Eget red team: hvornår organisationen bygger sit eget hold

Når red team-øvelser bliver en fast del af sikkerhedsprogrammet, melder spørgsmålet sig, om organisationen selv skal have et hold. Svaret hviler på tre forhold: om der er nok øvelser og nok opfølgning til at holde et hold beskæftiget og skarpt, om holdet kan arbejde uafhængigt af dem, det afprøver, og om organisationen accepterer, at et internt hold med tiden ser verden med de samme briller som resten af huset.

Et internt red team er ikke et billigere alternativ til en ekstern leverandør. Det er en anden model med sine egne styrker og svagheder, og organisationer, der har et, kan supplere det udefra.

Det, et internt hold kan

Et internt hold kender forretningen. Det ved, hvor kronjuvelerne ligger, hvilke processer der er sårbare, og hvilke ændringer der er på vej. Det kan bruge den viden til at designe scenarier, som rammer præcist, og til at følge op på, om læringen fra den sidste øvelse faktisk er brugt.

Andre fordele:

Kontinuitet · holdet kan køre mindre øvelser løbende og ikke kun én gang om året.
Samarbejde med blue team · purple teaming og fælles gennemgange bliver lettere at organisere. → Purple teaming
Hurtig genafprøvning · rettelser kan efterprøves, når de er gennemført, uden et nyt indkøb.
Opbygning af viden · erfaringer bliver i organisationen.

Det, et internt hold har svært ved

Den største udfordring er uafhængigheden. Holdet er kolleger med dem, de afprøver. De deler kantine, chef og måske også mål i den årlige plan. Det kan påvirke, hvilke scenarier der vælges, og hvor skarpt resultaterne formuleres.

Dertil kommer blinde vinkler. Et hold, der kender huset, kan ubevidst springe over de veje, som en udefrakommende ville prøve først, fordi de virker usandsynlige indefra. Og et hold, der genbruger samme tilgang øvelse efter øvelse, giver blue team mulighed for at lære holdet at kende frem for at lære at opdage modstandere.

Endelig kræver et internt hold investering i kompetencer, der hurtigt forældes, og i en ledelse, der beskytter holdets mandat, også når resultaterne er ubehagelige. → Red team-holdet

Et internt hold bliver let en del af husets rytme. For at undgå det kan holdet skifte sammensætning mellem øvelser, hente nye scenarier fra opdateret trusselsefterretning og få besøg af eksterne fagfolk, der udfordrer tilgangen. Nogle organisationer lader også holdet deltage i eksterne øvelser som observatør, så det ser, hvordan andre arbejder.

Det er også værd at måle holdet på det rigtige. Et internt hold, der vurderes på, hvor ofte det når målet, får et incitament til at vælge lette mål. Et hold, der vurderes på, hvor meget blue team lærer, og hvor mange forbedringer der faktisk gennemføres, arbejder i samme retning som resten af sikkerhedsfunktionen.

Tegn på, at modenheden er der

Et eget hold giver mest mening, når organisationen allerede har:

En fungerende overvågning og reaktion · der er noget at øve imod.
Erfaring med eksterne øvelser · I ved, hvad en god øvelse kræver af white team og opfølgning.
En ledelse, der vil have ubehagelige svar · holdets fund skal kunne nå direktionen uden filter.
Et program, der rækker ud over én øvelse om året · ellers står holdet stille.

Mangler flere af punkterne, er det sandsynligvis bedre at fortsætte med eksterne øvelser og bygge modenhed i blue team først. → Er organisationen klar til red teaming?

Uafhængighed skal organiseres

Hvis I bygger et hold, skal uafhængigheden indrettes bevidst. Det kan betyde, at holdet refererer et andet sted hen end den driftsorganisation, det afprøver, at white team ikke er holdets egen leder, og at resultaterne rapporteres i en form, som ikke kan redigeres af dem, der bliver vurderet.

Det betyder også, at der skal være regler for, hvad holdet må bruge af sin interne viden. Et scenarie, der starter med fuld kendskab til forsvaret, afprøver noget andet end et, hvor holdet arbejder som en udefrakommende. Begge dele kan være nyttige, men de skal ikke forveksles. → Assumed breach som scenarie

Finanssektorens regler for interne testere

For finansielle virksomheder, der er udpeget til trusselsbaseret penetrationstest efter DORA, er der særlige regler. DORA artikel 26 åbner som udgangspunkt for brug af interne testere, men kræver, at der bruges eksterne testere mindst ved hver tredje test. Artikel 27 stiller krav til testere generelt og ekstra betingelser, når interne testere bruges, herunder at trusselsefterretningen leveres af en ekstern part.

Nationalbankens implementeringsdokument for TIBER-DK beskriver det samme udgangspunkt: eksterne red team-testere er normalen, interne testere kan bruges, hvis strenge krav er opfyldt og TIBER Cyber Team godkender det, og et hold med både interne og eksterne testere regnes som brug af interne testere. Reglerne gælder TLPT-forløbet. Uden for den ramme er det organisationens egen beslutning, hvordan interne og eksterne kræfter fordeles. → Interne testere i TLPT

Ekstern supplering

Også organisationer med et stærkt internt hold kan bruge eksterne øvelser med mellemrum. Formålet er at få et blik, der ikke er formet af huset, at afprøve forsvaret mod en ukendt modstander og at få et uafhængigt grundlag, som ledelse, revision eller tilsyn kan læne sig op ad.

Supplering kan også bruges til særlige dele. Fysisk adgang og social engineering er eksempler, hvor det kan være en fordel, at holdet ikke er kendte ansigter i bygningen. Nielco IT tilbyder red teaming med social engineering, fysisk adgang og længerevarende angrebssimulering.

Det skal I lade være med

At oprette et hold for at spare indkøb · et internt hold er en investering, ikke en rabat.
At lade holdet referere til den driftschef, det afprøver · uafhængigheden forsvinder.
At bruge intern viden uden at skrive det ned · resultatet skal kunne læses i lyset af udgangspunktet.
At afskaffe eksterne øvelser helt · husets blinde vinkler bliver holdets blinde vinkler.
At gå ud fra, at interne testere opfylder TLPT-krav · DORA og TIBER-DK har egne betingelser.

Hvad kan og ikke kan konkluderes

Et internt hold kan give løbende og velrettede øvelser, der passer til forretningen. Det kan ikke alene dokumentere, at forsvaret holder mod en modstander, der ikke kender huset. Resultater fra et internt hold skal læses med viden om holdets udgangspunkt og uafhængighed. Teksten er ikke juridisk rådgivning om DORA.

Tjekliste før I bygger et hold

☐ Er der et program, der kan holde holdet beskæftiget?
☐ Er det besluttet, hvem holdet refererer til?
☐ Er white team adskilt fra holdets ledelse?
☐ Er der regler for brug af intern viden i scenarierne?
☐ Er det planlagt, hvornår eksterne øvelser supplerer?
☐ Er det afklaret, om DORA’s regler om interne testere er relevante for jer?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 8, om interne testere og eksterne testere mindst hver tredje test; artikel 27 om krav til testere og ekstra betingelser for interne testere.
Danmarks Nationalbank, TIBER-DK Implementation Document: eksterne testere som udgangspunkt, interne testere efter godkendelse, blandede hold regnes som interne.

Senest gennemgået: oktober 2026.