ISO 27001 og red teaming: hvor øvelsen kan bruges i ledelsessystemet

En organisation med et ledelsessystem efter ISO/IEC 27001 kan spørge, om en red team-øvelse er noget, standarden forventer, og hvor resultatet i givet fald skal bruges. Svaret hviler på standardens opbygning: ISO/IEC 27001:2022 stiller krav til risikovurdering, overvågning, evaluering og forbedring, og ISO/IEC 27002:2022 beskriver kontrollerne. Ingen af overskrifterne i de to standarder nævner red teaming, så øvelsen er et valg, men den kan levere materiale til flere af kravene og belyse en håndfuld kontroller på én gang.

Hvordan en penetrationstest passer ind i et certificeringsforløb, er beskrevet på penetrationtest.dk. Her handler det om den skjulte øvelse, der afprøver opdagelse og reaktion.

Kravafsnittene, øvelsen kan levere til

ISO/IEC 27001 er bygget op om en kreds af planlægning, drift, evaluering og forbedring. Fire af afsnittene kan bruge resultatet af en øvelse:

6.1.2 og 6.1.3, risikovurdering og risikobehandling · øvelsen viser, om de risici, I har vurderet som lave, faktisk er det, og om de valgte kontroller virker sammen.
9.1, overvågning, måling, analyse og evaluering · øvelsen giver målinger af opdagelse og reaktion, som ellers er svære at få.
9.3, ledelsens gennemgang · resultatet kan være et input til gennemgangen, fordi det handler om, hvordan systemet klarer sig over for en modstander.
10.2, afvigelse og korrigerende handling · fund fra øvelsen kan behandles som afvigelser med årsagsanalyse og korrigerende handlinger.

Det kræver, at øvelsen er planlagt med et formål, der kan knyttes til de punkter. En øvelse, der kun leverer en fortælling om, hvordan holdet kom ind, er sværere at føre ind i systemet. → Det spørgsmål, ledelsen vil have besvaret

Kontrollerne, en øvelse kan belyse

ISO/IEC 27002:2022 har kontroller, hvor en realistisk afprøvning siger mere end en gennemgang af dokumentation. Med standardens egne overskrifter:

5.7 Threat intelligence · trusselsbilledet kan være grundlaget for scenariet. → Trusselsefterretning som grundlag
5.24 til 5.27 · planlægning af hændelseshåndtering, vurdering af hændelser, reaktion og læring. Øvelsen afprøver hele kæden.
6.3 Information security awareness, education and training · social engineering viser, om træningen har ændret adfærd.
7.2 Physical entry og 7.4 Physical security monitoring · et fysisk element afprøver adgang og overvågning af bygninger.
8.15 Logging og 8.16 Monitoring activities · øvelsen viser, om logningen fører til, at nogen opdager og reagerer. → Detektionsdækning

Kontrollen 8.8 om håndtering af tekniske sårbarheder hører mere naturligt til penetrationstest og sårbarhedsscanning, som dækker i bredden. Skriv i planen for øvelsen, hvilke af kontrollerne den skal sige noget om, så resultatet kan placeres bagefter, og så det er tydeligt, hvilke kontroller den ikke har afprøvet.

Fra fund til afvigelse og korrigerende handling

Et fund fra en red team-øvelse kan være mere end én fejl. Det kan være en kæde: en konto med for brede rettigheder, en alarm, der ikke blev fulgt op, og en eskalering, der gik i stå. Hvis I fører det ind i ledelsessystemet som én afvigelse, mister I pointen. Del kæden op, så hvert led får sin ejer og sin korrigerende handling, og hold sammen på dem med en fælles rodårsag. → Rodårsager efter red teaming

Opdatér også risikovurderingen. Hvis øvelsen viste, at en risiko var vurderet for lavt, skal det fremgå af risikoregistret og eventuelt af den beslutning om kontroller, der ligger til grund for jeres anvendelseserklæring. → Fra øvelse til risikoregister

Øvelsen og certificeringsauditten

En certificeringsauditor vurderer, om ledelsessystemet lever op til standarden. Auditoren har ikke brug for den fulde rapport med angrebsvejen, men kan have brug for at se, at øvelsen var planlagt, at resultatet er behandlet, og at korrigerende handlinger er fulgt op.

Aftal på forhånd, hvad der vises: et resumé, en oversigt over afvigelser og handlinger og eventuelt et udsnit af rapporten under fortrolighed. Den detaljerede angrebsvej er følsom, og den skal ikke ligge i en auditmappe, flere kan tilgå. Spørg certificeringsorganet, hvad det forventer at se, før I sender noget. → Red teaming og revisionen

Planlæg også tidspunktet. En øvelse kort før en audit giver fund, der ikke er nået at blive behandlet. Det er ikke i sig selv et problem, hvis I kan vise, at de er registreret og har en plan.

Den interne audit efter afsnit 9.2 er noget andet end øvelsen. Auditten undersøger, om systemet fungerer som beskrevet, mens øvelsen undersøger, om forsvaret holder over for en modstander. De to kan støtte hinanden: Den interne auditor kan følge op på, om korrigerende handlinger fra øvelsen er gennemført, og øvelsen kan pege på områder, auditprogrammet bør se nærmere på. Hold dem adskilt i planen, så ingen tror, at den ene erstatter den anden.

Det, standarden ikke siger

Standarden siger ikke, hvilke test der skal udføres, eller hvor ofte. Valget af foranstaltninger hører under risikobehandlingen. En organisation kan derfor have et velfungerende ledelsessystem uden at have gennemført en red team-øvelse, og en organisation med en vellykket øvelse kan stadig have mangler i systemet.

Det samme gælder krydsreferencer mellem rammeværker. Det amerikanske kontrolkatalog SP 800-53 har en kontrol om penetrationstest med en forbedring om red team-øvelser, CA-8. I krydsreferencen mellem kataloget og ISO/IEC 27001:2022, som ligger på csrc.nist.gov, har CA-8 ingen modpart. Det understreger, at øvelsen er et redskab, I vælger, og ikke et punkt, standarden kræver.

Det skal I lade være med

At præsentere øvelsen som et ISO-krav · standarden nævner den ikke.
At føre en hel angrebskæde ind som én afvigelse · del den op, så hvert led får en ejer.
At give auditoren den fulde angrebsvej · et resumé og en handlingsoversigt kan være nok.
At glemme at opdatere risikovurderingen · øvelsens vigtigste bidrag kan være en ny vurdering.
At bruge øvelsen i stedet for den brede sårbarhedshåndtering · de dækker forskellige kontroller.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan give dokumentation for, at hændelseshåndtering, overvågning, træning og fysisk sikring er afprøvet under realistiske forhold, og den kan levere input til evaluering og forbedring. Den kan ikke vise, at ledelsessystemet opfylder standarden, og den erstatter hverken intern audit eller certificering.

Tjekliste før øvelsen i et ISO-miljø

☐ Er øvelsens formål knyttet til bestemte krav eller kontroller?
☐ Er det besluttet, hvordan fund føres ind som afvigelser?
☐ Bliver risikovurderingen opdateret efter øvelsen?
☐ Er resultatet planlagt som input til ledelsens gennemgang?
☐ Er det aftalt, hvad auditoren kan se, og hvordan det beskyttes?
☐ Ligger øvelsen, så fund kan behandles før næste audit?

Kilder

ISO/IEC 27001: ISO’s side om standarden for ledelsessystemer for informationssikkerhed.
ISO/IEC 27002:2022: ISO’s side om kontrolstandarden.
DIN, indholdsfortegnelse til ISO/IEC 27001:2022: afsnit 6.1.2, 6.1.3, 9.1, 9.3 og 10.2.
DIN, indholdsfortegnelse til ISO/IEC 27002:2022: kontrollernes overskrifter, bl.a. 5.7, 5.24 til 5.27, 6.3, 7.2, 7.4, 8.8, 8.15 og 8.16.
Krydsreference SP 800-53 rev. 5 til ISO/IEC 27001:2022 (csrc.nist.gov): CA-8 og forbedringerne har ingen ISO-modpart i krydsreferencen.

Senest gennemgået: oktober 2026.