enkelt, men i praksis kan der findes flere end dem, der står i sikkerhedshåndbogen. Kortlæg sammen med facility management og den, der administrerer adgangskort:

Mødegæster · hvordan de registreres, hvem der henter dem, og om de ledsages hele tiden.
Faste leverandører · konsulenter, rengøring og kantine, der har egne kort eller nøgler.
Håndværkere og teknikere · hvem der bestiller dem, og hvordan receptionen ved, at de er ventet.
Varemodtagelse og bagindgange · de veje, der ikke går forbi receptionen.
Arrangementer · reception, rekruttering eller kurser, hvor mange fremmede er i bygningen på én gang.

Kortlægningen er værdifuld i sig selv. Den kan vise, at nogle veje ikke har en ejer, og at det er dér, en øvelse vil give mest læring. Den kan også vise, at to lokationer har forskellige regler for det samme, fx at gæster ledsages i hovedsædet, men ikke på et regionalt kontor. Sådanne forskelle er nyttige at kende, før scenariet vælges, fordi de afgør, hvilken lokation der giver det mest repræsentative billede.

Hvad øvelsen kan afprøve

Når vejene er kendt, kan scenariet vælge, hvilke processer der skal afprøves. Formuler det som spørgsmål til processen, ikke som en opgave til holdet:

Bekræftelse · bliver det kontrolleret, at en besøgende er ventet, og af hvem?
Identitet · sammenholdes en leverandørs oplysninger med en bestilling eller en kendt kontakt?
Ledsagelse · bliver gæster ledsaget i de områder, hvor det er reglen?
Adgangskort · hvordan udleveres midlertidige kort, og bliver de leveret tilbage?
Reaktion · hvad gør medarbejderne, når de ser en person uden synligt kort?

Vælg få spørgsmål frem for mange. En øvelse, der forsøger at afprøve alle processer på alle lokationer, giver et tyndt billede af hver. Det er bedre at gå i dybden med de veje, der fører tættest på de systemer og områder, scenariet handler om. Hvordan holdet afprøver spørgsmålene, er holdets faglige ansvar og skal holdes inden for rules of engagement. Organisationens ansvar er at vælge spørgsmålene og godkende grænserne. → Rules of engagement

Tilladelser, der kan blive overset

Besøgsprocesser kan involvere andre end organisationen selv. En reception i et fælles domicil kan være drevet af udlejeren. Adgangskortene kan administreres af et vagtselskab. Rengøringen kan have egne nøgler under en aftale, som organisationen ikke selv har forhandlet. Hver af dem skal have givet tilladelse til den del af øvelsen, der berører dem, eller være udtrykkeligt holdt ude. → Lejede lokaler og fælles bygninger

Overvej særligt, om det er rimeligt at afprøve en leverandørs medarbejdere. En receptionist ansat hos udlejeren har ikke den samme relation til organisationen som en ansat, og leverandøren kan have egne regler for, hvad dens medarbejdere må udsættes for. → Vagtselskab og alarmcentral

Hensynet til medarbejderne i forreste linje

Receptionister, vagter og servicemedarbejdere er dem, der møder øvelsen ansigt til ansigt. De står i en rolle, hvor de skal være imødekommende og samtidig kontrollere. Et fund om en besøgsproces er derfor ikke nødvendigvis et fund om dem, men snarere om den støtte, de har: en klar regel at henvise til, en kollega at tilkalde og en ledelse, der bakker op, når de siger nej til en utålmodig gæst.

Overvej også, om de har mulighed for at følge reglerne i praksis. En reception med én person i morgentimerne, hvor mange ankommer samtidig, kan ikke ledsage alle, uanset hvad proceduren siger. Planlæg debriefingen af dem på forhånd, og sørg for, at den medarbejder, der stoppede holdet, får en tydelig anerkendelse. → Hvis holdet bliver stoppet i bygningen

Fra fund til bedre processer

Fund om besøgsprocesser kan føre til ændringer, der ikke handler om sikkerhedsteknologi: en fast procedure for, hvem der bestiller håndværkere og giver receptionen besked, en regel om, at midlertidige kort udløber samme dag, eller en tydelig markering af områder, hvor gæster skal ledsages. Ejeren kan være facility management eller den, der har aftalen med udlejer og leverandører, ikke IT. Nogle ændringer kræver, at aftaler med leverandører genforhandles, fx hvis rengøringsfirmaet skal registrere sine medarbejdere på en ny måde. Sæt derfor tid af til det i handlingsplanen, og følg op på, om ændringen er gennemført på alle lokationer, ikke kun den, øvelsen ramte. → Fra social engineering-fund til bedre processer

Det skal I lade være med

At afprøve processer, der ikke er kortlagt · resultatet bliver svært at bruge.
At glemme bagindgange og varemodtagelse · de kan være de mindst beskrevne veje.
At gå ud fra, at organisationen kan give tilladelsen alene · udlejer, vagtselskab og leverandører kan være berørt.
At skrive fund som fejl hos receptionen · beskriv processen og støtten.
At lægge opfølgningen hos IT · ejeren er den, der har ansvaret for bygningen og aftalerne.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, om bestemte besøgsprocesser holdt på bestemte tidspunkter og steder. Den kan ikke vise, at alle veje ind er sikre, og et vellykket forsøg på én lokation siger ikke nødvendigvis noget om de andre. Resultatet er mest værdifuldt, når det bruges til at styrke processer og støtte, og mindst, når det bruges til at bedømme enkelte medarbejdere.

Tjekliste før øvelsen

☐ Er vejene ind kortlagt med facility management?
☐ Er de processer, der skal afprøves, formuleret som spørgsmål?
☐ Har udlejer, vagtselskab og andre leverandører givet tilladelse eller er holdt ude?
☐ Er medarbejderne i forreste linje omfattet af debriefingen?
☐ Er ejeren af opfølgningen udpeget uden for IT, hvor det er relevant?

Kilder

Direktiv (EU) 2022/2555 (NIS2): artikel 21, stk. 2, om en tilgang, der omfatter alle farer og systemernes fysiske miljø, og litra i om adgangskontrolpolitikker.

Senest gennemgået: oktober 2026.