Fra øvelse til investeringsbeslutning

En øvelse, der viser, hvor forsvaret svigtede, kan skabe ønsker om nyt udstyr, flere folk eller en ny leverandør. Spørgsmålet er, hvilke af ønskerne der faktisk løser det, øvelsen viste, og hvilke der blot føles som handling. En god investeringsbeslutning hviler på at koble hvert forslag til en rodårsag fra øvelsen og på at beskrive, hvad organisationen får, og hvad den ikke får.

Kort sagt skal resultatet oversættes fra angrebsvej til forretningsrisiko, derfra til mulige tiltag og til sidst til et valg, som ledelsen kan træffe med åbne øjne. Øvelsen kan begrunde en investering. Den kan ikke garantere, at investeringen virker.

Start i rodårsagen, ikke i fundet

Et enkeltfund fører let til et enkelt indkøb. Hvis holdet kom ubemærket gennem en del af netværket, ligger det nær at købe mere overvågning. Men hvis årsagen var, at alarmerne fandtes og ikke blev fulgt op, er problemet bemanding, ansvar eller proces, og så hjælper flere alarmer ikke.

Begynd derfor med de mønstre, der forklarer, hvorfor holdet kom så langt, som det gjorde. Hvert mønster kan have flere mulige svar: et teknisk, et organisatorisk og et, der handler om leverandører. Først når alternativerne står side om side, giver det mening at tale om penge. → Rodårsager efter red teaming

Husk, at ikke alle investeringer er indkøb. Tid til, at SOC’en kan øve sig på de scenarier, der slap igennem, en klarere ansvarsfordeling mellem IT-drift og sikkerhed eller en ændring i, hvordan servicedesken bekræfter henvendelser, kan være det, der flytter mest. Den slags koster arbejdstid og ledelsesopmærksomhed, og det skal også stå i oplægget.

Forebyggelse eller opdagelse

Fund fra en red team-øvelse falder i to grupper. Nogle handler om at lukke en vej, så den ikke kan bruges. Andre handler om at se, når nogen bruger den. De to slags investeringer giver forskellige ting, og en balance mellem dem er ikke nødvendigvis den samme fra øvelse til øvelse.

En investering i forebyggelse kan fjerne en enkelt angrebsvej, men en modstander kan vælge en anden. En investering i opdagelse og reaktion kan dække flere veje på én gang, men kræver mennesker, der kan handle på det, de ser. Beskriv for hvert forslag, hvilken af de to effekter der er formålet. → Fund om opdagelse frem for forebyggelse

Oversæt til forretningssprog

Ledelsen skal kunne forstå, hvorfor et forslag er vigtigt, uden at kende teknikken. Brug øvelsens scenarie som fortælling: hvad var målet, hvilken forretningsfunktion var i fare, og hvor langt nåede holdet? Knyt derefter hvert forslag til det sted i fortællingen, hvor det ville have gjort en forskel.

Funktionen · hvilken forretningsfunktion eller hvilke data beskyttes bedre?
Effekten · lukker forslaget en vej, eller gør det forsvaret hurtigere til at se og handle?
Forudsætningen · hvad kræver det af mennesker, processer og leverandører at få effekten?
Alternativet · hvad sker der, hvis organisationen vælger ikke at gøre det?

Det sidste punkt er vigtigt. De tekniske reguleringsstandarder for TLPT kræver, at udbedringsplanen for hvert resultat beskriver de risici, der er forbundet med ikke at gennemføre tiltagene. Kravet gælder kun de regulerede test, men tankegangen passer til ethvert beslutningsoplæg. → Afrapportering til direktion og bestyrelse

Hvad der påvirker størrelsen af investeringen

Uden beløb kan der stadig siges meget om omfang. Et forslag er større, jo flere systemer det berører, jo flere afdelinger der skal ændre arbejdsgange, og jo mere det afhænger af leverandører, der skal levere noget nyt. Driften efter indførelsen tæller med: et værktøj, der skal overvåges døgnet rundt, er en løbende udgift og ikke et engangskøb.

Bed derfor ejerne af hvert forslag om en grov vurdering af indsats og drift. Den behøver ikke være præcis, men den skal kunne skelne mellem små, mellemstore og store tiltag. Så kan ledelsen se, hvor en beskeden indsats fjerner meget af risikoen, og hvor en stor indsats kun flytter lidt.

Rækkefølgen er også en del af beslutningen. Nogle tiltag forudsætter andre: en ny overvågning giver først værdi, når de rigtige logs er tilgængelige, og en ny proces for eskalering virker først, når vagtordningen er på plads. Vis afhængighederne i oplægget, så ledelsen kan se, hvad der skal besluttes nu, og hvad der naturligt følger senere.

Ledelsens ansvar for budgettet

For finansielle virksomheder står det i DORA artikel 5, stk. 2, litra g, at ledelsesorganet tildeler og regelmæssigt gennemgår et passende budget til den digitale operationelle modstandsdygtighed. Et red team-resultat er et af de grundlag, ledelsen kan bruge i den gennemgang. Uden for finanssektoren er princippet det samme: ledelsen beslutter, og sikkerhedsfunktionen leverer et grundlag, der kan bære beslutningen. Teksten er ikke juridisk rådgivning.

Hvordan ledelse og bestyrelse mere generelt kan vurdere og prioritere sikkerhedsbudgettet, er beskrevet for direktører og bestyrelser på sikkerhedstesten.dk.

Mål effekten bagefter

En investering, der begrundes med en øvelse, bør også kunne efterprøves med en. Aftal ved beslutningen, hvordan I vil se, om tiltaget virker: et kontrolpunkt i en senere øvelse, en målrettet purple team-session eller en ændring i de nøgletal, I allerede følger. Det gør næste beslutning lettere og viser ledelsen, at pengene blev brugt efter hensigten. → Nøgletal til ledelsen

Vær ærlig, hvis effekten udebliver. Et tiltag, der ikke ændrede noget, er også et resultat, og det er billigere at erkende det tidligt end at forsvare det i flere år.

Det skal I lade være med

At købe ud fra et enkelt fund · se først efter den fælles årsag.
At love, at investeringen stopper et lignende angreb · den kan gøre det sværere eller hurtigere opdaget, ikke umuligt.
At glemme driften · værktøjer uden folk til at bruge dem ændrer ikke resultatet.
At lade leverandøren af løsningen skrive beslutningsoplægget · ejerskabet skal ligge internt.
At bruge øvelsen som skræmmebillede · ledelsen skal have et nøgternt grundlag, ikke et chok.
At undlade at måle effekten · så kan næste beslutning ikke bygge på den forrige.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan vise, hvor organisationens forsvar ikke slog til i et bestemt scenarie, og dermed pege på, hvor en investering kan gøre en forskel. Den kan ikke sige, hvor stor risikoen er i kroner, og den kan ikke rangere alle organisationens sikkerhedsbehov. Andre kilder som risikovurderinger, hændelser og revisionens bemærkninger skal med i det samlede billede.

Tjekliste til beslutningsoplægget

☐ Er hvert forslag knyttet til en rodårsag fra øvelsen?
☐ Er det beskrevet, om forslaget forebygger eller opdager?
☐ Er der alternativer, også organisatoriske?
☐ Er risikoen ved ikke at handle beskrevet?
☐ Er drift og bemanding efter indførelsen med?
☐ Er det aftalt, hvordan effekten måles?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 5, stk. 2, litra g, om ledelsesorganets tildeling og gennemgang af budget til digital operationel modstandsdygtighed.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 13, stk. 2, litra e, om risikoen ved ikke at gennemføre afhjælpende foranstaltninger.

Senest gennemgået: oktober 2026.