Hvor ofte giver red teaming mening?

Der findes ikke et interval for red teaming, der passer til alle organisationer. Hyppigheden bør bestemmes af, hvor hurtigt organisationen kan omsætte læringen fra én øvelse til forbedringer, og af hvor meget trusselsbilledet og miljøet ændrer sig imellem. En ny øvelse giver først mening, når der er noget nyt at måle.

For en lille gruppe finansielle virksomheder er spørgsmålet delvist besvaret af lovgivningen. DORA kræver, at virksomheder, som myndigheden udpeger, gennemfører trusselsledet penetrationstest med et fastlagt interval. Det interval er ikke en norm for andre.

Det lovbestemte interval gælder kun de udpegede

DORA artikel 26, stk. 1, fastsætter, at finansielle virksomheder, der er udpeget til det, skal gennemføre avanceret test i form af TLPT mindst hvert tredje år. Den kompetente myndighed kan efter samme bestemmelse bede virksomheden om at øge eller mindske hyppigheden. I Danmark er Nationalbanken myndighed for TLPT og udpeger de virksomheder, der skal gennemføre test. → DORA-TLPT forklaret

Intervallet er knyttet til en bestemt testform med faste roller, faser og krav til testere. Det siger ikke noget om, hvor ofte en organisation uden for kravet bør gennemføre en red team-øvelse, og det er heller ikke et minimum, som andre bør måle sig op imod. Teksten er ikke juridisk rådgivning, og spørgsmål om, hvorvidt jeres organisation er omfattet, skal afklares med myndigheden eller en jurist.

Hvad der bør styre hyppigheden

Tre forhold er afgørende for, hvornår næste øvelse giver mening.

Fremdrift i handlingsplanen · er de væsentlige forbedringer fra sidste øvelse gennemført, så en ny øvelse kan vise, om de virker?
Ændringer i miljøet · er der kommet nye systemer, leverandører, lokationer eller en ny overvågning, siden sidst?
Ændringer i trusselsbilledet · er der nye aktører eller fremgangsmåder, som organisationen bør kunne opdage?

Hvis intet af det har ændret sig, vil en ny øvelse sandsynligvis bekræfte det, I allerede ved. Det er ikke spildt, men pengene og blue teams tid kan måske bruges bedre på at lukke de kendte huller. → Handlingsplan efter red teaming

Kapaciteten til at tage imod læringen

En red team-øvelse belaster organisationen. White team bruger tid på planlægning og styring, blue team skal gennemgå forløbet bagefter, og de forbedringer, der kommer ud af det, skal prioriteres ved siden af den daglige drift.

Hvis øvelserne kommer så tæt, at organisationen ikke når at gennemføre forbedringerne, opstår der en ophobning af fund, og den samme læring går igen. Det er et signal om, at intervallet er for kort, eller at øvelserne er for brede. En mindre, fokuseret øvelse kan være et bedre næste skridt end en ny fuld øvelse. → Afgrænset red team-øvelse

Omvendt kan et meget langt interval betyde, at de personer, der deltog sidst, er skiftet ud, og at læringen ikke er blevet forankret i processer. Så starter organisationen forfra hver gang. Sammenligningen med sidste øvelse bliver også svagere, fordi ingen længere kan forklare, hvad der lå bag de tidligere resultater, og hvilke forbehold der blev taget.

Mellem de store øvelser

En organisation kan få mest ud af at kombinere større øvelser med mindre aktiviteter imellem. Purple teaming, hvor red og blue arbejder åbent sammen om udvalgte scenarier, kan afprøve, om detektionen af bestemte handlinger er blevet bedre. Små kontroløvelser kan bekræfte, at en konkret forbedring virker. → Purple teaming · → Små kontroløvelser

Den store øvelse bliver så den, der måler helheden: om forbedringerne hænger sammen, og om forsvaret kan følge et forløb fra start til mål. Den kan med fordel planlægges, når de mindre aktiviteter har vist, at de væsentlige forbedringer er på plads.

Begivenheder, der kan rykke tidspunktet

Nogle begivenheder kan gøre det relevant at rykke en øvelse frem eller udskyde den. En større organisationsændring, fx en sammenlægning eller et skift af driftsleverandør, kan skabe nye forbindelser og nye processer, som ingen har afprøvet sammen. Et skift af SOC-leverandør eller en ny overvågningsplatform rejser spørgsmålet, om opdagelsen virker lige så godt som før. → Red teaming efter en større organisationsændring

En alvorlig hændelse er en anden type begivenhed. Her er det ikke nødvendigvis rigtigt at gå direkte til en ny øvelse. Først skal hændelsen være håndteret, og de umiddelbare forbedringer skal være gennemført. Derefter kan en øvelse vise, om forbedringerne holder.

Andre begivenheder taler for at vente. Hvis en stor omlægning af infrastrukturen er undervejs, kan en øvelse midt i den give resultater, der er forældede, før rapporten er skrevet. Det er bedre at vente, til miljøet har sat sig, og det nye er i drift.

Planlæg ud fra en cyklus, ikke en dato

I stedet for at beslutte, at der skal være en red team-øvelse hvert andet eller tredje år, kan I beskrive en cyklus: øvelse, rapport, handlingsplan, gennemførte forbedringer, kontrol af forbedringerne og derefter beslutning om næste øvelse. Hver fase har sin egen varighed, som afhænger af jeres organisation.

Det gør det lettere at forklare over for ledelsen, hvorfor næste øvelse ikke ligger på et fast tidspunkt, og hvad der skal være opnået, før den giver mening. Det giver også et grundlag for at budgettere, fordi omfanget af næste øvelse kan beskrives ud fra, hvad den skal måle. → Måling over tid

Notér begrundelsen for hvert valg. Når en revisor, en kunde eller et tilsyn spørger, hvorfor I har valgt netop det interval, er en dokumenteret begrundelse mere værd end en fast dato.

Det skal I lade være med

At kopiere DORA’s interval uden at være omfattet · det er knyttet til en bestemt testform og en myndigheds beslutning.
At bestille en ny øvelse, før handlingsplanen er gennemført · den kan vise det samme igen.
At vente så længe, at læringen forsvinder · personer og processer skifter.
At lade hver øvelse dække alt · fokuserede øvelser kan give mere læring pr. indsats.
At undlade at begrunde intervallet · uden begrundelse bliver det en vane, ikke en beslutning.

Hvad kan og ikke kan konkluderes

Et interval, der er begrundet i handlingsplanen, ændringer i miljøet og trusselsbilledet, gør det sandsynligt, at hver øvelse måler noget nyt. Det kan ikke garantere, at øvelsen finder svagheder, og en øvelse, der finder færre svagheder end sidst, betyder ikke nødvendigvis, at organisationen er sikrere. Den kan også have haft et andet scenarie. Hyppigheden siger kun noget i sammenhæng med det, hver øvelse er designet til at besvare.

Tjekliste før I beslutter næste øvelse

☐ Er de væsentlige forbedringer fra sidste øvelse gennemført og kontrolleret?
☐ Er der sket ændringer i miljøet eller trusselsbilledet siden sidst?
☐ Har blue team og white team kapacitet til en ny øvelse?
☐ Er det afklaret, om organisationen er omfattet af krav om TLPT?
☐ Er formålet med næste øvelse beskrevet?
☐ Er begrundelsen for tidspunktet skrevet ned?

Kilder

DORA, forordning (EU) 2022/2554: artikel 26, stk. 1, om TLPT mindst hvert tredje år for udpegede finansielle virksomheder, og om at myndigheden kan ændre hyppigheden.
Danmarks Nationalbank, TIBER-DK/TLPT: Nationalbanken er myndighed for TLPT i Danmark og udpeger de virksomheder, der skal gennemføre test.

Senest gennemgået: oktober 2026.