Etik i red teaming: en øvelse mod jeres egen organisation

En red team-øvelse er en aftalt handling mod jeres egen organisation, og den rammer mennesker, der ikke har sagt ja til at være med. Om øvelsen er etisk forsvarlig, hviler på tre spørgsmål: står metoderne i rimeligt forhold til det, I vil lære, behandles de berørte medarbejdere med respekt, og håndteres de oplysninger, holdet ser, med samme omhu, som organisationen ellers ville kræve?

Etik er ikke et tillæg til den juridiske tilladelse. En øvelse kan være lovlig og godkendt af ledelsen og alligevel skade tilliden mellem medarbejdere og sikkerhedsfunktionen. Den skade kan koste mere end det, øvelsen gav af læring.

Proportionalitet: hvor langt må øvelsen gå?

Realisme er formålet, men realisme har en pris. Jo tættere øvelsen kommer på en virkelig modstander, jo større er risikoen for at skade drift, data og mennesker. Spørgsmålet er derfor ikke, hvad en modstander ville gøre, men hvad I har brug for at afprøve for at besvare øvelsens spørgsmål.

Nogle metoder bør altid overvejes nøje, selv om en virkelig modstander ville bruge dem:

Pres på enkeltpersoner · scenarier, der udnytter frygt, skyld eller personlige forhold.
Private oplysninger · brug af medarbejderes privatliv og familie som indgang.
Følsomme emner · fx sygdom, afskedigelser eller løn som påskud.
Uoprettelig skade · handlinger, der kan ødelægge data eller udstyr.

Beslutningen om at tage noget med eller lade det være skal træffes af ledelsen med sikkerhedsfunktionens rådgivning, og den skal skrives ned. Begrundelsen er vigtig. Hvis en metode bliver valgt fra, skal rapporten sige det, så ingen bagefter tror, at den del af forsvaret er afprøvet. → Private profiler og sociale medier

Mennesker er ikke fund

En social engineering-del af øvelsen kan vise, at nogen klikkede, svarede eller lukkede døren op. Det er ikke et fund om den person. Det er et fund om de processer, den uddannelse og de tekniske kontroller, der skulle have hjulpet personen til at handle anderledes.

Det har konsekvenser for, hvordan øvelsen gennemføres og rapporteres. Navne bør ikke fremgå af rapporten. Resultater må ikke bruges i personalesager. Og de berørte bør få en ordentlig debriefing, der forklarer, hvorfor de blev udvalgt, og hvad organisationen lærer af det. Debriefingen bør ske hurtigt efter øvelsen og helst af en person, som medarbejderen har tillid til, ikke af holdet selv. → Medarbejderhensyn

Overvej også, hvem der slet ikke bør være mål. Det kan være medarbejdere i en sårbar situation, nyansatte i deres første uger eller personer, hvis rolle gør, at en øvelse kan få konsekvenser uden for organisationen. → Personer, der ikke må være mål

Persondata, holdet ser

En red team-øvelse kan give holdet adgang til oplysninger, som det ikke har brug for: mails, dokumenter, personaleoplysninger og kundedata. Selv om holdet er bundet af fortrolighed, er det en behandling af personoplysninger, som organisationen skal kunne stå inde for.

Databeskyttelsesforordningen indeholder et princip om dataminimering, hvor oplysninger skal være begrænsede til det nødvendige i forhold til formålet. Det kan omsættes til konkrete aftaler: holdet skal dokumentere, at målet er nået, uden at kopiere mere end nødvendigt, og alt, der er indsamlet, skal håndteres sikkert og slettes efter aftale. Datatilsynet er tilsynsmyndighed og vejleder om reglerne. Teksten er ikke juridisk rådgivning, og den konkrete vurdering bør ske sammen med organisationens databeskyttelsesrådgiver. → Persondata i øvelsen

Tillid i organisationen

En øvelse kan skabe mistillid, hvis medarbejderne oplever den som en fælde. Det gælder især, hvis den bliver kendt på en uheldig måde, fx gennem rygter, eller hvis de berørte føler sig udstillet.

Der er flere måder at mindske risikoen på. Organisationen kan på forhånd fortælle, at den gennemfører sikkerhedsøvelser, uden at sige hvornår. Tillidsrepræsentanter og HR kan inddrages i planlægningen. Og kommunikationen efter øvelsen kan fokusere på, hvad organisationen har lært og vil ændre, frem for på, hvem der blev narret. Når medarbejderne ser, at en øvelse fører til bedre processer og ikke til bebrejdelser, bliver det lettere at gennemføre den næste. → HR, tillidsrepræsentanter og samarbejdsudvalg

Valg, der først opstår undervejs

Ikke alle etiske spørgsmål kan forudses i planlægningen. Holdet kan finde oplysninger om en igangværende personalesag, støde på tegn på, at en medarbejder gør noget uregelmæssigt, eller opdage, at en indgang går gennem en tredjeparts systemer, som ingen havde tænkt på.

Aftal derfor en fast fremgangsmåde for den slags situationer. Holdet stopper den pågældende aktivitet, kontakter white team og venter på en beslutning. White team vurderer, om forholdet skal håndteres uden for øvelsen, og hvem der i givet fald skal informeres. Beslutningen skrives ind i logbogen, så det senere kan ses, hvad der skete, og hvorfor. → Stopregler

Det er også white teams opgave at sige fra, hvis øvelsen er ved at bevæge sig ud over det, der blev godkendt, selv om holdet er tæt på målet. Et nået mål er ikke en begrundelse for at overskride rammerne.

Leverandørens etik

Etikken afhænger også af holdet. En leverandør skal kunne forklare, hvordan den håndterer de etiske valg undervejs: hvad holdet gør, hvis det støder på følsomme oplysninger, hvordan det undgår at gå ud over aftalen, og hvordan det dokumenterer sine handlinger.

Spørg leverandøren direkte, hvordan den har håndteret etiske gråzoner tidligere, uden at bede om kundenavne. Svaret kan sige mere end en certificering. Nielco IT underskriver fortrolighedsaftale på forespørgsel og tilbyder red teaming med social engineering og fysisk adgang. → Valg af leverandør til red teaming

Det skal I lade være med

At lade realisme alene bestemme metoderne · formålet skal begrunde dem.
At skrive navne på medarbejdere i rapporten · fund handler om processer.
At bruge resultater i personalesager · det ødelægger tilliden til alle fremtidige øvelser.
At lade holdet samle mere data end nødvendigt · dokumentation kan ske uden kopier af alt.
At springe debriefing over · de berørte skal forstå, hvad der skete, og hvorfor.
At glemme HR og tillidsrepræsentanter · de kan hjælpe med at undgå fejl.

Hvad kan og ikke kan konkluderes

En etisk gennemført øvelse kan give læring uden at skade tilliden og kan vise, at organisationen tager både sikkerhed og medarbejdere alvorligt. Etikken kan ikke sikres alene gennem en kontrakt eller en tilladelse; den afhænger af valg under hele forløbet. Om en bestemt behandling af personoplysninger er lovlig, er en juridisk vurdering, som ikke kan besvares generelt.

Tjekliste før start

☐ Er metoderne begrundet i øvelsens formål?
☐ Er det besluttet, hvilke personer og emner der er udelukket?
☐ Er det aftalt, at navne ikke fremgår af rapporten?
☐ Er der en aftale om dataminimering, opbevaring og sletning?
☐ Er HR og eventuelt tillidsrepræsentanter inddraget?
☐ Er debriefing af berørte medarbejdere planlagt?

Kilder

Forordning (EU) 2016/679 (databeskyttelsesforordningen): artikel 5, stk. 1, litra c, om dataminimering.
Datatilsynet: den danske tilsynsmyndighed for databeskyttelse med vejledning om reglerne.

Senest gennemgået: oktober 2026.