Øvelse på tværs af lande og lokationer

En organisation med kontorer i flere lande, et datacenter i en anden by og et lager hos en logistikpartner kan ikke planlægge en red team-øvelse, som om den kun havde ét hovedkontor. Hver lokation har sine egne regler, sine egne ejere og sine egne mennesker, der skal reagere. Svaret på, hvordan øvelsen holdes samlet, hviler på en lokationsoversigt, hvor hvert sted har sin tilladelse, sin kontaktperson og sine afgrænsninger, og på en white team, der kan nås, når holdet er aktivt, uanset tidszone.

Spørgsmålet om, hvem i en koncern der kan sige ja til øvelsen, er behandlet for sig. → Red teaming i en koncern Her er vinklen den praktiske: hvad det kræver at gennemføre en øvelse på flere steder på samme tid.

Teksten er ikke juridisk rådgivning. Regler i andre lande skal afklares med lokal juridisk bistand.

Lokationsoversigten

Start med at kortlægge alle steder, scenariet kan berøre. Det kan være flere, end man først tror, fordi en angrebsvej kan gå gennem et system, der står ét sted, men administreres et andet.

Kontorer · hvor medarbejderne sidder, og hvor fysisk adgang eventuelt indgår.
Datacentre og serverrum · egne eller hos en leverandør, eventuelt med egne adgangsregler.
Fælles funktioner · servicedesk, IT-drift eller SOC, der betjener flere lande fra ét sted.
Partnere · lagre, kundecentre eller udviklingsafdelinger, der drives af andre.
Cloudregioner · hvor data og systemer fysisk ligger, hvis det har betydning for reglerne.

For hver lokation noteres ejer, kontaktperson, gældende tilladelse og eventuelle begrænsninger. Oversigten bliver en del af planen og af tilladelsesbrevet. → Tilladelsesbrevet

Forskellige regler, forskellig scope

Regler om databeskyttelse, ansættelsesforhold, overvågning af medarbejdere og adgang til bygninger kan variere fra land til land. Det kan betyde, at en del af scenariet er tilladt ét sted og ikke et andet. Det mest almindelige eksempel er social engineering og fysisk adgang, hvor lokale regler og lokale samarbejdsorganer kan stille andre krav.

Det er ikke nødvendigvis en god løsning at lade de strengeste regler gælde overalt. Bedre er det at acceptere, at scope er forskelligt fra sted til sted, og at skrive det tydeligt i planen. Rapporten skal så vise, hvilke dele af scenariet der blev afprøvet hvor. → Scope i red teaming

Husk også, at holdets egne folk kan være omfattet af regler i det land, de arbejder fra eller rejser til. Afklar med leverandøren, hvem på holdet der skal være hvor, og om det kræver noget særligt. Spørg også, om dele af arbejdet udføres fra et andet land end jeres.

White team i flere tidszoner

En øvelse, der kører på tværs af tidszoner, kan skabe situationer, hvor holdet er aktivt et sted, mens white team sover et andet. Det er ikke acceptabelt. Der skal altid være en person med mandat til at stoppe øvelsen, som kan nås, mens holdet arbejder. → Lederen af white team

Det kan løses med lokale kontaktpersoner, der kender den del af øvelsen, der berører deres sted, og som kan eskalere til white team-lederen. De skal være få, og de skal have samme fortrolighed som resten af white team. Alternativt kan holdets aktivitet begrænses til tidsrum, hvor white team er bemandet.

Sprog og tilladelsesbrevet

Hvis holdet bliver stoppet på en lokation i et andet land, skal tilladelsesbrevet kunne forstås af den, der stopper det. Det kan kræve en udgave på det lokale sprog og en kontaktperson, der taler det. En vagt, der ikke kan læse brevet, og som ikke kan nå nogen, der kan forklare det, kan med rette tilkalde hjælp udefra. → Hvis holdet bliver stoppet i bygningen

Sproget betyder også noget for målingen. En henvendelse, der lyder naturlig på dansk, virker måske påfaldende i et andet land, og det påvirker, hvad resultatet siger om medarbejdernes reaktion.

Blue team på flere steder

Forsvaret kan også være fordelt: en central SOC, lokale IT-folk og et beredskab, der er organiseret anderledes fra land til land. Øvelsen kan vise, hvordan en observation ét sted bliver bragt videre til de rigtige personer et andet sted. Det kan være et af de mest lærerige fund, fordi overdragelser mellem lande og vagthold ikke altid bliver øvet. → Eskalering

Aftal, hvordan white team får besked om blue teams reaktioner på alle lokationer. Det kræver en vej til hver lokal funktion, der ikke afslører øvelsen.

Tænk også på tidslinjen. Når holdet og forsvaret arbejder i forskellige tidszoner, skal alle tidspunkter i logbøger og rapporter angives på samme måde, ellers bliver det svært at se, hvor lang tid der gik fra en handling til en reaktion. Det lyder som en detalje, men det er en af de fejl, der gør målingen upålidelig, og den er let at undgå, hvis den aftales fra starten. Det samme gælder helligdage og ferieperioder, der falder forskelligt i landene og påvirker bemandingen hos forsvaret.

Den regulerede ramme som sammenligning

For finansielle virksomheder med aktiviteter i flere lande har TIBER-EU en særskilt tilgang. Ifølge ECB kan virksomheder, der er aktive i flere jurisdiktioner, deltage i fælles test med flere landes TIBER-teams, og rammen skal lette gensidig anerkendelse. Nationalbankens implementeringsdokument for TIBER-DK beskriver, at Nationalbankens testledere tager kontakt til myndighederne i de øvrige lande. Det gælder kun regulerede test, men det viser, hvor meget koordinering en øvelse på tværs af lande kræver, selv inden for en fælles ramme. → TIBER-EU

Det skal I lade være med

At planlægge efter hovedkontoret alene · alle lokationer i scenariet skal på oversigten.
At lade de strengeste regler gælde overalt uden at overveje det · forskelligt scope kan være bedre.
At lade holdet arbejde, når white team ikke kan nås · nogen med mandat skal altid være vågen.
At sende et tilladelsesbrev, som ingen lokalt kan læse · sprog og kontaktperson skal passe.
At antage, at danske regler gælder i andre lande · afklar det lokalt.
At glemme overdragelser mellem lande i målingen · de kan være det mest lærerige.

Hvad kan og ikke kan konkluderes

En øvelse på tværs af lokationer kan vise, hvordan forsvaret fungerer som helhed, herunder overdragelser mellem steder og vagthold. Når scope er forskelligt fra sted til sted, kan resultaterne ikke lægges direkte sammen, og rapporten skal skelne mellem lokationerne. Om en bestemt aktivitet er tilladt i et bestemt land, kræver en lokal juridisk vurdering.

Tjekliste før start

☐ Er alle lokationer i scenariet kortlagt med ejer og kontaktperson?
☐ Er reglerne afklaret lokalt, hvor det er nødvendigt?
☐ Er scope for hver lokation skrevet ned?
☐ Kan white team nås i alle tidszoner, hvor holdet er aktivt?
☐ Findes tilladelsesbrevet på de nødvendige sprog?

Kilder

ECB, TIBER-EU: fælles test for virksomheder i flere jurisdiktioner og gensidig anerkendelse.
Danmarks Nationalbank, TIBER-DK Implementation Document: grænseoverskridende samarbejde og kontakt til myndigheder i andre lande.

Senest gennemgået: oktober 2026.