Genafprøvning af udvalgte dele efter red teaming

En red team-øvelse kan ikke køres igen på samme måde, når den først er afsluttet: forsvaret kender scenariet, holdets veje er beskrevet i rapporten, og overraskelsen er væk. Det, der kan efterprøves, er de enkelte forbedringer, og genafprøvningen hviler derfor på at vælge de dele af handlingsplanen, hvor en afprøvning siger mere end en melding om, at arbejdet er gjort.

Svaret på, hvad der kan genafprøves, er altså: udvalgte rettelser, udvalgte forbedringer af opdagelsen og udvalgte ændringer i arbejdsgange og adgangskontrol. Ikke øvelsen som helhed.

Hvorfor hele øvelsen ikke kan gentages

En øvelse måler, hvordan forsvaret reagerer på noget, det ikke ved er en øvelse. Når scenariet er gennemgået ved replay, og forsvaret har set holdets tidslinje, vil en gentagelse måle noget andet: om forsvaret kan genkende et forløb, det allerede kender. Det er ikke værdiløst, men det er ikke det samme spørgsmål.

Det betyder ikke, at læringen skal stå uprøvet. DORA kræver for de finansielle virksomheder, forordningen omfatter, interne valideringsmetoder, der sikrer, at de svagheder, test afdækker, afhjælpes fuldt ud. En genafprøvning af udvalgte dele er en sådan validering. Hvordan retest efter en almindelig penetrationstest foregår, er beskrevet på penetrationtest.dk. → Opfølgning efter øvelsen

Hvad der egner sig til genafprøvning

Ikke alle punkter i planen skal genafprøves. Udvælgelsen kan tage udgangspunkt i disse spørgsmål:

Var punktet afgørende for angrebsvejen · hvis rettelsen svigter, står vejen åben igen.
Er rettelsen kompleks · jo flere afhængigheder, jo større risiko for, at den kun virker delvist.
Er der en leverandør involveret · en melding fra en tredjepart er sværere at kontrollere fra jeres side.
Handler punktet om opdagelse · forbedringer af overvågningen virker først, når de er vist i praksis.
Er ledelsen blevet lovet en forbedring · så bør der være dokumentation for, at den virker.

Punkter med lav betydning og enkel rettelse kan afsluttes på ejerens melding med en kort kontrol. Det frigør tid til de punkter, hvor en afprøvning faktisk ændrer billedet.

Forebyggelse: afprøv det, der blev ændret

For fund om åbne veje er genafprøvningen tæt på en klassisk retest. Det afgørende er at afprøve både det konkrete punkt og det, der ligger lige omkring. En rettelse, der lukker ét tilfælde, men ikke det næste i samme kategori, er en delvis rettelse.

Beskriv på forhånd, hvad der skal afprøves, og hvad der tæller som lukket. Hvis rodårsagsanalysen pegede på en proces, er det processen, der skal afprøves, ikke kun den konto eller den indstilling, der var eksemplet. → Rodårsager efter red teaming

Opdagelse: afprøv åbent med forsvaret

Forbedringer af overvågningen afprøves bedst i en åben form, hvor holdet og forsvaret arbejder sammen. Holdet gentager udvalgte skridt fra forløbet under kontrollerede forhold, og forsvaret ser efter, om de nu bliver set, eskaleret og håndteret. Aftal på forhånd, hvad der tæller som bestået for hvert skridt. At en alarm kommer, er ét niveau. At den når den rette person, og at personen handler, før holdet ville være nået videre, er et andet. Hvis kun det første kontrolleres, kan et punkt blive lukket, selv om forsvaret i praksis ikke ville have grebet ind. De tekniske reguleringsstandarder for TLPT lægger op til samme bevægelse, når de beskriver purple teaming efter replay med emner baseret på de sårbarheder, testen afdækkede. → Purple teaming

Små, gentagne afprøvninger kan være mere værd end én stor. Hvis et skridt bliver set i dag, er det ikke sikkert, det bliver set om et halvt år efter et skifte i regler eller bemanding. → Små, hyppige kontrolløvelser

Mennesker og bygninger: nye tilladelser og samme hensyn

Ændringer i arbejdsgange og adgangskontrol kan også efterprøves, men her kræver genafprøvningen samme omhu som selve øvelsen. En ny henvendelse til servicedesken eller et nyt forsøg på at komme ind i en bygning er en ny aktivitet med nye tilladelser, nye aftaler med vagtselskab og udlejer og samme hensyn til de medarbejdere, der møder den. → Tilladelser til red teaming

Overvej, om formålet kan nås uden at teste de samme personer igen. En medarbejder, der blev brugt i øvelsen og bagefter debriefet, er ikke et retvisende mål for, om processen virker. Det kan være mere meningsfuldt at afprøve processen et andet sted eller at gennemgå den åbent med dem, der bruger den. → Medarbejderhensyn

Hvem der afprøver, og hvornår

Det hold, der gennemførte øvelsen, kender forløbet og kan afprøve præcist. Et andet hold eller interne folk kan se rettelserne med friske øjne og finde huller, det første hold ikke ledte efter. Begge dele kan give mening. Aftal under alle omstændigheder genafprøvningen som en særskilt opgave med eget omfang og egne regler, og gå ikke ud fra, at den er en del af den oprindelige aftale.

Tidspunktet afhænger af planens frister. Afprøv for tidligt, og rettelserne er ikke færdige. Vent for længe, og andre ændringer i miljøet gør det svært at sige, hvad der virkede. Et naturligt tidspunkt er, når ejeren har meldt et punkt gennemført, og før det lukkes.

Resultatet skal skrives ned pr. punkt, så det kan bruges i opfølgningen. Det er ikke nok at skrive lukket. Notér, hvad der blev afprøvet, under hvilke forudsætninger, og om punktet er lukket, delvist lukket eller stadig åbent. Et delvist resultat er brugbart, hvis det er tydeligt, hvad der mangler, og hvem der nu ejer resten. Forudsætningerne er vigtige, fordi et punkt, der er lukket under én opsætning, kan gå op igen, når noget ændres. → Handlingsplan efter red teaming

Det skal I lade være med

At kalde en gentagelse af scenariet for en ny øvelse · forsvaret kender forløbet.
At genafprøve alt · vælg de punkter, hvor afprøvning ændrer billedet.
At afprøve kun det konkrete eksempel · se også på det, der ligger omkring.
At teste de samme medarbejdere igen · det måler ikke processen.
At gå ud fra, at genafprøvning er aftalt · den er en særskilt opgave.
At afprøve, før ejeren melder klar · resultatet bliver uklart.

Hvad kan og ikke kan konkluderes

En genafprøvning kan vise, at bestemte rettelser og forbedringer virker under de forhold, der blev afprøvet. Den kan ikke vise, at forsvaret nu ville stå imod et nyt scenarie, og den kan ikke erstatte en ny øvelse med et nyt spørgsmål. Hvis det er det, ledelsen vil vide, er det tid til at planlægge den næste. → Næste øvelse

Tjekliste før genafprøvningen

☐ Er punkterne udvalgt efter betydning, kompleksitet og leverandørafhængighed?
☐ Er det beskrevet, hvad der tæller som lukket?
☐ Afprøves forbedringer af opdagelsen åbent med forsvaret?
☐ Er tilladelser og aftaler på plads for afprøvning af mennesker og bygninger?
☐ Er genafprøvningen aftalt som en særskilt opgave?
☐ Har ejerne meldt de udvalgte punkter klar?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 24, stk. 5, om procedurer for afhjælpning og interne valideringsmetoder.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 12, stk. 5, om purple teaming efter gennemspilningen med emner baseret på de konstaterede sårbarheder.

Senest gennemgået: oktober 2026.