Business case for red teaming over for direktionen

En direktion, der allerede betaler for penetrationstest, overvågning og awarenesstræning, vil med rette spørge, hvad en red team-øvelse tilføjer. En holdbar business case svarer på det med en beslutning, ikke med frygt: Øvelsen skal give direktionen et svar, den ikke kan få på anden måde, om et forsvar, den allerede har investeret i. Den bygger på problemet, alternativerne, øvelsens egne risici og den brug, resultatet skal have.

Det er en fordel at gå uden om tal, der ikke kan dokumenteres. Påstande om, hvor ofte angreb lykkes, eller hvad et angreb koster, bliver let mødt med skepsis og flytter samtalen væk fra jeres egen situation.

Begynd med det, direktionen allerede har købt

Det stærkeste argument kan være det, organisationen har investeret i. Overvågning, beskyttelse af identiteter, beredskabsplaner og aftaler med leverandører er alle køb, som skal virke den dag, en modstander dukker op. Direktionen har måske aldrig set dem virke sammen under pres.

En red team-øvelse er en måde at efterprøve de investeringer på. Det handler ikke om at finde endnu flere svagheder, men om at se, om forsvaret som helhed gør det, det er købt til. Sådan formuleret bliver øvelsen en kontrol af eksisterende udgifter frem for en ny udgiftspost.

Tænk på den økonomidirektør, der godkendte overvågningsaftalen for nogle år siden. Direktøren har aldrig set aftalen blive afprøvet mod en modstander, der prøver at undgå at blive set. Det samme gælder bestyrelsen, der har fået at vide, at beredskabsplanen er på plads. En øvelse giver dem mulighed for at se, om de antagelser, beslutningerne hvilede på, holder. → Det, red teaming afprøver

Gør spørgsmålet konkret

Direktionen skal kunne se, hvilket spørgsmål øvelsen besvarer. Formuler det i forretningens sprog: kan en modstander stoppe vores ordremodtagelse, få fat i kundernes oplysninger eller udløse en falsk betaling, uden at vi opdager det i tide? Når spørgsmålet er knyttet til en funktion, direktionen selv er ansvarlig for, er det lettere at se værdien af svaret.

Spørgsmålet bør også pege på en beslutning. Hvis svaret er nej, hvad vil direktionen så gøre? Hvis svaret er ja, hvad kan den så holde op med at bekymre sig om? En øvelse, hvis svar ikke ændrer noget, er svær at forsvare.

Det kan også hjælpe at sige, hvornår svaret er brug for. Hvis direktionen skal tage stilling til en ny overvågningsaftale, en større omlægning til cloud eller en fornyelse af forsikringen, kan øvelsen planlægges, så resultatet ligger klar før beslutningen. Så bliver værdien synlig i en konkret sammenhæng og ikke kun som et generelt ønske om mere sikkerhed. → Formålet med øvelsen

Vis alternativerne

En god business case viser, at andre muligheder er overvejet. Direktionen kan spørge til dem alligevel:

Flere penetrationstest · finder svagheder i bestemte systemer, men viser ikke, om forsvaret reagerer.
En skrivebordsøvelse · afprøver beslutninger og planer, men ikke om overvågningen faktisk ser noget.
Purple teaming · bygger opdagelsesevne op i samarbejde, men afprøver ikke forsvaret uden forvarsel.
Ingen øvelse · billigst på kort sigt, men lader spørgsmålet stå ubesvaret.

Det er legitimt at konkludere, at en af de andre former er bedre lige nu. En business case, der anbefaler noget andet end red teaming, er ikke en fiasko, hvis den hviler på en ærlig vurdering. → Red teaming, tabletop og beredskabsøvelse

Beskriv omkostningerne uden at gætte

Direktionen vil vide, hvad øvelsen koster. Beløbet afhænger af opgaven og kan først fastlægges, når omfanget er beskrevet. Det, I kan gøre i business casen, er at forklare, hvad der driver omfanget: antal scenarier, om mennesker og bygninger indgår, øvelsens varighed, og hvor meget opfølgning der skal leveres.

Husk de interne omkostninger. White team skal bruge tid før, under og efter øvelsen. Systemejere, HR og jura skal inddrages. Og fundene kræver rettelser, der først kan prissættes, når de er kendt. Det er ærligt at sige det direkte og at foreslå, at der afsættes en ramme til opfølgning, som kan justeres, når rapporten foreligger. En business case, der kun nævner leverandørens pris, undervurderer den samlede indsats. → Hvad bestemmer omfanget

Tag risikoen ved selve øvelsen alvorligt

En kritisk direktør vil spørge, om øvelsen kan skade driften, medarbejderne eller omdømmet. Svaret er, at risikoen findes, og at den håndteres med styring: et white team med mandat, rules of engagement, stopregler, fredede systemer og en procedure, der skiller øvelse fra virkeligt angreb.

Det er bedre at nævne risikoen selv end at blive spurgt. Beskriv kort, hvem der kan stoppe øvelsen, hvilke systemer der holdes ude, og hvordan medarbejdere, der indgår, bliver beskyttet mod at blive udstillet. Det viser, at sikkerhedsfunktionen har gennemtænkt øvelsen, og det giver direktionen mulighed for at sætte grænser, den kan stå inde for. → Risikovurdering af øvelsen

Hvad direktionen får, og hvad den ikke får

Vær præcis om leverancen. Direktionen får et svar på det aftalte spørgsmål, en fortælling om, hvordan forsvaret reagerede, en liste over forbedringer med ejere og en vurdering af, hvad der bør prioriteres. Den får ikke en garanti, en certificering eller en samlet karakter for organisationens sikkerhed.

Hvordan ledelsen generelt kan tage stilling til sikkerhedstest, og hvad den kan forvente af dem, er beskrevet på sikkerhedstesten.dk. For CISO’en er pointen, at forventningerne skal afstemmes, før øvelsen bestilles, ikke når rapporten ligger på bordet. Aftal også, hvordan direktionen vil have resultatet præsenteret, og hvem der får det at se. → Hvad sikkerhedsfunktionen får ud af en øvelse

Det skal I lade være med

At bruge skræmmetal uden kilde · de svækker troværdigheden.
At love, at øvelsen gør organisationen sikker · den viser, hvor der skal arbejdes.
At skjule de interne omkostninger · white team og opfølgning tager tid.
At udelade alternativerne · direktionen vil spørge til dem.
At sælge øvelsen som et svar på alt · ét scenarie giver ét svar.
At tie om risikoen · den er en del af beslutningen.

Hvad kan og ikke kan konkluderes

En business case kan vise direktionen, hvorfor en øvelse er det rigtige næste skridt, hvad den skal besvare, og hvordan risikoen styres. Den kan ikke på forhånd vise, hvad øvelsen vil finde, eller fastslå værdien i kroner, før omfang og resultat kendes. Direktionens godkendelse af business casen er heller ikke det samme som en godkendelse af selve øvelsens regler; den kommer bagefter.