Dokumentation til kunden efter jeres egen red team‑øvelse: resumé, erklæring eller intet

Når I har gennemført en red team-øvelse mod jeres egen organisation, kommer spørgsmålet fra kunderne: kan vi se resultatet? Svaret hviler på to ting, nemlig hvad kunden reelt skal bruge dokumentationen til, og hvor meget af angrebsvejen I kan lade forlade huset, uden at det skaber en ny risiko for jer og for jeres andre kunder.

Kort sagt er den fulde rapport ikke det første, I bør række ud efter. Et resumé eller en erklæring fra holdet dækker kundens behov for at vurdere jer som leverandør, og hvor kunden har en kontraktlig ret til mere, kan I tilbyde en gennemgang i stedet for en kopi. Teksten handler om jeres egen frivillige øvelse, ikke om en kundes TLPT, og den er ikke juridisk rådgivning.

Hvorfor resultatet vejer tungere end en pentestrapport

En rapport fra en penetrationstest beskriver svagheder i et afgrænset system. En rapport fra en red team-øvelse beskriver en hel vej ind: hvilke medarbejdere der svarede, hvilken leverandøradgang der blev brugt, hvor længe overvågningen var blind, og hvor tæt holdet kom på det, øvelsen skulle beskytte. Hos en leverandør kan den vej gå gennem de samme systemer, som betjener alle kunder.

Derfor er det ikke kun jeres egen sikkerhed, der står på spil, når rapporten sendes ud. En kunde, der får den fulde beskrivelse, har i hænderne, hvordan man kan nå andre kunders data gennem jer. Hvordan selve rapporten er bygget op, er beskrevet særskilt. → Red team-rapporten

Det, kunden har brug for at vide

Kunder omfattet af NIS2 skal efter direktivets artikel 21, stk. 2, litra d, have foranstaltninger for forsyningskædesikkerhed, og efter stk. 3 skal de tage hensyn til den generelle kvalitet af leverandørernes cybersikkerhedspraksis. Er kunden fx en udbyder af administrerede tjenester eller cloudtjenester, nævner punkt 5.1.4, litra e, i bilaget til forordning (EU) 2024/2690 retten til audit eller til at modtage auditrapporter som noget, der kan stå i kontrakten med leverandører.

Finansielle kunder har deres eget grundlag. DORA artikel 30, stk. 3, litra e, giver ved tjenester bag kritiske eller vigtige funktioner kunden ret til adgang, inspektion og revision, men også ret til at nå til enighed om alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes. Den sidste del er relevant, når dokumentationen også beskriver risici for andre end den kunde, der spørger.

Ingen af teksterne siger, at en leverandør skal udlevere en red team-rapport. De forudsætter, at kunden kan vurdere jer. Det er den vurdering, dokumentationen skal understøtte. → Krav om red teaming fra kunder og tilsyn

Fire niveauer at vælge imellem

Kun bekræftelse · at en øvelse er gennemført af en uafhængig part i en bestemt periode, uden yderligere detaljer.
Resumé · formål, omfang, overordnede resultater og status på opfølgningen, skrevet til eksterne læsere.
Erklæring fra holdet · leverandøren af øvelsen bekræfter, hvad der blev afprøvet, og hvornår.
Gennemgang uden kopi · en kunde med revisionsret får vist relevante dele under fortrolighed, men får intet udleveret.

Valget kan være forskelligt fra kunde til kunde. En kunde, der bruger en enkelt tjeneste, har ikke brug for det samme som en kunde, hvis kritiske funktion kører på jeres platform. Beslut niveauerne én gang, så salg og sikkerhedsfunktion svarer ens, og så den enkelte henvendelse kun handler om, hvilket niveau kunden hører til.

Hvad et resumé kan indeholde

Et resumé til kunder bør kunne læses af en indkøber eller en revisor uden at give en angriber noget at arbejde med. Det kan nævne øvelsens formål, perioden, hvilke dele af forretningen der var inden for rammerne, at et uafhængigt hold gennemførte den, og at fundene er prioriteret og fulgt op med en plan. Det bør ikke nævne konkrete systemer, medarbejdere, leverandører eller den rækkefølge, holdet bevægede sig i.

Skriv resuméet, mens holdet stadig er tilgængeligt, og lad white team-lederen godkende det. Fund om mennesker hører ikke hjemme i nogen version, der forlader organisationen. → Fund om mennesker i rapporten

Erklæringen fra holdet

En erklæring er holdets udsagn om øvelsen, ikke jeres udsagn om sikkerheden. Den kan sige, at en øvelse er gennemført, i hvilken periode, med hvilket overordnet omfang, og at resultatet er afrapporteret til jer. Den kan ikke sige, at I er sikre, eller at et bestemt krav i en kundekontrakt er opfyldt.

Aftal i kontrakten med leverandøren af øvelsen, før den begynder, om der skal udarbejdes en erklæring, og hvad den må nævne. Det er sværere at få formuleret bagefter, når holdet har afsluttet opgaven. → Kontrakten om en red team-øvelse

Spørger kunden i virkeligheden efter en pentestrapport for den løsning, kunden bruger, er det et andet dokument, som pentestrapport.dk beskriver.

Når kunden vil have mere

En kunde kan have en kontraktlig ret til mere end et resumé, eller den kan bede om det, fordi en hændelse har skabt tvivl. Spørg først, hvilket spørgsmål kunden skal kunne besvare: om jeres overvågning opdager angreb, om den tjeneste, kunden bruger, var omfattet, eller om fundene er rettet. Svaret kan i nogle tilfælde gives med et udtræk, der kun handler om kundens egen del.

Hvor kunden insisterer på mere, kan en gennemgang under fortrolighed, hvor kunden ser de relevante afsnit uden at få dem udleveret, være en mellemvej. Det kræver, at I har bestemt på forhånd, hvem hos jer der ejer materialet, og hvem der må vise hvad. → Deling af resultater

Det skal I lade være med

At sende den fulde rapport, fordi kunden spørger · den beskriver vejen til andre kunders data.
At kalde resuméet en godkendelse · det beskriver én øvelse i én periode.
At aftale erklæringen bagefter · ordlyden skal ligge fast, før holdet går i gang.
At svare forskelligt til forskellige kunder uden grund · uoverensstemmelser skaber nye spørgsmål.
At dele navne på medarbejdere eller leverandører · roller og overordnede beskrivelser er nok.

Hvad kan og ikke kan konkluderes

En gennemtænkt dokumentation viser kunden, at I afprøver jeres forsvar og følger op på resultatet, uden at beskrivelsen af angrebsvejen spredes. Den kan ikke vise, at alle jeres tjenester er sikre, og den kan ikke erstatte den test eller vurdering, en kunde selv har krav på efter kontrakten. Er kravet større end jeres leverance, er der andre veje. → Alternativer til kundens red team-krav

Tjekliste, før dokumentationen sendes

☐ Formål · ved I, hvad kunden skal bruge dokumentationen til?
☐ Niveau · er det valgt ud fra kundens rolle og kontrakt?
☐ Indhold · er systemer, personer og angrebsvej holdt ude?
☐ Andre kunder · kan beskrivelsen ramme kunder, der ikke spurgte?
☐ Godkendelse · har ejeren af materialet godkendt versionen?
☐ Log · er det noteret, hvad der er sendt til hvem og hvornår?

Kilder

Direktiv (EU) 2022/2555 (NIS2): artikel 21, stk. 2, litra d, og stk. 3, om forsyningskædesikkerhed og leverandørernes cybersikkerhedspraksis.
Kommissionens gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra e, om ret til audit eller til at modtage auditrapporter.
Forordning (EU) 2022/2554 (DORA): artikel 30, stk. 3, litra e, nr. i og ii, om adgang, inspektion og revision og om alternative sikkerhedsniveauer.

Senest gennemgået: oktober 2026.