Når holdet ikke kommer ind: øvelsen er ikke spildt

Der er gået en god del af den aftalte periode, og holdet er stadig udenfor. Den første reaktion i sikkerhedsfunktionen kan være en blanding af lettelse og tvivl: er forsvaret godt, eller var øvelsen dårligt tilrettelagt? Svaret er, at resultatet har værdi i sig selv, men at det ikke nødvendigvis besvarer hele spørgsmålet bag øvelsen. Det, der redder resten af perioden, er en beslutning om at give holdet et aftalt skub, så forsvarets næste lag også bliver afprøvet.

Den beslutning er lettest at træffe, hvis den er forberedt. En øvelse, der på forhånd har beskrevet, hvad der sker, hvis indgangen ikke lykkes, mister ikke uger på at vente.

Hvad det betyder, at holdet ikke kom ind

Et forsvar, der holder den første linje, har gjort noget rigtigt. Men resultatet skal læses med forbehold, fordi et red team ikke er en rigtig modstander. Holdet arbejder inden for en fast periode, med aftalte grænser og uden at bryde love eller etiske regler. En modstander uden de begrænsninger har mere tid og færre hensyn.

Nationalbankens implementeringsdokument for TIBER-DK siger det tydeligt: holdet er begrænset af tid og ressourcer og af moralske, etiske og juridiske grænser, og det må derfor forventes, at holdet af og til har brug for hjælp fra kontrolteamet for at komme gennem hele forløbet. Det er en realistisk forventning, ikke et tegn på et svagt hold.

Stærk indgang · den første forsvarslinje modstod de forsøg, holdet gjorde i perioden.
Begrænset afprøvning · forsvaret bag indgangen er ikke afprøvet, og ingen ved, hvordan det ville reagere.
Mulig tilfældighed · et enkelt vellykket forsøg havde ændret billedet, og det kan stadig ske i virkeligheden.

Leg-up: et aftalt skub fra white team

Et leg-up er hjælp, som white team giver holdet for at komme videre: fx en konto, en adgang eller en oplysning, som en modstander kunne have skaffet sig, men som holdet ikke nåede inden for perioden. Pointen er at springe et trin over, som allerede er belyst, så de næste trin kan afprøves. → Leg-up

Et leg-up skal beskrives i planen, før øvelsen begynder, sammen med hvornår det må bruges. I TIBER-DK skal mulige leg-ups indgå i holdets testplan og drøftes med kontrolteamet på forhånd, og leg-ups, der opstår undervejs, skal godkendes. Den samme disciplin giver mening i frivillige øvelser: et leg-up, der er planlagt, kan gives hurtigt og uden at afsløre øvelsen.

Assumed breach som plan B

Hvis det er tydeligt i planlægningen, at indgangen er et usikkert led, kan øvelsen bygges med to spor fra starten: et forsøg på at komme ind udefra og et aftalt udgangspunkt indenfor, som tages i brug på et bestemt tidspunkt, hvis det første spor ikke lykkes. Så er det ikke en nødløsning, men en del af designet. → Assumed breach som scenarie

Vælg udgangspunktet med omhu. Det skal svare til noget, en modstander realistisk kunne opnå, og det skal være repræsentativt for de brugere eller systemer, som scenariet handler om. Et udgangspunkt med for mange rettigheder gør resten af øvelsen let og siger mindre om forsvaret.

Hvornår beslutningen skal træffes

Det er fristende at give holdet en uge mere og så en uge til. Det bruger tid, som skulle have været brugt på at afprøve forsvaret bag indgangen. Sæt derfor et beslutningspunkt i planen: en dato, hvor white team vurderer status og beslutter, om holdet skal fortsætte, have et leg-up eller skifte til det aftalte udgangspunkt. → Statusmøder mellem white team og red team

Ved beslutningspunktet bør white team spørge holdet, hvad det har prøvet, hvad der stoppede det, og om forsvaret har reageret. Hvis blue team allerede har opdaget forsøgene, er det et resultat, der skal noteres, og det kan påvirke, hvordan øvelsen fortsætter. → Når blue team opdager holdet

Når årsagen ligger i øvelsen selv

Nogle gange skyldes det manglende fremskridt ikke forsvaret, men tilrettelæggelsen. Grænserne kan være så stramme, at de veje, scenariet byggede på, i praksis var lukket på forhånd. Tilladelsen kan mangle for en del af organisationen, som en modstander ville have brugt. Eller trusselsgrundlaget kan have peget på en indgang, der ikke passer til organisationen.

White team bør se ærligt på det, før resultatet tolkes. Hvis det var øvelsens egne regler, der stoppede holdet, er det ikke et fund om forsvaret, men en lære til planlægningen af den næste øvelse. Det hører med i evalueringen bagefter, så samme fejl ikke gentages. → Scenarievalg

Hvordan resultatet bruges

Det, holdet ikke kunne, er lige så vigtigt at dokumentere som det, det kunne. Rapporten bør beskrive forsøgene på begrebsniveau, hvilke kontroller der stoppede dem, og om forsvaret opdagede dem. Det giver sikkerhedsfunktionen viden om, hvilke dele af forsvaret der bar, og hvilke der aldrig blev prøvet.

Hvis øvelsen fortsatte med et leg-up, skal rapporten vise præcist, hvor det blev givet, og hvad det dækkede over. Ellers kan en læser tro, at holdet selv kom hele vejen, eller omvendt at forsvaret stoppede alt. → Red team-rapporten

Over for ledelsen er det vigtigt at undgå to fejlslutninger: at forsvaret er uigennemtrængeligt, fordi holdet ikke kom ind, og at øvelsen var spildt, fordi der ikke blev fundet meget. Begge dele er forkerte.

Det skal I lade være med

At forlænge perioden uge for uge · sæt et beslutningspunkt.
At give et leg-up, der ikke er planlagt eller noteret · det skal kunne ses i rapporten.
At vælge et udgangspunkt med for mange rettigheder · så siger resten af øvelsen mindre.
At kalde forsvaret uigennemtrængeligt · holdet havde begrænset tid og faste grænser.
At kalde øvelsen spildt · forsvaret ved indgangen er belyst, og resten kan stadig afprøves.
At lade holdet presse grænserne for at nå frem · reglerne gælder også, når det går trægt.

Hvad kan og ikke kan konkluderes

At holdet ikke kom ind, viser, at den første forsvarslinje modstod de forsøg, der blev gjort i perioden. Det siger ikke, at en modstander med mere tid eller færre hensyn ville blive stoppet, og det siger intet om forsvaret bag indgangen. Med et leg-up eller et aftalt udgangspunkt kan den del afprøves, men så måler øvelsen ikke længere indgangen og det næste lag på én gang.

Tjekliste til planlægningen

☐ Er mulige leg-ups beskrevet i planen?
☐ Er der et aftalt udgangspunkt, hvis indgangen ikke lykkes?
☐ Er der en dato for beslutningen om at skifte spor?
☐ Er det aftalt, hvordan leg-ups noteres og rapporteres?
☐ Ved ledelsen, at et leg-up ikke er et nederlag?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: holdets begrænsninger i tid, ressourcer og etiske og juridiske grænser, planlagte leg-ups i testplanen og godkendelse af leg-ups undervejs.

Senest gennemgået: oktober 2026.