Fortrolighed i TIBER‑DK: need to know og blue teams uvidenhed

En TIBER-DK-test mister en stor del af sin værdi, hvis forsvaret ved, at den finder sted. Derfor stiller Nationalbankens implementeringsdokument skrappe krav til, hvem der må kende til testen, og hvornår resten af organisationen får besked. Svaret på, hvordan fortroligheden fungerer, hviler på implementeringsdokumentet i version 4.1 og på de tekniske reguleringsstandarder for TLPT. Kort sagt: kun kontrolteamet, ledelsen og de eksterne parter i testen kender til den, alle andre medarbejdere er blue team, og blue team får først besked i afslutningsfasen. For CISO’en rejser det spørgsmål om egen rolle, leverandører og opdagelse, som skal være afklaret, før testen begynder.

Hvorfor uvidenheden er selve målingen

Testen skal vise, hvordan virksomheden opdager og reagerer på en modstander, der ligner de trusler, efterretningen har peget på. Hvis forsvaret er advaret, måler testen et forberedt forsvar og ikke det, der møder en rigtig angriber. Implementeringsdokumentet kalder hemmeligholdelsen altafgørende og holder derfor alle blue team-medlemmer ude af information, forberedelse og gennemførelse frem til afslutningsfasen. → Blue team

Standarderne knytter også en formel konsekvens til fortroligheden. Efter artikel 5, stk. 2, litra b, skal kontrolteamet i sin risikovurdering tage højde for risikoen for, at testen ikke opfylder kravene og derfor ikke får en erklæring, også hvis det skyldes brud på fortroligheden.

Kredsen af indviede

Ifølge dokumentet er kontrolteamets medlemmer de eneste i virksomheden, der kender til testen, og kontrolteamet skal være så lille som muligt. Adgangen til oplysninger om en planlagt eller igangværende test begrænses efter need to know til kontrolteamet, ledelsesorganet, Nationalbankens TIBER Cyber Team, leverandøren af trusselsefterretning og red team-testerne. Standardernes artikel 4, stk. 2, litra a, har samme kreds. → Roller i TIBER-DK

Dokumentet lægger desuden op til, at need to know også gælder i forhold til virksomhedens ledelse. Det er altså ikke hele direktionen og bestyrelsen, der skal kende detaljerne, blot fordi ledelsesorganet hører til kredsen.

Hvem er blue team?

Blue team er i TIBER-DK alle medarbejdere, der ikke er med i kontrolteamet. Dokumentet nævner, at det også kan omfatte eksterne ressourcer, fx en ekstern SOC. Standarderne beskriver blue team som de medarbejdere hos virksomheden og eventuelt hos dens leverandører, der forsvarer systemerne og ikke kender til testen, og nævner opgaver som SOC, IKT-infrastruktur, helpdesk og hændelseshåndtering.

For CISO’en kan det betyde, at nære kolleger i sikkerhedsfunktionen og hos overvågningsleverandøren ikke må vide noget, så længe forberedelse og aktiv test står på. Overvej tidligt, om CISO’en selv skal sidde i kontrolteamet, og hvem der i så fald leder forsvaret i det daglige uden at kende til testen. → SOC-leverandøren og øvelsen

Når flere skal indvies

Kredsen er ikke helt lukket. Dokumentet nævner, at kontrolteamet kan udvides undervejs, fx med centrale kontaktpersoner hos kritiske leverandører, og at fageksperter kan komme med, når Nationalbankens team har godkendt det. Medarbejdere uden for kontrolteamet må kun gøres bekendt med testen, hvis der er tungtvejende grunde, og efter forudgående aftale med Nationalbankens team. Standardernes artikel 4, stk. 2, litra b, kræver, at kontrolteamet rådfører sig med testlederne, før et medlem af blue team inddrages.

Kontrolteamet skal efter dokumentet indføre ordninger, der beskytter hemmeligholdelsen, for virksomhedens medarbejdere, relevante IKT-leverandører, leverandøren af trusselsefterretning og testerne. Virksomheden kan overveje en fortrolighedsaftale for kontrolteamets medlemmer, og dokumentet indeholder et eksempel. Testen får et kodenavn, som parterne bruger, så vidt det er muligt. → Kodenavn og dokumenthåndtering

Fortrolighed allerede i forberedelsen

Hemmeligholdelsen begynder længe før den aktive test. Leverandøren af trusselsefterretning skal have oplysninger fra kontrolteamet om bl.a. de systemer, der understøtter de kritiske funktioner, og om virksomhedens eget trusselsbillede. Dokumentet bemærker, at kontrolteamet kan blive nødt til at indsamle oplysningerne langsomt og bruge overbevisende dækhistorier, så organisationen ikke opdager, at en test er på vej.

Dokumentet beskriver også en styring af informationsstrømmen. Oplysninger fra kontrolteamet skal hjælpe efterretningsarbejdet, men de gives kun videre til red team, hvis leverandøren af trusselsefterretning kan bekræfte dem. Formålet er at undgå, at testerne får en fordel, en rigtig modstander ikke ville have. → Trusselsefterretning som grundlag for scenarierne

Når testen bliver opdaget

Blue team forsvarer virksomheden, så godt det kan, mens testen kører, og kan derfor opdage den. Kontrolteamet skal efter dokumentet sikre, at det bliver informeret om enhver opdagelse, både hos virksomhedens egne medarbejdere og hos leverandører, og at det kan holde den efterfølgende eskalering under kontrol. Dokumentet beder kontrolteamet om at have troværdige dækhistorier klar på forhånd.

Hvis testen opdages, skal kontrolteamet efter standardernes artikel 11, stk. 9, foreslå tiltag, der gør det muligt at fortsætte, og forelægge dem for testlederne til validering. Selve opdagelsen er et resultat, som hører hjemme i rapporterne. → Når blue team opdager holdet

Når fortroligheden ophører

Efter den aktive testfase skal lederen af kontrolteamet efter standardernes artikel 12, stk. 1, underrette blue team om, at der er gennemført en TLPT. Dokumentet nævner, at nøglepersoner i blue team informeres, når den aktive test er slut, og opfordrer til at give dem et tidligt overblik, så de kan begynde på deres rapport. Derefter følger replay og purple teaming, hvor forsvaret og testerne ser forløbet sammen. → Faserne i en TIBER-DK-test

Fortroligheden ophører ikke for selve materialet. Virksomheden er ifølge dokumentet juridisk ejer af alt materiale fra testen. Efter standardernes artikel 12 kan testlederne bede om, at red teams og blue teams rapporter og den sammenfattende rapport ikke indeholder følsomme oplysninger. Aftal derfor, hvem i organisationen der får hvilken version af rapporterne.

Det skal I lade være med

At lade kontrolteamet vokse af hensyn til høflighed · hver ny indviet svækker målingen.
At orientere overvågningsleverandøren uden aftale · inddragelse af blue team kræver dialog med testlederne.
At improvisere en forklaring, når noget bliver opdaget · dækhistorien skal være forberedt.
At glemme mødeindkaldelser, fakturaer og referater · de kan afsløre testen for andre end kredsen.
At lade blue team vente på forklaringen efter testen · læringen begynder, når forsvaret ser forløbet.

Hvad kan og ikke kan konkluderes

Fortroligheden i TIBER-DK er en forudsætning for, at testen måler det forsvar, virksomheden faktisk har. Reglerne begrænser kredsen af indviede og lægger beslutningen om at udvide den hos kontrolteamet i dialog med Nationalbanken. De siger ikke, at hemmeligholdelsen går forud for sikkerheden. Testen kan suspenderes ved ekstraordinære omstændigheder, og kontrolteamet skal kunne gribe ind. → Skjult eller åben øvelse

☐ Kredsen af indviede er skrevet ned og holdt så lille som muligt.
☐ Det er afklaret, om CISO’en sidder i kontrolteamet eller leder forsvaret.
☐ Dækhistorier og en kanal for opdagelser er klar før start.
☐ Leverandørernes rolle er aftalt med testlederne.

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: kontrolteam, need to know og blue team (s. 7), materialets ejer (s. 8), need to know i forhold til ledelsen (s. 10), kodenavn (s. 12), kredsen af indviede, opdagelse og eskalering (s. 13 og 14), fortrolighedsaftale og udvidelse af kontrolteamet (s. 14), dækhistorier og informationsstrøm (s. 24), opdagelse (s. 32), suspension (s. 33) og orientering af blue team (s. 36).
Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 3 og 4, om blåt team, artikel 4, stk. 2, om need to know og kodebetegnelse, artikel 5, stk. 2, litra b, artikel 11, stk. 9 og 10, og artikel 12, stk. 1, 3, 4 og 7.

Senest gennemgået: oktober 2026.