Når bestyrelsen beder om red teaming: sådan omsætter direktionen ønsket til den rigtige øvelse

Et punkt i referatet fra bestyrelsesmødet lyder: Direktionen bedes iværksætte en red team-øvelse. Det er en klar opgave, men ikke nødvendigvis den rigtige. Bag ønsket kan ligge et behov for en red team-øvelse, en penetrationstest, en ledelsesøvelse rundt om bordet eller blot et svar på, om organisationen kan modstå et alvorligt angreb. Direktionens arbejde hviler på to skridt: at finde ud af, hvad bestyrelsen reelt vil vide, og at melde et begrundet valg af form tilbage, før noget bliver bestilt.

At vælge en anden form end den, bestyrelsen nævnte, er ikke at sige nej. Det er at give bestyrelsen det svar, den har brug for.

Fire ønsker, der kan gemme sig bag ordet

Ordet red teaming bruges løst, også i bestyrelseslokaler. Det kan dække over:

En red team-øvelse · bestyrelsen vil vide, om et realistisk, målrettet angreb bliver opdaget og stoppet i tide.
En penetrationstest · bestyrelsen vil vide, om bestemte systemer har svagheder, der kan udnyttes.
En tabletop · bestyrelsen vil vide, om ledelsen kan træffe de rigtige beslutninger under et angreb.
Et svar om modstandskraft · bestyrelsen vil have en samlet vurdering af, hvor godt organisationen står, og om den kan komme igen efter et angreb.

De fire besvarer forskellige spørgsmål. En red team-øvelse siger fx ikke meget om, hvor hurtigt driften kan genetableres, og en tabletop siger intet om, hvorvidt overvågningen virker. → Red teaming, tabletop og beredskabsøvelse

Find kilden til ønsket

Det første skridt er at spørge, hvorfor ønsket er opstået nu. Kilden siger noget om, hvad bestyrelsen forventer at få:

Et angreb på en anden virksomhed · bestyrelsen vil vide, om det samme kunne ske her.
Et kursus eller et oplæg · et bestyrelsesmedlem har hørt om red teaming og ser det som god praksis.
En revisor, et tilsyn eller en kunde · nogen udefra har spurgt, og bestyrelsen vil kunne svare.
En tidligere test · en penetrationstest har fundet svagheder, og bestyrelsen vil vide, om forsvaret opdager dem i brug.

Kilden kan også være en bekymring, der ikke er sagt højt, fx tvivl om, hvorvidt IT-afdelingens beretninger er for rosenrøde. Så handler ønsket om at få et uafhængigt blik udefra, og det skal formen tage højde for.

Spørg formanden eller det bestyrelsesmedlem, der rejste punktet. En kort samtale kan spare en øvelse, der svarer på det forkerte. Kommer ønsket fra et tilsyn eller en kunde, er det formuleringen af deres spørgsmål, der skal læses. → Spørgsmål fra kunder og tilsyn

Oversæt ønsket til et spørgsmål

Når kilden er kendt, kan ønsket skrives om til et spørgsmål, der kan besvares. Et tænkt eksempel: En bestyrelse i en logistikvirksomhed har læst om et angreb, der lammede en konkurrents planlægningssystem. Ønsket om red teaming kan oversættes til: Ville vi opdage det, hvis en angriber bevægede sig mod vores planlægningssystem, og ville nogen med mandat nå at handle? Det er et red team-spørgsmål. Hvis bekymringen i stedet er, hvor længe kunderne venter, hvis systemet er nede, er det et spørgsmål om beredskab og genetablering.

Spørgsmålet afgør formen. Det er derfor, det skal skrives ned først. Læs det højt for den, der rejste punktet i bestyrelsen, og spørg, om det er det, der var ment. Hvis svaret er et tøvende ja, er der mere at afklare. → Formålet med øvelsen

Når svaret ikke er red teaming

En red team-øvelse forudsætter, at der er et forsvar at måle: en overvågning, nogen der modtager alarmer, og en vej til at eskalere. Mangler det, vil øvelsen mest vise det, alle allerede ved. Der kan også være åbne fund fra tidligere test, som bør være rettet først. I de situationer er det ærlige svar til bestyrelsen, at en anden form giver mere nu, og at red teaming kan komme senere.

Det er også et svar, hvis spørgsmålet handler om ledelsens egne beslutninger. Så er en tabletop for bestyrelse og direktion mere direkte. → Klar til red teaming?

Meld valget tilbage, før der bestilles

Direktionens tilbagemelding til bestyrelsen kan være en kort indstilling på en side. Den bør indeholde:

Spørgsmålet · det, bestyrelsen reelt vil have svar på, i én sætning.
Formen · den øvelse eller test, direktionen foreslår, og hvorfor.
Det, der ikke dækkes · hvad formen ikke kan svare på, så ingen tror for meget.
Rammen · om medarbejdere, bygninger og leverandører indgår, og hvem der er sponsor.
Tidspunktet for svaret · hvornår bestyrelsen hører resultatet, og i hvilken form.

Indstillingen giver bestyrelsen mulighed for at sige, at den mente noget andet. Det er bedre at opdage det nu end efter øvelsen.

Overvej også, hvem der fremlægger indstillingen. Hvis det er sikkerhedschefen, får bestyrelsen mulighed for at spørge ind til forudsætningerne. Hvis det er direktøren, bliver det tydeligt, at direktionen står bag valget. Begge dele kan være rigtige, men valget bør være bevidst. Det samme gælder spørgsmålet om, hvor meget bestyrelsen skal vide om tidspunktet. En skjult øvelse er mest realistisk, når kun få kender datoerne, og det kan godt omfatte bestyrelsen.

Hvis I er en finansiel virksomhed

For de finansielle enheder, som myndigheden har udpeget efter DORA, er den trusselsbaserede penetrationstest, TLPT, ikke et valg. Den gennemføres efter fastlagte regler og tidsplaner. TIBER-EU, den europæiske ramme for trusselsbaserede red team-test, kan desuden bruges frivilligt. Et ønske fra bestyrelsen om red teaming i en finansiel virksomhed bør derfor altid afklares i forhold til, om det handler om forberedelse til TLPT, om en frivillig test efter TIBER-rammen eller om en øvelse helt uden for den. → Red teaming uden for TIBER-rammen

Det skal I lade være med

At bestille på ordet alene · afklar spørgsmålet først.
At tie om et andet valg · bestyrelsen skal vide, hvis direktionen vælger en anden form.
At love mere, end formen kan · sig højt, hvad den ikke dækker.
At springe forudsætningerne over · en øvelse uden et forsvar at måle giver et tyndt svar.
At lade tilbagemeldingen vente til rapporten · aftal formen nu.

Hvad kan og ikke kan konkluderes

En afklaret bestilling viser, at direktionen har forstået, hvad bestyrelsen vil vide, og har valgt en form, der kan svare. Den sikrer ikke, at øvelsen finder noget bestemt, og den erstatter ikke de generelle overvejelser om test, budget og leverandør. Dem finder I på sikkerhedstesten.dk.

Tjekliste til direktionen

☐ Ved vi, hvorfor bestyrelsen beder om red teaming nu?
☐ Er ønsket skrevet om til et spørgsmål, der kan besvares med nej?
☐ Har vi valgt den form, der passer til spørgsmålet?
☐ Har vi sagt højt, hvad formen ikke dækker?
☐ Er indstillingen sendt til bestyrelsen, før der bestilles?
☐ Er det afklaret, om DORA eller TIBER-rammen spiller ind?

Kilder

Direktiv (EU) 2022/2555 (NIS2): artikel 20 om ledelsesorganets godkendelse af og tilsyn med cybersikkerhedsforanstaltningerne, som er baggrunden for bestyrelsens interesse.
Forordning (EU) 2022/2554 (DORA): artikel 5 om ledelsesorganets ansvar og artikel 26 om TLPT for de finansielle enheder, myndigheden identificerer.
ECB: TIBER-EU Framework (2025): rammens målgruppe, herunder enheder, der ønsker at gennemføre frivillige TIBER-EU-test, og brugen af rammen som grundlag for TLPT efter DORA.

Senest gennemgået: oktober 2026.