Insiderscenariet: en betroet medarbejder som udgangspunkt

Et red team-scenarie tager som regel udgangspunkt i en modstander udefra. Et insiderscenarie stiller et andet spørgsmål: hvad kan en person, der allerede har lovlig adgang, gøre med den, og vil nogen opdage det? Svaret kræver et scenarie, der tager udgangspunkt i en rolle i organisationen og ikke i en bestemt person. Det er den vigtigste grænse i hele emnet. Øvelsen undersøger, om adgangsstyring, overvågning og processer kan håndtere misbrug fra indersiden. Den undersøger ikke, om nogen af jeres medarbejdere er til at stole på.

For CISO’en er insiderscenariet et af de mest følsomme valg i en øvelse. Det kræver mere forberedelse med HR og ledelse end et scenarie med en ekstern modstander, og det kræver, at formålet kan forklares, hvis det bliver kendt.

Hvad der forstås ved en insider

Den amerikanske myndighed CISA definerer en insider som en person, der har eller har haft autoriseret adgang til eller kendskab til en organisations ressourcer. En insidertrussel er muligheden for, at en sådan person bruger sin adgang eller viden til at skade organisationen, bevidst eller ubevidst. NIST bruger i sin ordliste en lignende definition, hvor skaden sker gennem autoriseret adgang, med eller uden forsæt.

Definitionerne viser to ting, der er nyttige for planlægningen. For det første omfatter de både nuværende og tidligere medarbejdere og andre med adgang, fx konsulenter. For det andet omfatter de både den bevidste og den uforsætlige skade. Et scenarie skal vælge, hvilken af dem det efterligner.

Rollen er udgangspunktet, ikke personen

Et insiderscenarie bygges op omkring en rolle: en medarbejder i økonomi med adgang til betalinger, en udvikler med adgang til kildekode, en administrator med brede rettigheder eller en konsulent med midlertidig adgang. Rollen vælges ud fra, hvor skaden kan blive størst, og hvor kontrollerne er mindst kendte.

Holdet får en adgang, der svarer til rollen, for eksempel en testidentitet oprettet til øvelsen. Det beskytter de rigtige medarbejdere i rollen, som ikke skal bære øvelsen.

Vælger I den uforsætlige variant, ændrer scenariet karakter. Så handler det ikke om en person, der skjuler sine handlinger, men om en medarbejder, der fx deler oplysninger forkert eller bruger en adgang uden at kende reglerne. Den variant kan i nogle tilfælde belyses bedre med en gennemgang af processer og rettigheder end med en skjult øvelse, og det er værd at overveje, før holdet bestilles. → Udgangspunktet i assumed breach

Ingen mistanke mod konkrete personer

En red team-øvelse er ikke en undersøgelse af medarbejdere. Hvis der findes en konkret mistanke mod en person, hører den hjemme i en helt anden proces med andre regler, andre rådgivere og andre rettigheder for den, det handler om. En øvelse må ikke bruges som en omvej til at undersøge en mistanke.

Skriv det ind i rules of engagement. Scenariet efterligner en rolle, holdet må ikke rette sig mod bestemte personer i rollen, og fund om enkeltpersoner, der dukker op undervejs, behandles efter en aftalt procedure uden for øvelsen.

Hvis holdet undervejs ser tegn på, at nogen faktisk misbruger sin adgang, er det ikke længere en del af øvelsen. Holdet skal stoppe arbejdet på det spor og give white team besked, og white team skal følge den procedure for reelle hændelser, der er aftalt på forhånd. → En reel hændelse under øvelsen → Etik i red teaming

HR og tillidsrepræsentant tidligt i forløbet

Insiderscenariet berører medarbejdernes tillid mere direkte end andre scenarier. Et scenarie om en betroet medarbejder, der misbruger sin adgang, kan opleves som en mistillidserklæring, hvis det bliver kendt uden forklaring.

Inddrag derfor HR fra start. Drøft, om tillidsrepræsentanten skal orienteres, og hvordan det kan ske uden at afsløre øvelsen for forsvaret. Aftal, hvordan scenariet forklares bagefter, og hvem der gør det. Formuleringen skal gøre det klart, at øvelsen handler om systemer og processer, og at ingen bestemt medarbejder var mistænkt. → HR og tillidsrepræsentant

Insiderscenariet kræver også en ekstra overvejelse om fortrolighed. Kendskabet til scenariet bør holdes i en endnu mindre kreds end til øvelsen som helhed, fordi en lækage kan skabe uro i den afdeling, hvor rollen hører til. → Fortrolighed om øvelsen

Hvad scenariet kan vise

Et insiderscenarie afprøver kontroller, som andre scenarier ikke nødvendigvis når frem til, fordi en modstander udefra først skal skaffe sig den adgang, insideren allerede har.

Adskillelse af funktioner · kan én person gennemføre en hel proces, der burde kræve to?
Rettigheder i forhold til opgaver · har rollen adgang til mere, end opgaven kræver?
Overvågning af betroede konti · bliver usædvanlig brug af en gyldig adgang set? → Når angrebet ligner almindelig brug
Processer ved rolleskift og fratrædelse · fjernes adgang, når den ikke længere er nødvendig?
Reaktion og eskalering · hvem beslutter, hvad der skal ske, når mistanken retter sig mod en kollega?

Det sidste punkt er særligt. Forsvarets reaktion på en mistanke mod en kollega involverer HR, jura og ledelse på en anden måde end en reaktion på en ekstern angriber. Scenariet kan vise, om den vej er afklaret, og om de rigtige personer ved, at de skal inddrages.

Rapporten om scenariet

Rapporten skal beskrive rollen, ikke personer. Den skal skrive, hvilke kontroller der holdt, og hvilke der ikke gjorde, og den skal undgå formuleringer, der kan læses som en vurdering af medarbejderne i rollen. Overvej, hvem der skal læse den fulde rapport, og om en kortere version til en bredere kreds er nødvendig. → Rapportering om mennesker

Det skal I lade være med

At bruge øvelsen til at undersøge en konkret mistanke · det kræver en anden proces.
At rette scenariet mod navngivne medarbejdere · scenariet efterligner en rolle.
At planlægge uden HR · tilliden bliver påvirket, uanset hvordan øvelsen går.
At bruge en rigtig medarbejders adgang uden samtykke · medarbejderen bliver part i noget, der ikke er valgt.
At skrive rapporten om personer · den handler om kontroller og processer.
At glemme forklaringen bagefter · uden den kan scenariet opleves som mistillid.

Hvad kan og ikke kan konkluderes

Et insiderscenarie kan vise, om adgangsstyring, adskillelse af funktioner, overvågning og eskalering kan håndtere misbrug af en bestemt rolle. Det kan ikke sige noget om, hvorvidt medarbejderne i rollen er til at stole på, og det kan ikke erstatte en undersøgelse af en konkret sag.

Tjekliste før scenariet godkendes

☐ Er rollen valgt ud fra skade og kontroller, ikke ud fra personer?
☐ Står det i rules of engagement, at ingen bestemte personer er mål?
☐ Er HR inddraget, og er det besluttet, om tillidsrepræsentanten orienteres?
☐ Er det aftalt, hvordan fund om enkeltpersoner håndteres uden for øvelsen?
☐ Er forklaringen til medarbejderne bagefter forberedt?

Kilder

CISA, Insider Threat Mitigation: definition af insider og insidertrussel, herunder bevidst og utilsigtet skade.
NIST CSRC Glossary, insider threat: definitioner, hvor skaden sker gennem autoriseret adgang, med eller uden forsæt.

Senest gennemgået: oktober 2026.