Cyberresiliens: hvad øvelsen siger om evnen til at komme igen

Ledelser spørger i stigende grad til resiliens og ikke kun til sikkerhed, og det rejser spørgsmålet, om en red team-øvelse kan svare. Svaret hviler på, hvordan resiliens defineres: som evnen til at forudse, modstå, komme sig over og tilpasse sig angreb og andre belastninger. En øvelse siger mest om de to første og kun lidt om de to sidste, medmindre den bevidst er bygget til det.

For sikkerhedsfunktionen betyder det, at resiliens kan være et legitimt formål med en øvelse, men at formålet skal oversættes til noget, øvelsen faktisk kan måle.

Fire evner i én definition

I NIST’s ordliste er cyberresiliens beskrevet som evnen til at forudse, modstå, komme sig over og tilpasse sig ugunstige forhold, belastninger, angreb eller kompromittering af systemer, der bygger på cyberressourcer. Definitionen er nyttig, fordi den deler et stort ord op i fire dele, som hver kan diskuteres for sig.

Forudse · kender organisationen de trusler, der er relevante, og har den forberedt sig på dem?
Modstå · kan forsvaret opdage og begrænse et angreb, mens det står på?
Komme sig · kan forretningen genetablere systemer og data inden for det, den kan tåle?
Tilpasse sig · bliver erfaringerne omsat til ændringer, der holder?

En red team-øvelse er stærkest i de to første. Den kan vise, om trusselsbilledet var forstået, og om forsvaret reagerede, da modstanderen bevægede sig. De to sidste evner kræver, at øvelsen fortsætter ud over det tidspunkt, hvor holdet når målet eller bliver stoppet, eller at den suppleres med andre former for afprøvning. Det er en beslutning, som skal træffes, før scenariet godkendes, fordi den påvirker både deltagere, varighed og rapportens indhold. → Det, red teaming afprøver

Begrebet i finanssektoren

DORA, forordning (EU) 2022/2554, bruger begrebet digital operationel modstandsdygtighed. Definitionen i artikel 3, nr. 1, handler om den finansielle virksomheds evne til at opbygge, sikre og gennemgå sin operationelle integritet og pålidelighed, så tjenesterne kan leveres videre, også under forstyrrelser. Den trusselsbaserede penetrationstest i DORA er et af redskaberne til at afprøve den evne, men ikke det eneste.

Nationalbanken beskriver formålet med TIBER-DK på samme måde: læringen fra testen skal styrke beskyttelse, opdagelse og reaktion og dermed modstandskraften i sektoren. Uden for den regulerede ramme kan en almindelig øvelse have samme overordnede formål, men den giver ingen attestation og tæller ikke som TLPT. → DORA’s testprogram

Det, øvelsen kan vise om modstandskraft

En øvelse giver konkrete svar på dele af resiliensspørgsmålet. Den kan vise, hvor langt en modstander kom, før nogen reagerede, og hvor tæt den kom på de funktioner, forretningen ikke kan undvære. Den kan også vise, om eskaleringen nåede dem, der skulle træffe beslutninger, og om de beslutninger begrænsede skaden.

Et andet svar handler om afhængigheder. Når holdet bevæger sig mod et mål, kan det blive tydeligt, hvor mange funktioner der hviler på de samme konti, systemer eller leverandører. Det er viden, der er værdifuld for genopretningsplanen, selv om øvelsen aldrig afprøvede genopretningen. → Målet for øvelsen

Et tænkt eksempel

Et pensionsselskab vælger et scenarie, hvor målet er at kunne stoppe udbetalinger til medlemmerne. Holdet når ikke helt frem, fordi overvågningen reagerer, men undervejs viser det sig, at både udbetalingssystemet, den fælles fildeling og administrationen af backup hviler på den samme gruppe af administratorkonti.

For resiliensen er det sidste fund mindst lige så vigtigt som opdagelsen. Hvis en modstander havde nået de konti, kunne både drift og genopretning være ramt på én gang. Rapporten giver derfor to slags læring: forsvaret virkede i denne omgang, og genopretningsplanen hviler på en antagelse, der ikke holder. Det er netop den slags sammenhæng, ledelsen spørger efter, når den taler om resiliens.

Når genopretningen også skal med

Hvis ledelsen især vil vide, om organisationen kommer igen efter et alvorligt angreb, kan øvelsen kobles til andre former for afprøvning. Tre måder er almindelige:

En opfølgende skrivebordsøvelse · forløbet fra red team-øvelsen bruges som udgangspunkt for at øve beslutninger om genopretning, kommunikation og prioritering.
Afprøvning af genetablering · drift og forretning afprøver separat, om kritiske systemer og data kan genetableres, gerne med de afhængigheder, øvelsen afslørede.
Et scenarie med et forretningsmål · målet formuleres som en trussel mod en funktion frem for et system, så resultatet kan læses i forretningens sprog.

Koblingen kræver, at white team planlægger den fra starten. Ellers ender red team-rapporten og genopretningsøvelsen som to adskilte dokumenter, der aldrig bliver læst sammen. → Red teaming, tabletop og beredskabsøvelse

Tilpasning er det, der tæller over tid

Den fjerde evne, at tilpasse sig, viser sig først efter øvelsen. Den kan ikke måles på dagen, men den kan følges. Bliver fundene til ændringer i overvågning, processer og ansvar? Holder ændringerne, når den næste reorganisering eller det næste leverandørskifte kommer?

Det er her, øvelsen får sin varige værdi for resiliensen. En organisation, der gennemfører øvelser, men ikke ændrer noget, bliver ikke mere modstandsdygtig. Opfølgningen er derfor en del af resiliensarbejdet og ikke en administrativ eftertanke. En næste øvelse, der vender tilbage til et beslægtet mål, kan vise, om tilpasningen har fundet sted, så længe forskellene mellem de to øvelser holdes for øje. → Opfølgning efter øvelsen

Det skal I lade være med

At sælge øvelsen som en resiliensmåling · den belyser dele af resiliensen, ikke det hele.
At udelade forretningen · resiliens handler om funktioner, som kun forretningen kan prioritere.
At lade genopretning være en anden afdelings problem · planlæg koblingen sammen.
At sidestille en frivillig øvelse med TLPT · DORA’s regulerede test har sine egne krav og sin egen attestation.
At afslutte uden opfølgning · den evne, der skal tilpasse sig, bliver aldrig afprøvet.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan sige noget om, hvordan organisationen forudså og modstod et bestemt angreb, og den kan pege på afhængigheder, der betyder noget for genopretningen. Den kan ikke alene vise, at organisationen kan genetablere driften, eller at den er modstandsdygtig over for andre typer belastning. Den dokumenterer heller ikke opfyldelse af DORA. Resiliens kræver flere former for afprøvning, der ses i sammenhæng.

Tjekliste før I sætter resiliens som formål

☐ Er det aftalt, hvilke af de fire evner øvelsen skal belyse?
☐ Er målet formuleret som en trussel mod en forretningsfunktion?
☐ Er drift og forretning med i planlægningen af en eventuel opfølgende øvelse?
☐ Er det besluttet, hvordan afhængigheder fra øvelsen føres videre til genopretningsplanen?
☐ Er der en ejer af opfølgningen og en dato for status?
☐ Er forbeholdene skrevet ned, før resultatet præsenteres for ledelsen? → Afrapportering til direktion og bestyrelse

Kilder

CSRC Glossary: cyber resiliency: definitionen med de fire evner at forudse, modstå, komme sig over og tilpasse sig.
Forordning (EU) 2022/2554 (DORA): artikel 3, nr. 1, definitionen af digital operationel modstandsdygtighed.
Danmarks Nationalbank: TIBER-DK Implementation Document: formålet med at styrke beskyttelse, opdagelse og reaktion og dermed modstandskraften.

Senest gennemgået: oktober 2026.