Hvem må kende resultatet? Fortrolighed efter øvelsen

Under øvelsen handler fortrolighed om at holde øvelsen skjult. Bagefter handler den om noget andet: resultatet skal bruges af flere, men det beskriver præcis, hvor forsvaret ikke så noget, og hvilken vej der førte til målet. Delingen hviler på tre valg: hvem der ejer materialet, hvilke versioner der findes, og hvilken version hver modtager får.

Det korte svar er, at næsten alle, der skal handle, må kende deres del af resultatet, men kun få må kende det hele.

Hvorfor resultatet er mere følsomt end en testrapport

En rapport fra en penetrationstest beskriver svagheder i bestemte systemer. En rapport fra en red team-øvelse beskriver også, hvornår overvågningen var blind, hvilke henvendelser medarbejdere reagerede på, hvordan en bygning kunne nås, og hvor lang tid der gik, før nogen greb ind. Samlet er det en beskrivelse af, hvordan organisationen kan angribes med held. → Red team-rapporten

De tekniske reguleringsstandarder for TLPT definerer følsomme oplysninger som oplysninger, der let kan udnyttes til angreb på IKT-systemer, intellektuel ejendom, fortrolige forretningsdata eller personoplysninger og kan skade virksomheden, hvis de falder i hænderne på ondsindede aktører. Standarderne lader testlederne og TLPT-myndigheden bede om, at de rapporter, de modtager, ikke indeholder sådanne oplysninger. Det er en god rettesnor også for frivillige øvelser: jo længere ud et dokument skal, jo færre følsomme detaljer.

Én ejer af materialet

Nationalbanken skriver i implementeringsdokumentet for TIBER-DK, at virksomheden er den juridiske ejer af alt materiale fra testen og selv har ansvaret for at dele det relevante med sine myndigheder, når det kræves. Samme dokument fastslår, at Nationalbankens TIBER Cyber Team ikke deler oplysninger om den konkrete test internt eller med andre myndigheder uden virksomhedens samtykke.

Uanset ramme er det en fordel at udpege én ejer af materialet efter øvelsen, i reglen white team-lederen eller CISO’en. Ejeren beslutter, hvem der får hvad, og fører en liste over, hvad der er sendt til hvem. Listen er også grundlaget for at kalde materiale tilbage eller få det slettet senere. → Fortrolighed om øvelsen

Versioner frem for én rapport

Det er ikke nødvendigvis hensigtsmæssigt at dele den samme rapport med alle. Planlæg i stedet nogle få versioner:

Den fulde rapport · holdets og forsvarets rapporter med tidslinje og bilag, til white team og de få i sikkerhedsfunktionen, der skal arbejde med detaljerne.
Forsvarets udgave · det, blue team og overvågningen har brug for for at forbedre sig, uden oplysninger om enkeltpersoner.
Ejernes udtræk · hver ejer i handlingsplanen får sine punkter og den baggrund, der er nødvendig.
Ledelsens resumé · formål, scenarie, hovedresultat og beslutninger, uden angrebsvejens detaljer. → Nøgletal til ledelsen
Den eksterne opsummering · hvad der blev afprøvet, hvornår, og at resultatet følges op, til brug over for andre.

Versionerne skrives bedst, mens holdet stadig er tilgængeligt, så formuleringerne kan kontrolleres. Giv hver version en dato og en modtagerliste, så det senere kan ses, hvem der fik hvad.

Internt: efter opgave

Inden for organisationen styres delingen af, hvad modtageren skal bruge resultatet til. Blue team skal vide, hvad der skete, også de dele, det gør ondt at høre. Ejere i IT-drift, HR og facility skal kende deres punkter. Medarbejdere, der blev en del af forløbet, skal have en forklaring, men ikke en rapport.

Tidspunktet betyder også noget. I TLPT skal lederen af kontrolteamet underrette det blå team, når den aktive fase er slut, og holdets rapport skal derefter forelægges forsvaret uden unødigt ophold. Det er en god rækkefølge at følge i frivillige øvelser også. Jo længere forsvaret går uden at kende resultatet, jo større er risikoen for, at det hører en uofficiel version fra andre, og at den version bliver den, der huskes.

Fund om mennesker kræver særlig omtanke. Oplysninger om, hvem der åbnede en dør eller svarede på en henvendelse, hører ikke hjemme i versioner, der deles bredt, og bør heller ikke stå i den fulde rapport, hvis en rolle er nok. → Fund om mennesker i rapporten

Uden for organisationen

Uden for organisationen er der tre grupper at tage stilling til.

Leverandører · en SOC-leverandør eller driftsleverandør, der var en del af forsvaret, skal have den del, der vedrører dem, og ikke fund om andre leverandører. → SOC-leverandøren og øvelsen
Koncern og søsterselskaber · fund, der går på tværs af fælles systemer, kan være relevante, men deling bør aftales med ejeren af materialet.
Revision, tilsyn og kunder · de kan have brug for at vide, at øvelsen fandt sted, hvad den omfattede, og hvordan der følges op. Detaljerne behøves ikke nødvendigvis til det formål. → Red teaming og revisionen

Over for kunder og samarbejdspartnere gælder det samme som for alle andre: beskriv, hvad øvelsen dækkede, og undgå at give indtryk af en bredere godkendelse.

Mærkning og kanaler

En fælles mærkning gør det lettere for modtageren at vide, hvad der må deles videre. Traffic Light Protocol fra FIRST er en standard til netop det formål. I version 2.0 betyder TLP:RED, at oplysningerne kun er til de enkelte modtagere, mens TLP:AMBER tillader deling efter behov i modtagerens organisation, og TLP:AMBER+STRICT begrænser delingen til organisationen selv. Den fulde rapport hører hjemme i den strengeste kategori.

Vælg også kanalen. En fuld rapport sendt som vedhæftet fil i en mail ligger bagefter i flere postkasser, end nogen kan holde styr på. Del via et sted, hvor adgangen kan ses og trækkes tilbage. → Logs, optagelser og rapport fra øvelsen

Det skal I lade være med

At sende den samme rapport til alle · lav versioner efter modtagerens opgave.
At lade delingen ske uden en ejer · så ved ingen, hvem der har hvad.
At give leverandører fund om andre · de skal kun have deres egen del.
At nævne medarbejdere i brede versioner · roller er nok.
At sende den fulde rapport som vedhæftet fil · brug et sted med kontrolleret adgang.
At bruge resultatet som bevis på sikkerhed over for kunder · beskriv omfanget i stedet.

Hvad kan og ikke kan konkluderes

En gennemtænkt deling sikrer, at de, der skal handle, får det, de skal bruge, uden at den fulde beskrivelse af angrebsvejen spredes. Den kan ikke garantere, at intet slipper ud, og den kan ikke gøre et resultat mindre følsomt, end det er. Jo færre detaljer, der forlader white team, jo mindre afhænger fortroligheden af modtagerne.

Tjekliste til deling

☐ Er der udpeget en ejer af materialet?
☐ Er versionerne defineret, og hvem får hvilken?
☐ Er oplysninger om enkeltpersoner holdt ude af brede versioner?
☐ Får leverandører kun deres egen del?
☐ Er materialet mærket, så modtageren ved, hvad der må deles videre?
☐ Føres der en liste over, hvad der er sendt til hvem?

Kilder

Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 15, om følsomme oplysninger; artikel 12, stk. 1 og 3, om underretning af det blå team og forelæggelse af rapporten; stk. 3, 4 og 7 om rapporter uden følsomme oplysninger efter anmodning.
Danmarks Nationalbank, TIBER-DK Implementation Document: virksomheden ejer materialet og deler det relevante med myndighederne; TIBER Cyber Team deler ikke uden samtykke (s. 7 og 8).
FIRST, Traffic Light Protocol: TLP 2.0 og betydningen af mærkerne.

Senest gennemgået: oktober 2026.