Faserne i en red team‑øvelse fra forberedelse til afslutning

Når en red team-øvelse omtales, er det let den aktive test, der får opmærksomheden: de uger, hvor holdet forsøger at nå sine mål. Men for sikkerhedsfunktionen ligger det meste af arbejdet før og efter. Forløbet kan beskrives i fire faser: forberedelse, efterretning og scenarier, den aktive test og afslutningen. Hver fase har sine leverancer og en beslutning, der skal træffes, før den næste begynder.

Faserne følger den opdeling, TIBER-rammerne bruger for finanssektoren, men de passer også på øvelser uden for TIBER. Der findes ingen almindelig regel for, hvor lang tid hver fase tager. Det afhænger af omfang, antal scenarier og hvor hurtigt organisationen selv kan træffe beslutninger.

Forberedelsen: beslutning, rammer og leverandør

Forberedelsen begynder med spørgsmålet: hvad vil organisationen vide, som den ikke ved i dag? Derefter følger en række praktiske beslutninger, der lægger rammen for resten af forløbet.

Sponsor og godkendelse · en person i ledelsen, der bærer øvelsen og accepterer risikoen.
White team · en lille gruppe med mandat til at styre og stoppe.
Leverandør og kontrakt · hold, efterretning og vilkår for fortrolighed og ansvar.
Scope og fredede områder · kritiske funktioner, mål og udelukkelser.
Risikovurdering · hvad øvelsen selv kan påvirke, og hvordan det styres.
Tilladelser · fra udlejere, leverandører og andre tredjeparter, der kan blive berørt.

Beslutningen ved fasens slutning er, om rammerne er gode nok til at gå videre. Hvis scopet ikke er godkendt, eller tilladelserne mangler, er det bedre at udskyde end at begynde på et usikkert grundlag. → Scope i red teaming

Efterretning og scenarier

I anden fase indsamles og analyseres efterretning om de modstandere, der kan tænkes at gå efter organisationen, og om de flader, organisationen viser udadtil. Resultatet er en kandidatliste over scenarier, som white team vælger fra. I TIBER-DK leverer en særskilt leverandør af trusselsefterretning en rapport med scenarierne, og organisationen vælger og tilpasser dem. → Trusselsefterretning

Fasen kræver også bidrag fra organisationen selv: en oversigt over de systemer, der understøtter de kritiske funktioner, den aktuelle trusselsvurdering og erfaringer fra tidligere hændelser. At samle de oplysninger uden at afsløre øvelsen er en opgave i sig selv. TIBER-DK nævner, at kontrolteamet kan blive nødt til at indsamle dem langsomt og med troværdige forklaringer, og at informationsstrømmen til holdet skal styres, så holdet ikke får fordele, en modstander ikke ville have.

Beslutningen her er scenarievalget: hvilke få scenarier skal afprøves, og hvilke fravælges med begrundelse. → Scenarievalg

Testplanen: broen mellem efterretning og test

Inden den aktive test udarbejder holdet en testplan, der omsætter scenarierne til et forløb. Planen beskriver for hvert scenarie, hvad holdet vil forsøge, hvilke mål der sigtes mod, hvor holdet kan få brug for hjælp, og hvordan risici håndteres. Den angiver også kommunikationsveje og hvor ofte, der rapporteres. Planen hører til forberedelsen af testen, men den er så central, at den fortjener sin egen godkendelse.

I TIBER-DK skal testplanen godkendes af både kontrolteamet og Nationalbankens TIBER-team, og ændringer skal også godkendes. Uden for TIBER er det white team, der godkender. Spørg især ind til de steder, hvor planen nærmer sig fredede områder, og til de etiske grænser for kontakt med medarbejdere. → Rules of engagement i red teaming

Den aktive test

Under den aktive test arbejder holdet efter planen, men med frihed til at finde nye veje, når den første ikke virker. Forsvaret arbejder, som det plejer, uden at vide, at der øves. White team følger forløbet tæt, afklarer eskaleringer, godkender hjælp og ændringer og holder øje med risikoen.

For white team kan fasen være mere krævende end ventet. Medlemmerne skal kunne træffes, også uden for arbejdstid, og de skal passe deres almindelige arbejde uden at røbe, at noget andet foregår. Planlæg ferier og fravær, før fasen begynder. Det faste holdepunkt er statusmøderne mellem white team og holdet. Her gennemgås fremdrift, mål, risici og de næste skridt. → Statusmøder

Beslutningerne i fasen er små og løbende: skal holdet have et skub, skal et scenarie justeres, skal øvelsen sættes på pause? De store beslutninger, at stoppe eller afslutte før tid, følger stopreglerne, som skal være aftalt, før testen begynder.

Afslutningen: fra forløb til læring

Når den aktive test er slut, får blue team at vide, at der har været en øvelse. Holdet skriver sin rapport om forløbet, og forsvaret skriver sin om det, det så og gjorde. I TIBER-DK følger derefter en genafspilning af forløbet og en purple teaming-session, hvor holdene gennemgår udvalgte dele sammen, og til sidst en opsummering og en plan for afhjælpning. → Replay

Afslutningen er en fase, der kan blive skåret ned, når budgettet strammer. Det er en fejl. Det er her, forsvaret lærer af forløbet, og her ledelsen får et grundlag for at prioritere. Beslutningen ved fasens slutning er handlingsplanen: hvem gør hvad, og hvornår følges der op. → Handlingsplanen efter red teaming

Opfølgningen ligger uden for øvelsen

Når handlingsplanen er godkendt, er øvelsen formelt slut. Men den egentlige værdi viser sig først, når rettelserne er gennemført, og når den næste øvelse kan vise, om de virker. Planlæg derfor allerede i afslutningen, hvordan og hvornår der følges op. Opfølgningen kan bestå af mindre, målrettede kontroller frem for en ny fuld øvelse.

Det er også her, erfaringerne med selve forløbet bør samles. Hvordan fungerede white team? Holdt fortroligheden? Kom eskaleringerne hurtigt nok frem? Svarene er værdifulde for den næste øvelse, uanset hvem der skal gennemføre den, og de bør skrives ned, mens de er friske. En kort evaluering med holdet, white team og repræsentanter for forsvaret kan være nok.

Det skal I lade være med

At begynde den aktive test, før rammerne er på plads · usikre tilladelser og et ugodkendt scope giver problemer senere.
At springe efterretningen over · uden den bliver scenarierne gætværk.
At godkende testplanen uden at læse den · den er white teams bedste mulighed for at styre risikoen.
At skære i afslutningen · det er her, læringen sker.
At regne med et fast tidsforbrug · faserne tager den tid, beslutningerne kræver.

Hvad kan og ikke kan konkluderes

En faseopdelt plan gør det muligt at se, hvor øvelsen står, og hvilke beslutninger der mangler. Den siger intet om, hvor lang tid jeres øvelse vil tage. TIBER-DK’s tidsplan gælder TIBER-test og kan ikke overføres direkte til en øvelse med et andet omfang. → Faserne i TIBER-DK

Tjekliste ved hver faseovergang

☐ Er fasens leverancer færdige og godkendt?
☐ Er beslutningen, der afslutter fasen, truffet og noteret?
☐ Er risikovurderingen opdateret?
☐ Ved alle i white team, hvad den næste fase kræver af dem?
☐ Er der afsat tid til afslutning og opfølgning?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: faserne forberedelse, test (efterretning og scenarier, red team-test) og afslutning, godkendelse af testplanen og afslutningsfasens rapporter, replay, purple teaming og afhjælpningsplan.

Senest gennemgået: oktober 2026.