Før eller siden bliver et red team, der arbejder med fysisk adgang, stoppet af en receptionist, en kollega, en vagt eller politiet. Det er ikke et uheld, men et af de udfald, øvelsen bør være forberedt på, og muligvis et af de mest værdifulde. Svaret på, hvad der skal ske, hviler på tre hensyn: situationen skal afklares roligt og hurtigt, den person, der greb ind, skal behandles ordentligt, og hændelsen skal dokumenteres, så den kan indgå i målingen. Når de tre hensyn er planlagt på forhånd, er et stop en gevinst og ikke et problem.
Det dokument, holdet viser, er beskrevet i → Tilladelsesbrevet. Her handler det om forløbet omkring det.
Et stop er et resultat
Det er let at opleve et stop som en fiasko for holdet. For organisationen er det det modsatte. En medarbejder, der spørger en ukendt person, hvad vedkommende laver, eller som tilkalder hjælp, har gjort præcis det, sikkerhedsprocesserne beder om. Det er et bevis på, at noget virker.
Derfor skal et stop behandles som et fund i rapporten, på linje med de steder, hvor holdet kom igennem. Fundet skal beskrive, hvilken proces der virkede, hvor i forløbet det skete, og hvad der fulgte efter. Var det en enkelt opmærksom kollega, eller var det en rutine, der blev fulgt? Svaret siger noget om, hvor robust resultatet er. En reaktion, der bygger på en fast rutine, kan forventes igen; en reaktion, der hviler på én persons mistanke, er værdifuld, men mere tilfældig. → Målet for opdagelse og reaktion
Forløbet på stedet
Holdet skal vide, hvad det gør, fra det øjeblik det bliver standset. Rækkefølgen bør stå i rules of engagement, så ingen skal improvisere:
- Ingen modstand · holdet stopper, trækker sig fra situationen og forsøger ikke at forklare sig ud af den med en dækhistorie, hvis det er klart, at personen ikke giver sig.
- Tilladelsen vises · brevet vises til den person, der har standset holdet, og kun til den.
- Bekræftelse · personen opfordres til selv at ringe til organisationen og få øvelsen bekræftet.
- White team orienteres · holdet giver besked til white team med det samme, også selv om situationen er afklaret.
- Beslutning · white team beslutter, om den fysiske del fortsætter, holder pause eller er afsluttet.
Hvornår holdet skal opgive dækhistorien og vise brevet, er en afvejning, der bør aftales på forhånd. Det afgørende er, at situationen ikke må eskalere for at redde øvelsen.
Øv gerne forløbet, før øvelsen begynder. En kort gennemgang, hvor white team ringer til kontaktnumrene, og holdet gennemgår rækkefølgen, kan afsløre et nummer, der ikke virker, eller en kontaktperson, der ikke ved, hvad der skal siges. Det koster lidt tid og kan spare en ubehagelig situation. → Stopregler
White teams rolle
Når telefonen ringer, skal den, der svarer, kunne bekræfte øvelsen roligt og venligt. Personen i den anden ende kan være usikker og måske utilpas ved situationen. Svaret skal bekræfte, at holdet er godkendt, takke for opmærksomheden og bede personen om at holde det for sig selv.
White team skal derefter tage stilling til, om den fysiske indgang er brugt op. Hvis medarbejderen nu kender holdet, og rygtet kan sprede sig, giver det ikke nødvendigvis mening at forsøge igen samme sted. Scenariet kan fortsætte fra et andet punkt, så den digitale del alligevel bliver afprøvet.
White team skal også sørge for, at stoppet bliver dokumenteret, mens detaljerne er friske. Notér tidspunktet, stedet, hvem der standsede holdet (som funktion, ikke navn), hvad der fik personen til at reagere, hvem der blev ringet til, og hvor lang tid der gik, før situationen var afklaret. Holdets egen logbog og white teams notater bør kunne lægges side om side bagefter, så forløbet kan genskabes uden gætteri. → Når scenariet skal justeres midt i øvelsen
Hvis politiet kommer
Et stop kan ende med, at politiet bliver tilkaldt. Det er en situation, holdet og white team skal være forberedt på. Holdet samarbejder fuldt ud, følger politiets anvisninger og forklarer, at det er en godkendt øvelse. White team skal kunne bekræfte det over for politiet med det samme, og en person med mandat bør kunne møde op, hvis det bliver nødvendigt.
Politiets tid er ikke en del af øvelsen, og ingen bør planlægge en øvelse, der regner med at bruge den. Når en patrulje har været tilkaldt, er det et signal om, at forberedelsen kan gøres bedre, fx ved at vagtselskabet eller alarmcentralen inddrages tidligere. → Vagtselskab og alarmcentral
Den, der greb ind
Medarbejderen, der stoppede holdet, fortjener anerkendelse, og den skal komme hurtigt. En medarbejder kan opleve en blanding af stolthed og forlegenhed, når de opdager, at det var en øvelse. Nogle føler sig snydt, fordi de troede, de havde stoppet noget alvorligt, og andre er bekymrede for, om de har gjort noget forkert ved at forstyrre en godkendt aktivitet.
En personlig tak fra en leder eller fra white team, gerne samme dag, gør en stor forskel. Fortæl, at reaktionen var rigtig, og at den vil indgå i øvelsens resultat som et eksempel på, at processerne virker. Medarbejderen bør dog ikke nævnes ved navn i rapporten eller i en fælles meddelelse uden at have sagt ja. → Debriefing af medarbejdere
Hvis personen er ansat hos en anden, fx et vagtselskab eller en anden lejer, skal anerkendelsen gå via deres arbejdsgiver. Det samme gælder beskeden om, at det var en øvelse.
Det skal I lade være med
- At se stoppet som et nederlag · det er et resultat, der skal i rapporten.
- At lade holdet forsøge at tale sig ud af en presset situation · tilladelsen vises, før det eskalerer.
- At lade telefonen ringe forgæves · white team skal svare roligt og hurtigt.
- At forsøge samme indgang igen uden at vurdere det · rygtet kan allerede være i gang.
- At glemme den, der greb ind · en hurtig og personlig tak er en del af øvelsen.
Hvad kan og ikke kan konkluderes
Et stop viser, at en bestemt proces eller en bestemt person reagerede på en bestemt situation. Det er et værdifuldt datapunkt om, hvad der virker. Det viser ikke, at den samme reaktion ville ske på et andet tidspunkt eller et andet sted, og det betyder ikke, at den fysiske sikkerhed er tilstrækkelig.
Tjekliste til et stop
- ☐ Kender holdet rækkefølgen fra stop til beslutning?
- ☐ Er det aftalt, hvornår brevet vises?
- ☐ Kan white team bekræfte øvelsen døgnet rundt i perioden?
- ☐ Er det forberedt, hvad der sker, hvis politiet tilkaldes?
- ☐ Er anerkendelse af den, der greb ind, planlagt?
- ☐ Bliver stoppet dokumenteret som et fund?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om red teaming
Læs også: Fysisk adgang i red teaming · Red teamets logbog · Når øvelsen bliver opdaget udefra
→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT