Systemer, der ikke må røres: fredede områder i øvelsen

I enhver red team-øvelse findes der systemer, steder og personer, som holdet ikke må berøre, uanset hvor tæt de ligger på vejen til målet. Spørgsmålet er ikke, om der skal være fredede områder, men hvordan de udpeges, beskrives så præcist, at holdet kan overholde dem under pres, og håndhæves, hvis holdet alligevel kommer for tæt på. Svaret hviler på en skriftlig liste i spillereglerne, en begrundelse for hvert punkt og en aftale om, hvad der sker ved en overtrædelse.

Fredede områder er ikke et tegn på en svag øvelse. De er et tegn på, at organisationen har tænkt over, hvad den kan tåle.

Hvad der kan holdes ude

Listen afhænger af organisationen og scenarierne, men nogle kategorier kan gå igen:

Sikkerhedskritiske systemer · styring af bygninger, produktion eller udstyr, hvor en fejl kan skade mennesker eller anlæg. → Produktionssystemer i red teaming
Systemer, I ikke ejer · leverandørers og samarbejdspartneres miljøer, hvor der ikke foreligger skriftlig tilladelse fra ejeren.
Kunders data og miljøer · især hvor organisationen driver løsninger på vegne af andre.
Medarbejderes private forhold · private enheder, private konti og profiler, familie og hjem. → Private profiler
Personer i en særlig situation · fx medarbejdere, der af hensyn til deres sikkerhed eller helbred ikke bør kontaktes, efter aftale med HR.
Fysiske steder med særlig risiko · områder, hvor adgang kan udløse fare eller indgreb, som ingen ønsker.
Nødkommunikation · beredskabets egne kanaler og alarmer, som skal virke uforstyrret.

Hvert punkt bør have en ejer, der kan forklare, hvorfor det er fredet, og som kan tages med på råd, hvis der opstår tvivl.

Hvem beslutter, hvad der er fredet?

Holdet kan foreslå fredninger, og det bør det gøre, når det ser en risiko, organisationen ikke har tænkt på. Men beslutningen ligger hos organisationen. I praksis udarbejder white team et udkast, systemejerne og de ansvarlige for bygninger, HR og jura kommenterer det, og den person i ledelsen, der har godkendt øvelsen, godkender listen. Når den person har sat sit navn på, er det også tydeligt, hvem der har accepteret den resterende risiko.

Det kan være svært at spørge systemejere uden at afsløre øvelsen. Her må white team vurdere, om ejeren skal indvies, eller om spørgsmålet kan stilles som en del af en almindelig risikogennemgang. Fortroligheden må dog ikke føre til, at en fredning bliver forkert beskrevet, fordi ingen turde spørge den, der kender systemet. Hellere én person mere i white team end en fredning, der ikke holder.

Tre grader af fredning

Ikke alt behøver at være lukket på samme måde. Det kan være nyttigt at skelne mellem tre grader:

Helt udelukket · holdet må ikke berøre området på nogen måde.
Kun observation · holdet må konstatere, at en adgang ville være mulig, men ikke bruge den.
Kræver særskilt godkendelse · holdet må gå videre, når white team har sagt ja i den konkrete situation.

Den midterste grad kan være den mest værdifulde. Den gør det muligt at dokumentere en svaghed tæt på noget følsomt uden at tage den risiko, det ville være at udnytte den. Den tredje grad kræver, at white team kan træffe beslutningen hurtigt, ellers står holdet stille. → Lederen af white team

Beskriv grænsen, så den kan overholdes

En fredning er kun så god som beskrivelsen. “Produktionsmiljøet for betalinger” er for løst, hvis holdet ikke kan se, hvor det begynder. Beskriv med de kendetegn, holdet faktisk vil møde: navngivne systemer, netværksområder, bygninger, etager eller roller. Sørg for, at beskrivelsen er opdateret, og at den, der ejer området, har læst den.

Spillereglerne er det sted, fredningerne hører hjemme. NIST beskriver rules of engagement som detaljerede retningslinjer og begrænsninger for udførelsen af en sikkerhedstest, fastlagt før testen og med bemyndigelse til de aftalte aktiviteter. Det omvendte følger med: det, der ikke er aftalt, er ikke bemyndiget. → Rules of engagement i red teaming

Håndhævelse undervejs

En liste i et dokument forhindrer ikke i sig selv, at holdet kommer for tæt på. Håndhævelsen består af flere led:

Holdets plan · white team gennemgår testplanen og spørger ind til, hvor den nærmer sig et fredet område.
Logbogen · holdet noterer, hvis det støder på et fredet område, også når det trækker sig.
Statusmøderne · fredningerne gennemgås, når scenariet ændrer sig eller nye veje åbner sig. → Statusmøder
Stopreglen · en berøring af et helt udelukket område udløser en pause og en vurdering.

Det sidste punkt er vigtigt. En utilsigtet berøring skal kunne meldes uden frygt for at blive kritiseret. Ellers er der en risiko for, at den ikke bliver meldt. → Stopregler

Fredningen er også et resultat

Det, der holdes ude, bliver ikke afprøvet. Hvis en kritisk funktion hviler på et fredet system, og holdet konstaterer, at vejen dertil står åben, er det et vigtigt fund, selv om holdet ikke gik videre. Omvendt kan et fredet område skjule en svaghed, som ingen ser.

Rapporten bør derfor indeholde en liste over fredede områder med begrundelse, og en vurdering af, hvad de betyder for konklusionen. TIBER-DK kræver tilsvarende, at en kritisk funktion, der ikke tages med i scopet, begrundes. Overvej også, om et fredet område kan afprøves på anden måde, fx i et testmiljø, i en åben øvelse sammen med forsvaret eller ved en målrettet test, hvor ejeren er med. → Grænser for red teaming

Et tænkt eksempel: en energivirksomhed fredede styringen af et anlæg, men lod holdet konstatere, at der var adgang fra kontornettet til den server, der overvåger styringen. Holdet stoppede ved konstateringen, og fundet blev bragt videre til en særskilt, åben afprøvning sammen med anlæggets ansvarlige.

Det skal I lade være med

At frede så meget, at øvelsen ikke kan nå målet · så er det bedre at vælge et andet scenarie.
At beskrive grænsen i forretningssprog alene · holdet skal kunne genkende den i praksis.
At glemme tredjeparter · systemer, I ikke ejer, er fredede, indtil ejeren har givet skriftlig tilladelse.
At straffe en ærlig melding · utilsigtede berøringer skal frem, ikke skjules.
At udelade fredningerne af rapporten · læseren skal vide, hvad der ikke blev afprøvet.

Hvad kan og ikke kan konkluderes

Med klare fredninger kan rapporten skelne mellem det, der blev afprøvet, det, der blev konstateret uden at blive brugt, og det, der lå helt uden for. Øvelsen kan ikke sige noget om sikkerheden i de fredede områder, og en åben vej frem til en fredning siger ikke, hvad der ville være sket bagved.

Tjekliste til fredede områder

☐ Er hvert fredet område navngivet og begrundet?
☐ Har hvert område en ejer, der kan kontaktes under øvelsen?
☐ Er graden af fredning angivet for hvert punkt?
☐ Kan holdet genkende grænsen med de kendetegn, det vil møde?
☐ Er det aftalt, hvad der sker ved en utilsigtet berøring?
☐ Kommer listen med i rapporten?

Kilder

NIST CSRC Glossary, Rules of Engagement: retningslinjer og begrænsninger for en sikkerhedstest, fastlagt før testen og med bemyndigelse til de aftalte aktiviteter (efter SP 800-115).
Danmarks Nationalbank, TIBER-DK Implementation Document: begrundelse for kritiske funktioner, der ikke tages med i scopet.

Senest gennemgået: oktober 2026.