Fortrolighed om øvelsen: NDA, kodenavn og need to know

En red team-øvelse måler, hvordan organisationen opdager og reagerer, når ingen ved, at angrebet er en øvelse. Hvis kendskabet spreder sig, måler øvelsen noget andet end det, den skulle. Fortroligheden hviler på tre ting, der skal spille sammen: en skriftlig forpligtelse for alle, der kender til øvelsen, et kodenavn, der kan bruges uden at afsløre den, og et princip om, at kun de, der har brug for at vide noget, får det at vide.

Fortrolighed er ikke det samme som hemmelighedskræmmeri. Ledelsen, white team og de nødvendige kontaktpersoner skal vide nok til at kunne styre øvelsen og stoppe den, hvis det bliver nødvendigt.

Hvorfor fortroligheden afgør resultatet

Når blue team, servicedesk eller vagtselskab kender til øvelsen, ændrer de adfærd, måske uden at ville det. En alarm bliver vurderet anderledes, en henvendelse bliver mødt med mere mistanke, og en eskalering bliver holdt tilbage. Resultatet bliver et billede af, hvordan forsvaret fungerer, når det er forberedt, ikke når det bliver overrasket. → Skjult eller åben øvelse

Der er også et sikkerhedshensyn. Oplysninger om, hvornår øvelsen finder sted, og hvad den sigter mod, kan misbruges. En angriber, der kender til en planlagt øvelse, kan i princippet skjule sig bag den. Det er en grund mere til at holde detaljerne på få hænder. Det gælder også i tiden før øvelsen, hvor tilbud, kontraktudkast og scope ligger i mailbokse og på delte drev, som flere personer kan se, end der burde. Indkøbsforløbet er derfor en del af fortroligheden, ikke et forstadie til den.

Need to know i praksis

Princippet er enkelt: hver person får kun de oplysninger, personen har brug for til sin rolle. I praksis kræver det en oversigt over, hvem der ved hvad.

Sponsor i ledelsen · ved, at øvelsen finder sted, og hvad den skal besvare.
White team · kender scope, tidsplan, scenarie og stopregler.
Kontaktpersoner hos leverandører · kender den del, der berører dem, og intet mere.
Kontakt hos vagtselskab · ved, hvordan en situation bringes til ophør.
Holdet · kender scenariet, men ikke nødvendigvis alle organisationens kontrolpunkter.

Hold white team så lille som muligt. NIST beskriver white team som en lille gruppe med forhåndskendskab til red team-aktiviteter, der ikke er annonceret. Jo flere der kender til øvelsen, jo større er risikoen for, at det smitter af på adfærden. → White team

Overvej også, hvordan oversigten ændrer sig undervejs. Hvis en ny person skal inddrages, fx fordi en leverandør skal give tilladelse til en ekstra del, skal det besluttes af white team og noteres.

NDA for alle, der kender til øvelsen

En skriftlig fortrolighedsaftale gør forpligtelsen tydelig. Den bør dække holdets leverandør og alle personer på holdet, men også eksterne kontaktpersoner hos driftsleverandører, udlejer og vagtselskab, hvis de ikke allerede er bundet af en aftale, der omfatter øvelsen.

Nielco IT underskriver fortrolighedsaftale på forespørgsel. Uanset leverandør bør aftalen omfatte både kendskabet til øvelsen og alt, holdet ser undervejs, og den bør gælde efter øvelsens afslutning. Det kan være efter øvelsen, at fristelsen til at fortælle om den er størst.

Interne medarbejdere i white team er som udgangspunkt bundet af deres ansættelsesforhold. Det kan alligevel være en god idé at få dem til at bekræfte skriftligt, at de kender til øvelsen og er indforstået med fortroligheden. Det gør det tydeligt, at rollen er særlig.

Kodenavn og dokumenter

Et kodenavn gør det muligt at tale om øvelsen i mødeindkaldelser, kalendere og mails uden at afsløre den. Navnet skal være neutralt og må ikke pege på sikkerhed, test eller angreb. Det skal heller ikke ligne et projekt, som andre i organisationen kan finde på at spørge til. → Kodenavn og dokumenter

Dokumenterne om øvelsen bør ligge et sted, hvor kun white team har adgang, og hvor adgangen kan kontrolleres. Undgå fællesdrev, hvor blue team eller IT-driften har administrative rettigheder. Det kan kræve en særskilt løsning, fordi de personer, der normalt administrerer adgang, netop ikke må kende til øvelsen.

Tænk også over kalenderen. En række møder mellem CISO, en ekstern leverandør og juridisk afdeling kan i sig selv vække opmærksomhed, hvis de er synlige for andre.

Når fortroligheden må brydes

Fortrolighed må aldrig stå i vejen for sikkerheden. Hvis blue team eskalerer en hændelse, der viser sig at være øvelsen, skal white team kunne gribe ind hurtigt. Hvis der opstår en reel hændelse, eller en person kommer i en situation, der kan blive farlig, går hensynet til drift og mennesker forud. → Øvelse eller rigtigt angreb

Aftal på forhånd, hvem der kan beslutte at afsløre øvelsen, over for hvem, og hvordan det dokumenteres. En kontrolleret afsløring over for en enkelt person kan være nok. Det er bedre end at lade en eskalering køre videre, til ledelse, kunder eller myndigheder bliver inddraget i noget, der er en øvelse.

Efter øvelsen

Fortroligheden ændrer karakter, når øvelsen er slut. Blue team og de berørte medarbejdere skal have at vide, hvad der skete, og resultaterne skal bruges. Men detaljer om, hvilke medarbejdere der blev kontaktet, og hvordan de reagerede, er stadig følsomme. → Deling af resultater

Aftal, hvem der får hvilken version af rapporten, og hvordan materialet opbevares og slettes. Overvej også, om kodenavnet skal leve videre i opfølgningen, eller om handlingsplanen skal have et nyt navn, der kan bruges åbent i organisationen. → Opbevaring af materiale

Det skal I lade være med

At lade white team vokse · hver ny person øger risikoen for, at øvelsen bliver kendt.
At vælge et kodenavn, der afslører formålet · det skal kunne stå i en kalender uden at vække spørgsmål.
At lægge dokumenterne på fællesdrev · de, der administrerer drevet, kan være dem, der testes.
At glemme eksterne kontaktpersoner · de skal også være bundet af fortrolighed.
At holde fast i fortroligheden, når sikkerheden kræver andet · hav en plan for kontrolleret afsløring.

Hvad kan og ikke kan konkluderes

God fortrolighed øger sandsynligheden for, at øvelsen viser, hvordan forsvaret reagerer uden forvarsel. Den kan ikke garantere, at ingen fatter mistanke, og en øvelse, der bliver opdaget af blue team, er ikke mislykket. Opdagelse er netop et af de forhold, øvelsen skal måle. Om fortroligheden har holdt, bør derfor evalueres åbent bagefter, uden at det bliver et spørgsmål om skyld.

Tjekliste til white team

☐ Findes der en oversigt over, hvem der ved hvad?
☐ Har alle eksterne, der kender til øvelsen, underskrevet en fortrolighedsaftale?
☐ Er kodenavnet neutralt?
☐ Ligger dokumenterne et sted, som blue team og IT-driften ikke har adgang til?
☐ Er det aftalt, hvem der kan beslutte en kontrolleret afsløring?
☐ Er det besluttet, hvem der får hvilken version af rapporten?

Kilder

NIST CSRC Glossary, White Team: white team som en lille gruppe med forhåndskendskab til red team-aktiviteter, der ikke er annonceret, og som sikrer, at testen holder sig inden for aftalte grænser (efter CNSSI 4009-2022).

Senest gennemgået: oktober 2026.