Certificeringer hos red team‑holdet: hvad de siger, og hvad de ikke siger

Et tilbud på en red team-øvelse kan indeholde en række forkortelser for certificeringer, en akkreditering af firmaet og måske en henvisning til en godkendelse under en national ramme. For en CISO er spørgsmålet, hvad hver af dem faktisk dokumenterer, og hvor meget de kan bære i valget af leverandør. For at vurdere dem skal I holde tre forskellige papirer adskilt: certificering af personer, akkreditering af virksomheder og godkendelse under en bestemt ordning.

Kort sagt viser en certificering, at en navngiven person har bestået en prøve, og en akkreditering, at et firma har dokumenteret processer for en bestemt type ydelse. Ingen af dem viser, at netop de personer, der skal arbejde i jeres miljø, har erfaring med jeres scenarier, eller at de vil arbejde forsvarligt sammen med jeres white team. Derfor er de et udgangspunkt for spørgsmål, ikke et svar.

Tre slags papirer i et tilbud

Personcertificering · en enkeltperson har bestået en prøve i en disciplin hos en certificeringsorganisation.
Virksomhedsakkreditering · et firma er vurderet på processer, metoder og datahåndtering for en eller flere typer ydelser.
Godkendelse under en ordning · et firma er godkendt til at levere test under en bestemt myndigheds ramme i et bestemt land.

De tre bliver let blandet sammen i markedsføring. Spørg derfor altid, hvem papiret gælder for, hvem der har udstedt det, og hvilken ydelse det dækker.

Bed om, at tilbuddet knytter hvert papir til en navngiven person eller en bestemt ydelse. Et tilbud, der lister certifikater for hele firmaet uden at sige, hvem der skal deltage i jeres øvelse, giver jer ikke det, I skal bruge. Det samme gælder et logo for en akkreditering uden angivelse af, hvilke ydelser den omfatter. Når oplysningerne står præcist, kan I også skrive dem ind i kontrakten, så en udskiftning på holdet undervejs kræver jeres accept.

Personcertificeringer

Den britiske organisation CREST har prøver rettet mod simuleret angreb. På CRESTs side for certificeringer står CREST Certified Red Team Specialist og CREST Certified Red Team Manager, tidligere kendt under andre navne, og prøverne afholdes som eksamen. Bank of Englands vejledning til CBEST beskriver manager-certifikatet som et bevis på kompetence inden for penetrationstest, projektledelse og styring af risici for driftssystemer og specialist-certifikatet som et bevis på stor erfaring med teknikker til simuleret angreb.

En personcertificering siger noget om den enkelte persons viden på det tidspunkt, prøven blev bestået. Den siger ikke, om personen er med på holdet til jeres øvelse, og CRESTs oversigt over certificeringerne oplyser ikke noget om gyldighedsperioden. Spørg derfor, hvem der har certifikatet, hvornår det er udstedt, og om det stadig er gyldigt hos udstederen. → Red team-holdet

Virksomhedsakkreditering

CREST akkrediterer også firmaer. Ifølge CRESTs beskrivelse vurderes firmaets processer, metoder til at levere ydelserne og håndtering af data, og akkrediteringen er opdelt efter ydelse, fx penetrationstest, efterretningsbaseret penetrationstest og trusselsefterretning til simuleret angreb. Akkrediterede firmaer skal fortsat leve op til standarderne og vurderes igen med mellemrum.

Det betyder, at en akkreditering for penetrationstest ikke dækker red teaming. Bed om at se, hvilke ydelser akkrediteringen omfatter. En akkreditering siger heller ikke noget om de tilknyttede konsulenter, et firma bruger til større opgaver, medmindre de er omfattet af firmaets egne processer. → Tilknyttede konsulenter

Godkendelse under en national ramme

Nogle lande har ordninger, hvor leverandører godkendes til trusselsbaserede test af finanssektoren. Bank of England beskriver i sin vejledning til CBEST, at leverandørerne gennemgår en akkreditering, at de skal være medlemmer af CREST og følge et håndhævet adfærdskodeks, og at de skal have ansat certificerede personer til efterretning og test. Godkendelsen gælder CBEST i Storbritannien og siger ikke i sig selv noget om test under andre landes rammer eller om frivillige øvelser i Danmark. → CBEST og andre rammer

TIBER-EU-rammen fra 2025 anbefaler, hvor det er muligt, at leverandører er akkrediteret og certificeret af en anerkendt instans som i stand til at gennemføre en TIBER-test, men navngiver ikke en bestemt ordning. DORA artikel 27, stk. 1, litra c, kræver, at testere i en TLPT er certificeret af et akkrediteringsorgan i en medlemsstat eller har overholdt formelle adfærdskodekser eller etiske rammer, og forordning (EU) 2025/1190 kræver i artikel 7, stk. 1, litra a, kopier af certificeringer, der er velegnede efter anerkendte markedsstandarder. Ingen af de to forordninger nævner en bestemt certificering ved navn. Kravene gælder TLPT, og de er gennemgået for sig. → Krav til testere i DORA artikel 27

Det, papirerne ikke viser

Selv et hold med de rigtige certifikater kan være det forkerte til jeres øvelse. Papirerne viser ikke:

Erfaring med jeres scenarier · fx en bestemt type forretningsproces, OT eller et cloudmiljø.
Fysisk adgang og social engineering · de nævnte ordninger er ikke selvstændige certificeringer for den del, selv om forordning 2025/1190 regner fysisk indtrængning og social manipulation med til holdets kompetencer i en TLPT.
Dømmekraft og etik · om holdet stopper i tide og respekterer de medarbejdere, det møder. → Etik i red teaming
Samarbejdet med white team · om holdlederen kommunikerer klart og følger stopregler.
Formidling · om resultatet kan forklares for både teknikere og direktion.

Det er her, referencer, en beskrivelse af metoden og en samtale med den holdleder, der skal lede jeres øvelse, gør forskellen. Til sammenligning kræver forordning 2025/1190 fem referencer fra eksterne testere i en TLPT, ud over certificeringerne. → Valg af leverandør til red teaming

Det skal I lade være med

At sammenligne tilbud på antal forkortelser · tæl de personer, der faktisk skal deltage.
At acceptere en firmaakkreditering for den forkerte ydelse · penetrationstest er ikke red teaming.
At tro, at en udenlandsk godkendelse gælder i Danmark · en ordning gælder sin egen ramme.
At undlade referencer, fordi certifikaterne er i orden · papirer viser ikke erfaring med jeres type opgave.
At bruge en certificering som erstatning for white team · styringen af øvelsen ligger hos jer.

Hvad kan og ikke kan konkluderes

Certificeringer og akkrediteringer er et nyttigt mindstemål for viden og processer, og de gør det lettere at stille præcise spørgsmål til et tilbud. De kan ikke vise, at holdet passer til jeres scenarier, at de navngivne personer deltager, eller at øvelsen bliver styret forsvarligt. Hvad der generelt kendetegner en penetrationstester, beskriver penetrationtest.dk.

Tjekliste til tilbuddet

☐ Personer · hvem på holdet har hvilke certifikater, udstedt af hvem og hvornår?
☐ Gyldighed · kan certifikaterne bekræftes hos udstederen?
☐ Akkreditering · hvilke ydelser dækker firmaets akkreditering?
☐ Ordning · gælder en nævnt godkendelse den ramme, jeres øvelse foregår under?
☐ Referencer · er der referencer fra opgaver af samme type som jeres?
☐ Holdleder · har I talt med den person, der skal lede holdet?

Kilder

CREST, certificeringer: CREST Certified Red Team Specialist og CREST Certified Red Team Manager, afholdt som eksamen.
CREST, akkreditering: akkreditering af firmaer efter ydelse og løbende genvurdering.
Bank of England, CBEST Threat Intelligence-Led Assessments Implementation Guide (2024): afsnit 6.4.1 og 6.4.2 om akkrediterede leverandører og certificerede personer.
TIBER-EU Framework, 2025: afsnit 4.1.3 om minimumskrav til leverandører.
Forordning (EU) 2022/2554 (DORA): artikel 27, stk. 1, litra c.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 7, stk. 1, litra a, d og f, nr. ii.

Senest gennemgået: oktober 2026.