IT‑driften som uvidende forsvar: tillid og opfølgning efter en skjult øvelse

I tre uger har driftsfolkene nulstillet adgangskoder, undersøgt mærkelige logins og måske arbejdet en nat for at inddæmme noget, de troede var et angreb. Så får de at vide, at det var en øvelse, og at sikkerhedsfunktionen vidste det hele tiden. Den reaktion, der kommer nu, afgør, om de næste gang melder en mistanke hurtigere eller langsommere. Opfølgningen hviler på et enkelt princip: driftsfolkene var forsvaret i øvelsen, ikke dens forsøgspersoner, og de skal behandles som dem, der har de vigtigste svar på, hvad der skete.

IT-chefen står i en særlig position. I nogle øvelser kender IT-chefen planen, i andre er IT-chefen selv en del af det uvidende forsvar. Uanset hvad er det IT-chefens folk, der skal arbejde videre med resultatet. → Blue team

Hvem der var det uvidende forsvar

TIBER-EU-rammen beskriver blue team som alle medarbejdere i virksomheden og hos dens tredjepartsleverandører, der ikke er en del af kontrolteamet og ikke kender til testen. I en almindelig organisation betyder det mere end overvågningen:

Servicedesken · tog imod opkald og henvendelser, der kunne være en del af scenariet.
Systemadministratorer · så ændringer i rettigheder og konti og skulle vurdere dem.
Netværk og infrastruktur · undersøgte trafik og forbindelser, der ikke passede ind.
Driftsleverandøren · fik måske en sag eller en eskalering, som kostede timer.
Vagten uden for arbejdstid · blev kaldt ind på et tidspunkt, der var valgt af holdet.

Driftsleverandørens folk har deres egen leder og deres egen kontrakt. Aftal med leverandørens kontaktperson, hvem der fortæller dem om øvelsen, så beskeden ikke først kommer frem, når timerne skal afregnes.

Lav listen, før afsløringen. Den bestemmer, hvem der skal have besked, og i hvilken rækkefølge. → Servicedesken i øvelsen

Afsløringen: personligt og i den rigtige rækkefølge

Den første besked skal komme fra en leder, driftsfolkene kender, helst IT-chefen, og den skal komme, før rygtet gør det. Rækkefølgen kan være: nøglepersoner i forsvaret først, derefter resten af driften, derefter driftsleverandøren. Budskabet kan være kort: Der har været en godkendt øvelse, I var forsvaret, og vi vil gerne høre jeres side, før vi konkluderer noget.

Hvis IT-chefen selv var en del af det uvidende forsvar, skal sponsoren eller lederen af white team give IT-chefen beskeden først. En IT-chef, der hører om øvelsen samtidig med sine medarbejdere, kan ikke lede samtalen med dem.

Undgå at fortælle resultatet i samme åndedrag. Hvis det første, en driftsmedarbejder hører, er, at holdet nåede målet, lyder det som en dom. Resultatet kommer senere, når forsvaret har haft mulighed for at beskrive sit eget forløb.

Forsvarets egen version af forløbet

I TIBER-EU skriver blue team sin egen rapport efter testen. Den skal blandt andet indeholde, hvilke af holdets handlinger forsvaret opdagede, de tilhørende logposter, forsvarets egen vurdering af årsagerne og en liste over erfaringer. Rammen gælder de regulerede test, men tanken er værdifuld i alle øvelser: driftsfolkene får lov at fortælle, hvad de så, før de læser holdets beskrivelse. → Blue teams rapport

Sæt tid af i driftens kalender til at skrive versionen, så den ikke konkurrerer med den daglige drift og bliver skrevet i hast mellem to sager.

Det giver to ting. Det dokumenterer de opdagelser, holdet ikke selv lagde mærke til, og det viser driftsfolkene, at deres arbejde under øvelsen tæller. En alarm, der blev undersøgt grundigt og lukket med en forkert konklusion, er stadig et tegn på, at overvågningen virkede et stykke af vejen.

Fra gennemgang til fælles plan

Efter rapporterne kommer gennemgangen, hvor holdet og forsvaret går tidslinjen igennem sammen. TIBER-EU beskriver, at relevante medlemmer af blue team skal deltage i replay, purple teaming og arbejdet med afhjælpning. → Replay

For IT-chefen er det her, tilliden bygges eller tabes. Lad driftsfolkene være medforfattere til handlingsplanen, ikke modtagere af den. De ved, hvilke rettelser der kan gennemføres uden at skade driften, og hvilke der kræver vedligeholdelsesvinduer, budget eller en ændret aftale med driftsleverandøren. En plan, der er skrevet uden dem, bliver en liste over påbud. → Handlingsplan efter red teaming

Det, driften skal have svar på

Driftsfolk, der har været en del af en skjult øvelse, vil stille spørgsmål, som fortjener ærlige svar:

Hvorfor fik vi ikke besked? · fordi resultatet kun siger noget om den daglige drift, hvis forsvaret arbejder, som det plejer.
Bliver det brugt imod os? · øvelsen måler processer og kontroller. Aftal på forhånd, at ingen fund fører til personalesager, og hold det.
Hvad med de timer, vi brugte? · anerkend dem, og sørg for, at overarbejde og ekstra timer hos driftsleverandøren bliver håndteret som en del af øvelsens omkostning.
Hvornår sker det igen? · fortæl, at der kommer flere øvelser, men ikke hvornår.

Svarene skal være de samme fra IT-chefen og fra sikkerhedsfunktionen. Hvis de to siger noget forskelligt, falder tilliden mellem dem.

Næste øvelse begynder her

Brug erfaringerne til at gøre den næste øvelse bedre for driften: fredede områder, der beskytter de mest sårbare systemer, en tydeligere vej til white team, hvis en driftsmedarbejder er i tvivl, og måske en driftsrepræsentant i white team. Når driftsfolkene ser, at deres feedback blev brugt, står de stærkere næste gang.

En kort, åben session med driften om de alarmer, der blev overset, kan også give driftsfolkene en mulighed for at vise, hvad de har lært, uden at nogen skal gætte på, om der øves. → Purple team-session → Feedback mellem holdene

Det skal I lade være med

At lade driftsfolkene høre om øvelsen fra rapporten · beskeden skal komme personligt og først.
At præsentere resultatet som en karakter · det handler om processer, ikke om personer.
At skrive handlingsplanen uden driften · den bliver hverken realistisk eller ejet.
At glemme driftsleverandøren · deres folk var også en del af forsvaret.
At bruge fund i personalesager · så melder ingen noget næste gang.

Hvad kan og ikke kan konkluderes

En opfølgning, hvor driften får sin egen version, deltager i gennemgangen og skriver med på planen, kan gøre en skjult øvelse til en fælles erfaring. Den kan ikke fjerne, at nogle føler sig snydt. Det afhænger også af, hvordan sikkerhedsfunktionen har opført sig før øvelsen, og af om løfterne fra opfølgningen bliver holdt.

Tjekliste til IT-chefen

☐ Er listen over det uvidende forsvar lavet, også hos driftsleverandøren?
☐ Kommer den første besked personligt og før rygtet?
☐ Får forsvaret lov at beskrive sit forløb, før resultatet fremlægges?
☐ Deltager driftsfolk i gennemgangen og i handlingsplanen?
☐ Er det sagt og aftalt, at fund ikke bruges i personalesager?
☐ Er timerne under øvelsen anerkendt og håndteret?

Kilder

ECB, TIBER-EU Framework (2025): blue team omfatter medarbejdere og tredjepartsleverandører, der ikke kender til testen; relevante medlemmer deltager i replay, purple teaming og afhjælpning; indholdet af blue teams rapport (afsnit 9).

Senest gennemgået: oktober 2026.