Red teaming efter en større organisationsændring

Når to organisationer lægges sammen, en forretning bliver skilt ud, eller IT-driften flyttes til en ny leverandør, opstår der forbindelser, ansvar og processer, som aldrig har været afprøvet sammen. En red team-øvelse kan vise, om opdagelse og reaktion fungerer på tværs af det nye, men den giver kun mening, når ændringen har sat sig nok til, at resultatet ikke er forældet ved afleveringen. Svaret hviler på at vælge et tidspunkt og et scenarie, der rammer netop de steder, hvor de gamle strukturer mødes.

Spørgsmålet er altså ikke kun, om organisationen er sikker efter ændringen, men om forsvaret stadig hænger sammen, når ansvaret er flyttet, og systemerne er koblet.

Hvad en organisationsændring gør ved forsvaret

En større ændring kan påvirke flere ting på én gang. Netværk bliver forbundet, så medarbejdere kan arbejde på tværs. Brugerkataloger bliver koblet eller lagt sammen. Overvågningen kan være delt mellem to SOC-funktioner, eller en af dem bliver nedlagt. Beredskabsplaner, vagtordninger og eskaleringsveje skal skrives om.

I overgangen kan der være steder, hvor ingen helt ved, hvem der har ansvaret. En alarm fra et system, der tidligere hørte til den anden organisation, kan ende hos et team, der ikke kender systemet. En gammel forbindelse kan stå åben, fordi den stadig bruges af en enkelt proces. Det er de steder, en øvelse kan gøre synlige. Kulturen spiller også ind. Medarbejdere fra to organisationer kan have forskellige vaner for, hvornår de melder noget mistænkeligt, og hvem de melder det til. Den forskel viser sig ikke nødvendigvis i dokumenterne, men den kan afgøre, om et forløb bliver opdaget i tide. → Blinde vinkler

Tidspunktet: når det nye er i drift

En øvelse midt i en sammenlægning vil ramme et miljø, der ændrer sig hver uge. Resultaterne bliver svære at bruge, og blue team vil med rette kunne sige, at det, der blev afprøvet, ikke længere findes.

Vent derfor, til de væsentlige beslutninger er truffet og gennemført: hvordan netværkene er forbundet, hvem der overvåger hvad, og hvordan eskaleringen går. Det betyder ikke, at alt skal være færdigt. Overgangsløsninger, der forventes at leve længe, er netop værd at afprøve. Det samme gælder løsninger, som alle regner med er midlertidige, men som ingen har en dato for at fjerne. De har en tendens til at blive permanente uden at være designet til det.

Hvis ledelsen ønsker en vurdering tidligere, kan en mindre aktivitet være et bedre valg. En tabletop-øvelse om, hvem der beslutter hvad i den nye organisation, kan afsløre huller i ansvarsfordelingen uden at forstyrre driften. → Red teaming eller tabletop

Scenarier, der passer til situationen

Scenariet bør tage udgangspunkt i det, ændringen har skabt. Det kan fx være:

Bevægelse mellem de tidligere organisationer · opdages aktivitet, der krydser den gamle grænse?
Ansvar for overvågning · reagerer den rigtige funktion, når en alarm kommer fra et system, der har skiftet ejer?
Ny driftsleverandør · fungerer varsling og eskalering mellem leverandøren og jeres egen sikkerhedsfunktion? → Leverandør som scenarie
Nye processer · bliver en henvendelse om adgang behandlet efter de nye regler, eller efter de gamle?

Valget bør ske i samarbejde mellem CISO’en og de personer, der har ledet ændringen. De ved, hvor kompromiserne blev indgået. → Scenarievalg

Hvem skal give tilladelse

En organisationsændring kan gøre tilladelserne mere komplicerede. Hvis den juridiske struktur er ændret, skal det afklares, hvem der nu råder over de systemer og lokaler, øvelsen omfatter. Hvis der er en overgangsperiode, hvor den tidligere ejer stadig driver dele af IT, skal den part også give tilladelse til de handlinger, der berører dens systemer. → Red teaming i en koncern

Det gælder også medarbejderne. Personer, der lige har skiftet arbejdsgiver eller fået ny ledelse, kan være i en usikker situation. Hvis øvelsen omfatter social engineering, bør I overveje, om tidspunktet er rigtigt, og inddrage HR.

Overvågningen efter ændringen

En af de vigtigste ting at afklare er, hvordan overvågningen er organiseret nu. Hvis to SOC-funktioner er lagt sammen, eller en ekstern leverandør har overtaget, skal det fremgå af planen, hvem der i blue team skal måles, og hvem der eventuelt skal kende til øvelsen. → SOC-leverandøren og øvelsen

Det er også værd at måle, om de nye logkilder faktisk når frem. En sammenlægning kan betyde, at systemer fra den ene organisation ikke sender logs til den fælles overvågning endnu. Øvelsen kan vise, om der er huller i dækningen, før det bliver opdaget under en reel hændelse. Notér i planen, hvilke logkilder I forventer at se aktivitet i, så det bagefter kan sammenlignes med det, blue team faktisk så.

Resultaterne i integrationsarbejdet

Efter en sammenlægning kan der være et integrationsprogram med egen styregruppe, budget og tidsplan. I så fald bør resultaterne fra øvelsen føres ind dér, ikke kun i sikkerhedsfunktionens egen handlingsplan. Flere af de forbedringer, øvelsen peger på, kan handle om ansvar, processer og forbindelser, som integrationsprogrammet ejer.

Formulér derfor fundene, så de kan bruges af folk uden sikkerhedsbaggrund. Et fund om, at en alarm endte hos det forkerte team, er et spørgsmål om organisering, og det skal løses af dem, der har ansvaret for organiseringen. Et fund om en overgangsløsning, der giver bredere adgang end nødvendigt, kan blive et argument for at fremskynde en planlagt afvikling. → Fra fund til processer

Aftal også, hvem der følger op, når integrationsprogrammet lukker. Ellers risikerer forbedringerne at falde mellem to stole netop i det øjeblik, hvor ansvaret skifter igen.

Det skal I lade være med

At teste midt i overgangen · resultaterne er forældede, før de bliver brugt.
At bruge et standardscenarie · vælg det, der rammer de nye forbindelser og processer.
At glemme den tidligere ejers tilladelse · den kan stadig være nødvendig.
At lægge pres på medarbejdere i en usikker situation · overvej tidspunktet for social engineering.
At gå ud fra, at overvågningen dækker det nye · det er netop det, der skal måles.

Hvad kan og ikke kan konkluderes

En øvelse efter en organisationsændring kan vise, om forsvaret fungerer på tværs af de nye forbindelser og ansvarsområder i det valgte scenarie. Den kan ikke give et samlet billede af sikkerheden i den nye organisation, og den kan ikke erstatte en gennemgang af systemer og kontroller. Resultatet gælder det miljø, der fandtes på tidspunktet for øvelsen.

Tjekliste før planlægningen

☐ Er de væsentlige beslutninger om netværk, overvågning og eskalering gennemført?
☐ Er scenariet valgt ud fra de forbindelser og processer, ændringen har skabt?
☐ Er det afklaret, hvem der nu råder over systemer og lokaler?
☐ Er en eventuel tidligere ejer eller ny leverandør inddraget i tilladelserne?
☐ Er det besluttet, hvem i blue team der skal måles?
☐ Er HR inddraget, hvis øvelsen omfatter social engineering?

Senest gennemgået: oktober 2026.