Bestyrelsens spørgsmål om red teaming: det, I skal have svar på, før I siger god for øvelsen

Når direktionen lægger en red team-øvelse frem til bestyrelsen, er det fristende at nikke, fordi ordet lyder grundigt. Men en red team-øvelse er en skjult, realistisk angrebssimulering mod den virkelige organisation, og den rejser andre spørgsmål end en almindelig sikkerhedstest. Bestyrelsens kontrol hviler på fire spørgsmål: hvad øvelsen skal besvare, hvem og hvad der er mål, hvilken risiko for driften der accepteres, og hvordan resultatet kommer tilbage til bestyrelsen. Har direktionen klare svar på dem, er der grundlag for at sige god for øvelsen.

Ordet red team bruges her om et hold, der efterligner en virkelig modstander. Det forsvar, der skal opdage holdet, kaldes blue team, og den lille gruppe, der styrer øvelsen og kender planen, kaldes white team. → Holdene i øvelsen

Hvorfor red teaming kræver egne spørgsmål

En penetrationstest finder svagheder i et afgrænset system, og det er ingen hemmelighed i organisationen, at den foregår. En red team-øvelse afprøver hele kæden: om et angreb bliver opdaget, om oplysningen når frem til nogen med mandat, og om der bliver handlet. Derfor kender kun en lille kreds til øvelsen, den kan foregå over uger, og den kan omfatte mennesker og bygninger.

De generelle spørgsmål om sikkerhedstest, fx om budget, leverandør og opfølgning, gælder stadig. De er beskrevet på sikkerhedstesten.dk. Spørgsmålene nedenfor er dem, der er særlige for red teaming.

Spørgsmål 1: Hvilket spørgsmål skal øvelsen besvare?

En øvelse uden et klart spørgsmål ender som en fortælling om, hvor langt holdet kom. Bestyrelsen bør bede om at se spørgsmålet formuleret i én sætning, fx: Opdager vi det, hvis en angriber med adgang til en almindelig medarbejders konto forsøger at nå vores betalingssystem? Spørgsmålet skal kunne besvares med et nej. Hvis svaret på forhånd er givet, er øvelsen ikke pengene værd.

Spørg også, hvorfor det er netop det spørgsmål. Er det valgt ud fra organisationens største bekymring, eller ud fra det, der er nemt at afprøve? Og hvem har formuleret det? Et spørgsmål, som kun sikkerhedsfunktionen har været med til at skrive, kan ende med at handle om teknik frem for forretning. Et godt spørgsmål kan forklares for en kollega i bestyrelsen, der ikke arbejder med IT, uden at miste sin pointe. → Formålet med øvelsen

Spørgsmål 2: Hvem og hvad er mål?

En red team-øvelse kan omfatte systemer, medarbejdere, leverandører og bygninger. Bestyrelsen behøver ikke kende detaljerne, men den bør vide, om øvelsen omfatter:

Medarbejdere · fx forsøg på at narre nogen til at udlevere oplysninger eller åbne en dør.
Ledelsen selv · direktion og bestyrelse kan være relevante mål, og det kræver særlige hensyn.
Bygninger · forsøg på at komme ind uden lov.
Leverandører · driftsleverandør, overvågningsleverandør eller udlejer, som skal have givet tilladelse.

Svaret siger noget om, hvor følsom øvelsen er for medarbejderforhold og omdømme. Det siger også, hvem der skal have givet tilladelse, før holdet går i gang. → Direktion og bestyrelse som mål

Spørgsmål 3: Hvilken risiko for driften accepterer vi?

Øvelsen foregår i den virkelige drift. Den er planlagt, så den ikke skader noget, men ingen planlægning kan udelukke, at et system bliver påvirket, eller at forsvaret reagerer kraftigt på noget, det tror er et rigtigt angreb. Bestyrelsen bør spørge, hvilke systemer og perioder der er holdt uden for øvelsen, hvem der kan stoppe den, og hvor hurtigt det kan ske.

Et konkret svar lyder fx sådan: Betalingskørslen ved månedsskiftet er fredet, white team kan stoppe øvelsen døgnet rundt, og den administrerende direktør er sponsor med en stedfortræder. Et uklart svar er et signal om, at planlægningen ikke er færdig.

Spørg også, hvad der sker, hvis jeres eget forsvar opdager holdet og tror, at det er et rigtigt angreb. Så kan medarbejdere begynde at lukke adgange eller tage systemer ned. Det er en del af det, øvelsen skal måle, men white team skal kunne gribe ind, før reaktionen bliver dyrere end nødvendigt. Svaret bør beskrive, hvem i white team der følger med, og hvordan de når frem til den, der træffer beslutningen. → Stopregler

Spørgsmål 4: Hvordan kommer resultatet tilbage til os?

Bestyrelsen bør aftale formen på tilbagemeldingen, før øvelsen begynder. Det omfatter, hvem der fremlægger, hvornår, og hvad bestyrelsen får at se. Den fulde rapport indeholder detaljer om angrebsvejen, som ikke hører hjemme i et bredt udsendt bestyrelsesmateriale. Bestyrelsen har brug for svaret på spørgsmålet fra punkt 1, de vigtigste årsager og de beslutninger, der skal træffes.

Aftal også, hvornår bestyrelsen hører, om handlingsplanen bliver gennemført. En øvelse uden opfølgning giver viden, men ikke en bedre organisation.

Overvej desuden, hvordan materialet opbevares. Et resumé, der beskriver, hvordan organisationen kan angribes, er følsomt. Det kan være en løsning, at resultatet fremlægges mundtligt på mødet med et kort skriftligt resumé til protokollen, mens rapporten bliver i den kreds, der skal arbejde med den. → Afrapportering til direktion og bestyrelse

Bestyrelsens grundlag for at spørge

Selskabsloven § 115 pålægger bestyrelsen i et kapitalselskab blandt andet at påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller. NIS2-direktivet artikel 20 og den danske NIS 2-lov § 7 lægger ansvaret for at godkende og føre tilsyn med cybersikkerhedsforanstaltningerne hos ledelsesorganet i de omfattede enheder. I finanssektoren har ledelsesorganet efter DORA artikel 5 det endelige ansvar for styringen af IKT-risiko.

Ingen af bestemmelserne kræver, at en bestyrelse godkender en red team-øvelse. De forklarer, hvorfor bestyrelsen har en interesse i at forstå, hvad øvelsen kan og ikke kan sige om organisationens forsvar. Hvad der konkret gælder for jer, bør afklares med jeres egen rådgiver. Teksten er ikke juridisk rådgivning.

Det skal I lade være med

At godkende ordet frem for indholdet · bed om spørgsmålet, målene og stopreglerne.
At kræve alle detaljer · jo flere der kender planen, desto mindre realistisk bliver øvelsen.
At forvente en karakter · øvelsen bestås ikke og dumpes ikke.
At glemme jer selv · hvis ledelsen er mål, skal det besluttes bevidst.
At lade tilbagemeldingen være uaftalt · ellers bestemmer rapportens form, hvad I hører.

Hvad kan og ikke kan konkluderes

Svarene på de fire spørgsmål viser, om øvelsen er gennemtænkt, og om nogen har taget stilling til risikoen. De viser ikke, hvad øvelsen vil finde, og de garanterer ikke, at intet går galt undervejs. En godkendelse fra bestyrelsen erstatter heller ikke de tilladelser, som ejere af systemer og lokaler skal give.

Tjekliste til bestyrelsesmødet

☐ Er spørgsmålet, øvelsen skal besvare, formuleret i én sætning?
☐ Ved vi, om medarbejdere, ledelse, bygninger og leverandører indgår?
☐ Er det klart, hvad der er fredet, og hvem der kan stoppe øvelsen?
☐ Er der en navngiven sponsor i direktionen med stedfortræder?
☐ Er formen og tidspunktet for tilbagemeldingen aftalt?
☐ Er det aftalt, hvornår vi hører om opfølgningen?

Kilder

Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver, herunder at påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller.
Direktiv (EU) 2022/2555 (NIS2): artikel 20 om ledelsesorganernes godkendelse af og tilsyn med foranstaltningerne til styring af cybersikkerhedsrisici.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 7 om ledelsesorganets godkendelse af og tilsyn med foranstaltningerne.
Forordning (EU) 2022/2554 (DORA): artikel 5, stk. 2, om ledelsesorganets endelige ansvar for styringen af IKT-risiko.

Senest gennemgået: oktober 2026.