Eskalering: fra alarm til beslutning

En organisation kan have en beskrevet eskaleringskæde uden at have set den i brug under realistiske forhold. Kæden afgør, om en observation hos en analytiker bliver til en beslutning hos en person med mandat, og om det sker hurtigt nok til at gøre en forskel. En red team-øvelse er en af de få måder at se kæden arbejde uden at vente på et rigtigt angreb. Svaret på, om kæden holder, hviler på tre forhold: klare kriterier for, hvornår der skal eskaleres, kendte modtagere på hvert niveau, og kanaler, der virker, også når det er nat, og nogen er på ferie.

Hvad eskalering er, og hvad den ikke er

Eskalering er ikke det samme som at sende en mail til en fælles postkasse. Det er en aktiv overdragelse af en vurdering til et niveau, der kan træffe en beslutning, som det forrige niveau ikke kunne. NIST’s Cybersecurity Framework 2.0 beskriver det under incident management som et selvstændigt resultat, at hændelser eskaleres eller løftes efter behov. Formuleringen er kort, men den rummer de spørgsmål, øvelsen skal besvare: hvornår er der behov, hvem løfter, og til hvem.

For finansielle virksomheder under DORA indeholder artikel 17 krav til processen for styring af IKT-relaterede hændelser. Blandt andet skal der tildeles roller og ansvar, som aktiveres for forskellige typer hændelser og scenarier, og større IKT-relaterede hændelser skal som minimum indberettes til den relevante øverste ledelse. Øvelsen kan bruges til at se, om de roller faktisk bliver aktiveret, når et forløb udvikler sig. Teksten er ikke juridisk rådgivning.

Kæden i organisationen

Kæden ser forskellig ud fra sted til sted, men niveauerne går igen:

Første observation · analytiker i SOC’en, overvågningsleverandør, servicedesk eller en medarbejder, der melder noget.
Vurdering · vagthavende eller hændelsesansvarlig, der beslutter, om der er tale om en hændelse.
Operativ ledelse · den, der kan beordre handlinger, fx at isolere systemer eller spærre konti.
Sikkerhedsledelse · CISO eller tilsvarende, der vurderer betydningen for organisationen.
Direktion og beredskab · dem, der kan aktivere krisestaben og træffe forretningsmæssige beslutninger.

For hvert niveau bør det være beskrevet, hvilke kriterier der udløser et skridt op, hvem der er modtager, og hvem der er stedfortræder. Mandatet skal også være tydeligt. En vagthavende, der ikke må isolere en server uden at spørge, skal vide, hvem der må. Gennemgå beskrivelsen før øvelsen, men ret den ikke lige inden start. Hvis kæden forbedres i ugen før, måler øvelsen en kæde, som ingen har nået at bruge, og resultatet siger mindre om hverdagen. Notér hellere de svagheder, I allerede kender, så de kan holdes op mod det, øvelsen viser. → Krisestab og ledelse i øvelsen

Hvad øvelsen afprøver

En skjult øvelse afprøver kæden, som den fungerer i hverdagen. Det er her, nogle af de mest brugbare fund kan opstå, fordi de handler om mennesker og aftaler snarere end om teknik. Relevante spørgsmål til tidslinjen er:

Blev kriterierne brugt · eller blev der eskaleret efter mavefornemmelse, eller slet ikke?
Nåede beskeden frem · til den rigtige person, eller endte den i en kø?
Blev oplysningerne bevaret · eller blev billedet ændret eller forkortet på vejen?
Var mandatet klart · eller ventede en beslutning på en person, der ikke kunne nås?
Hvor lang tid tog hvert skridt · og hvor gik tiden?

Svarene er værdifulde, uanset om holdet blev stoppet. En kæde, der virkede, men langsomt, er et andet fund end en kæde, der brast. → Alarmer, der blev overset

White teams plads i kæden

White team skal vide, når forsvaret eskalerer, uden at standse eskaleringen. TIBER-DK, Nationalbankens ramme for regulerede test, siger, at kontrolteamet bør have adgang til toppen af eskaleringskæden og skal sikre sig at blive informeret om enhver opdagelse af testen, også hos tredjepartsleverandører. Rammen gælder de regulerede test, men princippet er det samme i enhver skjult øvelse. → White team

I praksis betyder det, at mindst én person i white team sidder et sted i kæden, hvor eskaleringer naturligt passerer. Den person skal kunne følge med uden at gribe ind, så længe reaktionen er forholdsmæssig. Hvis den samme person i forvejen er en del af kæden, skal det noteres, fordi personens viden om øvelsen kan påvirke de beslutninger, der træffes. Overvej også, om white teams viden kan skinne igennem i små ting, fx en leder, der virker usædvanligt rolig.

Når eskaleringen går ud af huset

Nogle eskaleringer forlader organisationen: til politiet, til en myndighed, til kunder, til forsikringsselskabet eller til en ekstern hændelsesbistand. Den type eskalering kan ikke trækkes tilbage, og den kan skabe forpligtelser og omkostninger. Stopreglerne bør derfor sige, at white team griber ind, før en eskalering forlader organisationen på grund af øvelsen. → Stopregler

Hvordan indgrebet sker, skal være aftalt. White team kan bekræfte over for den, der står for henvendelsen, at forløbet er en del af en godkendt øvelse, eller kan bruge en forberedt dækhistorie. Selve beslutningen om at gå ud af huset er stadig et vigtigt måleresultat og skal med i tidslinjen. → Hændelsesrapportering i øvelsen

Kanaler og tidspunkter

Kæden er aldrig stærkere end de kanaler, den bruger. Hvis eskaleringen forudsætter mail eller en chat på systemer, der kan være kompromitterede, er den sårbar i en rigtig hændelse. Øvelsen kan vise, om der findes alternative kanaler, og om de bliver brugt. Den kan også vise, om kontaktlister er opdaterede, og om stedfortrædere ved, at de er stedfortrædere.

Tidspunktet betyder meget. En eskalering en hverdag kl. 10 møder fuld bemanding og kort vej til beslutningstagerne. Den samme eskalering en lørdag nat kan afhænge af en enkelt vagthavende og en telefon, der skal tages. Overvej at lægge en del af øvelsen uden for arbejdstid, hvis det er den del af kæden, I er mest usikre på. → Overvågning uden for arbejdstid

Det skal I lade være med

At regne en mail som en eskalering · eskalering er en aktiv overdragelse til et højere niveau.
At lade white team sidde uden for kæden · så opdager de eskaleringer for sent.
At lade white team stoppe eskaleringer uden at notere det · målingen bliver skæv.
At tillade eskalering ud af huset på grund af øvelsen · den kan ikke trækkes tilbage.
At afprøve kæden kun i dagtimerne · natten kan være det svageste led.
At bruge fundene til at udpege personer · kæden er et system af roller og aftaler.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, hvordan eskaleringskæden virkede for et bestemt forløb på bestemte tidspunkter, og hvor den gik i stå. Den kan ikke vise, hvordan kæden ville virke under en større hændelse med mange samtidige sager, og den afprøver kun de niveauer, forløbet faktisk nåede.

Kilder

Cybersecurity Framework 2.0, CSWP 29 fra NIST: eskalering af hændelser som resultat under incident management (RS.MA-04).
DORA, forordning (EU) 2022/2554: artikel 17, stk. 3, litra c og e, om roller ved forskellige hændelsestyper og indberetning af større hændelser til øverste ledelse.
Danmarks Nationalbank, TIBER-DK Implementation Document: kontrolteamets adgang til toppen af eskaleringskæden og information om opdagelser.

Senest gennemgået: oktober 2026.