“Vi er for små til red teaming”: hvornår andre øvelser giver mere

En direktør i en mindre organisation kan have hørt om red teaming og tænkt, at det er noget for banker og store koncerner. Nogle gange er det rigtigt, men ikke fordi organisationen er lille. Svaret hviler på to ting: hvilket spørgsmål I vil have besvaret, og om forudsætningerne for en red team-øvelse er til stede. Hvis spørgsmålet er, om et realistisk angreb bliver opdaget og stoppet, og der er et forsvar at måle, kan en øvelse give mening uanset størrelse. Hvis forudsætningerne mangler, kan mindre formater besvare det samme spørgsmål med en mindre indsats.

Størrelse er altså ikke i sig selv argumentet. Modenhed og spørgsmålet er.

Det, en red team-øvelse forudsætter

En red team-øvelse måler, hvordan forsvaret reagerer på en modstander, der bevæger sig skjult over tid. Det forudsætter nogle ting:

Et forsvar at måle · nogen overvåger, modtager alarmer og kan eskalere, enten internt eller hos en leverandør.
Grundlæggende sikkerhed på plads · kendte svagheder fra tidligere test er rettet, så holdet ikke bare går ind ad en åben dør.
Nogen til at styre øvelsen · et lille white team med mandat og tid.
Kapacitet til at følge op · nogen, der kan tage imod resultatet og gennemføre rettelserne.

Den europæiske ramme for trusselsbaserede red team-test, TIBER-EU, er bygget til enheder af en vis systemisk betydning, som er tilstrækkeligt modne på IKT-området. Rammen skriver samtidig, at den kan bruges af enheder af enhver type og størrelse. Det er en god påmindelse: det, der afgør egnetheden, er modenheden, ikke antallet af ansatte. → Klar til red teaming?

Tegn på, at red teaming ikke er svaret nu

Der er situationer, hvor en red team-øvelse vil give et tyndt svar:

Ingen overvåger · uden overvågning vil øvelsen kun vise, at intet blev opdaget, og det ved I sandsynligvis i forvejen.
Åbne fund fra seneste penetrationstest · holdet vil finde de samme svagheder igen. → Åbne fund før red teaming
Spørgsmålet handler om ledelsens beslutninger · så er det ikke forsvaret, der skal afprøves.
Ingen kan tage imod resultatet · en rapport, der ikke bliver fulgt op, giver ikke en bedre organisation.

I de tilfælde er det ikke et nederlag at vælge noget andet. Det er en prioritering. Formaterne nedenfor kan også bruges som trin på vejen, så en senere red team-øvelse møder et forsvar, der er klar til at blive målt. Rækkefølgen afhænger af, hvad I er mest usikre på: ledelsens beslutninger, angriberens muligheder indefra eller overvågningens dækning.

Tabletop: når spørgsmålet er beslutninger

Hvis bekymringen er, om ledelsen ved, hvad den skal gøre under et angreb, er en tabletop det direkte svar. Deltagerne diskuterer et scenarie rundt om bordet, og der bliver ikke rørt ved systemerne. NIST SP 800-84 beskriver tabletoppen som en diskussionsbaseret øvelse, hvor en facilitator præsenterer et scenarie og stiller spørgsmål om roller, ansvar, koordinering og beslutninger.

En tabletop kræver ingen overvågning og ingen tekniske forudsætninger. Den kræver en facilitator, de rette deltagere og et scenarie, der passer til jeres forretning. → Tabletopøvelsen

Assumed breach: når spørgsmålet er, hvor langt en angriber kommer

Assumed breach betyder, at øvelsen starter med, at angriberen allerede er inde, fx med en almindelig medarbejders adgang. Det springer den del over, hvor holdet skal finde en vej ind, og bruger tiden på det, der sker bagefter: Hvor langt kan en angriber komme, og bliver det opdaget?

For en mindre organisation er det en måde at få svar på det centrale spørgsmål uden en lang, skjult øvelse. Den kan gennemføres åbent eller med en lille kreds, der kender til den. Resultatet afhænger meget af, hvilken adgang holdet starter med. Vælg et udgangspunkt, der svarer til en realistisk situation hos jer, fx en medarbejder i kundeservice eller en konsulent med fjernadgang, og ikke bare den adgang, der er nemmest at oprette. → Assumed breach som scenarie

Purple teaming: når spørgsmålet er, om overvågningen ser det

Purple teaming er et samarbejde, hvor angribersiden og forsvaret arbejder sammen. Holdet udfører en bestemt aktivitet, og forsvaret ser efter, om den blev opdaget. Hvis ikke, justerer de overvågningen og prøver igen.

Det passer til en organisation, der har købt overvågning hos en leverandør og gerne vil vide, hvad den faktisk dækker. Formen lærer forsvaret mere undervejs end en skjult øvelse, fordi der ikke er noget, der skal holdes hemmeligt. Prisen er, at purple teaming ikke viser, hvordan forsvaret reagerer, når det ikke ved, at der foregår en øvelse. Det er netop den del, en senere red team-øvelse kan afprøve. → Purple teaming eller red teaming

Når størrelsen ikke er argumentet

En mindre organisation kan have god grund til en red team-øvelse. Den kan have en central rolle for sine kunder, fx som driftsleverandør eller leverandør af et system, som andre er afhængige af. Den kan også have en moden sikkerhedsfunktion og en overvågning, der allerede er afprøvet med andre formater. Endelig kan kunder spørge, hvordan organisationen afprøver sit forsvar, og så kan en afgrænset øvelse være det ærlige svar.

En afgrænset øvelse, der kun omfatter ét scenarie og én del af organisationen, kan passe til et mindre budget. Hvad der påvirker omfanget, og hvordan opgaverne prissættes, kan I læse om under pris og tilbud. → Afgrænset red team-øvelse

Det skal I lade være med

At afvise red teaming på størrelsen alene · se på spørgsmålet og forudsætningerne.
At bestille red teaming for at følge med · uden et forsvar at måle bliver svaret tyndt.
At springe de mindre formater over · de kan give mere læring, når forudsætningerne mangler.
At tro, at et lille mål er uinteressant · angribere vælger ikke kun efter størrelse, se penetrationtest.dk.
At gøre valget én gang for alle · det rigtige format i dag kan være et andet om et par år.

Hvad kan og ikke kan konkluderes

En mindre organisation kan få svar på centrale spørgsmål om sit forsvar uden en fuld red team-øvelse. Tabletop, assumed breach og purple teaming besvarer hver sin del. Ingen af dem viser, om en skjult modstander over tid ville blive opdaget, og det er det, en red team-øvelse kan. Spørgsmålet er, om I er klar til at få netop det svar.

Tjekliste til direktionen

☐ Har vi formuleret det spørgsmål, vi vil have besvaret?
☐ Er der et forsvar, der overvåger og kan eskalere?
☐ Er de kendte fund fra seneste test rettet?
☐ Har vi overvejet tabletop, assumed breach og purple teaming?
☐ Er der nogen, der kan tage imod resultatet og følge op?

Kilder

ECB: TIBER-EU Framework (2025): rammen er tænkt til enheder af en vis systemisk betydning, som er tilstrækkeligt modne på IKT-området, men kan bruges af enheder af enhver type og størrelse.
NIST SP 800-84: Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities: tabletopøvelsen som diskussionsbaseret øvelse med facilitator og spørgsmål om roller, ansvar, koordinering og beslutninger.

Senest gennemgået: oktober 2026.