Er organisationen klar til red teaming? Tegn på modenhed

En red team-øvelse afprøver, om forsvaret opdager og standser en målrettet modstander, og det giver kun mening, hvis der er et forsvar at afprøve. Om organisationen er klar, afhænger derfor ikke af dens størrelse eller branche, men af om overvågning, beredskab og basal hygiejne er så modne, at øvelsen kan lære jer noget, I ikke allerede ved.

Hvis svaret er nej, er det ikke et nederlag. Det betyder blot, at andre former for afprøvning giver mere læring for pengene lige nu, og at red teaming bliver mere værdifuld, når den kommer senere.

Et forsvar, der kan blive overrasket

Det første tegn er, at nogen holder øje. Det kan være en intern SOC, en ekstern overvågningsleverandør eller en kombination, men der skal være mennesker, der modtager alarmer, vurderer dem og reagerer på dem. Hvis logfiler indsamles, men ingen kigger, vil øvelsen næsten med sikkerhed vise, at angrebet ikke blev opdaget. Det vidste I sandsynligvis på forhånd.

Det andet tegn er, at der findes en plan for, hvad der sker, når en alarm bliver alvorlig. Hvem eskaleres der til, hvem kan beslutte at afbryde forbindelser, og hvem orienterer ledelsen? Planen behøver ikke være perfekt, men den skal eksistere, så øvelsen har noget at måle op imod. → Red teaming uden egen SOC

Kendte svagheder er under kontrol

Et red team finder ikke nødvendigvis kun det ukendte. Hvis tidligere pentest har efterladt kritiske fund, som ikke er rettet, kan holdet bruge dem, og rapporten vil gentage det, I allerede har på jeres liste. Det koster tid og giver ikke ny indsigt.

Det betyder ikke, at alle fund skal være lukket. Det betyder, at de alvorligste er håndteret, og at der er en proces, som sikrer, at fund bliver fulgt op. Spørgsmålet om rækkefølgen mellem at rette og at øve er behandlet for sig. → Åbne pentestfund før red teaming

Overblik over det, der skal beskyttes

En øvelse har brug for et mål, og målet skal komme fra forretningen. Sikkerhedsfunktionen kan foreslå det, men det er forretningens ledere, der ved, hvad et stop i en bestemt funktion ville betyde for kunder, økonomi og omdømme. Uden den samtale risikerer målet at blive valgt efter, hvad der er teknisk interessant. Hvis organisationen ikke ved, hvilke funktioner og data der er vigtigst, bliver målet vilkårligt, og resultatet bliver svært at bruge. Et vist overblik over systemer, ejere og afhængigheder er også nødvendigt for at kunne afgrænse øvelsen og sige, hvad der ikke må røres.

TIBER-DK, Nationalbankens ramme for de regulerede test i finanssektoren, nævner i forberedelsen blandt andet, at virksomheden skal sikre budget og ressourcer og have intern information om kritiske eller vigtige funktioner og kritiske systemer klar. Rammen gælder kun de udpegede virksomheder, men den viser, hvilket grundlag en seriøs øvelse forudsætter. → Målet for øvelsen

Organisationen kan bære resultatet

Modenhed handler også om kultur. En red team-rapport kan være ubehagelig læsning. Den kan vise, at en investering ikke virkede som forventet, at en leverandør ikke reagerede, eller at medarbejdere fulgte en falsk instruks. Hvis organisationen reagerer på det ved at finde syndebukke, mister øvelsen sin værdi, og næste gang vil færre være åbne om, hvad der gik galt.

Tegn på, at kulturen er klar:

Ledelsen støtter formålet · den vil have læring frem for en karakter.
Der findes et white team · nogle få personer med mandat og tid til at styre øvelsen.
Fund bliver til handling · der er ejere og budget til at følge op.
Mennesker beskyttes · fund om adfærd behandles som fund om processer.

Et tænkt eksempel

En logistikvirksomhed med flere lagre har haft en årlig pentest i nogle år og overvejer nu red teaming. Overvågningen er købt hos en leverandør, men aftalen dækker kun alarmer i dagtimerne, og ingen i huset har prøvet at eskalere en alvorlig hændelse. De to seneste pentestrapporter indeholder de samme kritiske fund om administratorkonti.

Her vil en red team-øvelse med stor sandsynlighed bruge de kendte fund, nå målet uden for arbejdstid og vise, at eskaleringen ikke virker. Alt sammen noget, sikkerhedsfunktionen kunne have skrevet på forhånd. Det bedre første skridt er at rette de kendte fund, afklare aftalen med overvågningsleverandøren og øve eskaleringen ved et bord. Når det er på plads, kan en øvelse give svar, som ingen kendte i forvejen.

Når tegnene mangler

Hvis flere af tegnene mangler, er der andre øvelser, der passer bedre. En penetrationstest kan finde de svagheder, der skal rettes først. En skrivebordsøvelse kan afprøve beredskabsplanen, før den møder en modstander. Purple teaming kan bygge opdagelsesevnen op i samarbejde mellem angreb og forsvar, så den er klar til at blive afprøvet i skjul senere.

Det er også muligt at gennemføre en mindre øvelse med et smalt mål, der primært skal vise, hvor organisationen står. Den kræver de samme grundlæggende aftaler, men forventningerne til resultatet skal være tilpasset. Da det er svært at vurdere sin egen modenhed indefra, kan det betale sig at spørge en leverandør, hvilke forudsætninger den lægger vægt på, før den anbefaler en fuld øvelse. Et ærligt svar kan godt være, at I bør vente. → Purple teaming eller red teaming først?

Det skal I lade være med

At bestille red teaming for at vise, at I er modne · øvelsen måler modenhed, den skaber den ikke.
At springe overvågningen over · uden nogen, der kigger, er resultatet givet på forhånd.
At bruge øvelsen til at finde svagheder, I kender · ret dem først, eller vælg en pentest.
At undervurdere kulturen · en organisation, der straffer fejl, lærer ikke af øvelsen.
At vente på perfekt modenhed · målet er nok modenhed til at lære noget nyt.

Hvad kan og ikke kan konkluderes

Tegnene på modenhed kan hjælpe jer med at vurdere, om en red team-øvelse vil give læring, der ikke kan fås billigere på anden vis. De kan ikke garantere, at øvelsen bliver vellykket, og de er ikke en formel standard. Hvis tegnene mangler, er det et signal om rækkefølge, ikke et udtryk for, at organisationen aldrig skal øve sig mod en modstander.

Tjekliste før I går videre

☐ Er der nogen, der modtager og vurderer alarmer, også uden for arbejdstid?
☐ Findes der en beredskabsplan med navne på dem, der eskaleres til?
☐ Er de alvorligste fund fra tidligere test rettet eller håndteret?
☐ Ved I, hvilke funktioner og data der er vigtigst for forretningen?
☐ Er der ledelsesopbakning og et muligt white team?
☐ Er der budget og ejere til at følge op på fundene? → Den første red team-øvelse

Kilder

Danmarks Nationalbank: TIBER-DK Implementation Document: forberedelsen med budget, ressourcer og intern information om kritiske eller vigtige funktioner og kritiske systemer.

Senest gennemgået: oktober 2026.