Kodenavn og dokumenthåndtering under øvelsen

En skjult øvelse efterlader spor i hverdagen: mødeindkaldelser, fakturaer, kontraktudkast, mails med leverandøren og noter fra statusmøderne. Hvert spor er en mulighed for, at øvelsen bliver kendt, før den skal. Den praktiske fortrolighed hviler på to redskaber: et kodenavn, der kan bruges overalt, og en fast måde at oprette, lagre, dele og slette dokumenter på. Begge dele er enkle, men de skal være besluttet, før det første dokument bliver skrevet.

Kodenavnet er ikke en sikkerhedsforanstaltning i sig selv. Det er en vane, der gør det lettere at tale om øvelsen uden at sige, hvad den er.

Valg af kodenavn

Et godt kodenavn er kedeligt. Det skal kunne stå i en kalender, på en faktura og i en projektliste uden at vække nysgerrighed. Det skal ikke pege på sikkerhed, angreb, test eller farver, og det skal ikke ligne et rigtigt projekt, som andre kan finde på at spørge til eller melde sig til.

I TIBER-DK foreslår virksomheden selv et kodenavn til testen, og navnet aftales på det første møde med Nationalbankens TIBER-team. Det viser, at navnet hører til de første beslutninger, ikke til de sidste.

Neutralt · uden ord, der hører hjemme i sikkerhed eller it.
Unikt · så det ikke forveksles med andre projekter i organisationen.
Brugbart for alle · også for leverandører, økonomi og juridisk afdeling.
Uden betydning · navnet må ikke kunne afkodes ud fra organisationens egne projektnavne.

Et tænkt eksempel: en bank, hvis projekter normalt får navne efter danske øer, kalder øvelsen efter en ø. Det falder naturligt ind blandt de andre projekter og vækker ingen opmærksomhed, så længe der ikke allerede findes et projekt med samme navn. Havde banken valgt et navn efter et rovdyr eller en fæstning, ville det stikke ud. Tjek derfor projektlisten, før navnet tages i brug.

Brug navnet konsekvent

Navnet virker kun, hvis det bruges hele vejen. Det gælder mødeindkaldelser, filnavne, mapper, emnefelter i mails, ordrer og fakturaer. En enkelt mail med emnet “red team-øvelse” kan ophæve fordelen ved et ellers velvalgt navn.

Aftal med leverandøren, at navnet også bruges hos dem, og at deres fakturaer og ordrebekræftelser ikke beskriver ydelsen mere præcist end nødvendigt. Økonomifunktionen skal kunne bogføre udgiften uden at se indholdet. Det kan kræve en kort aftale med den person, der godkender fakturaen. → Kontrakten om en red team-øvelse

Hvor dokumenterne skal ligge

Dokumenterne om øvelsen er følsomme på to måder. De afslører, at øvelsen findes, og de indeholder oplysninger om organisationens svagheder. De skal derfor ligge et sted, hvor adgangen er begrænset til white team, og hvor det kan ses, hvem der har haft adgang.

Den største udfordring er administratorerne. De personer, der normalt kan se alt på fællesdrev og i mailsystemer, kan være en del af forsvaret og må ikke kende til øvelsen. Overvej derfor en løsning, hvor adgangen ikke kan overtages af den almindelige drift, eller hvor brugen af administrative rettigheder bliver logget og gennemgået. Leverandørens egen platform kan være en mulighed, hvis den lever op til organisationens krav.

Udvekslingen med holdet kræver særskilt omtanke. Holdet skal kunne aflevere testplan, statusnotater og rapporter, og white team skal kunne sende scope, tilladelser og ændringer. Aftal én fast vej for udvekslingen, og undgå, at dokumenter sendes som vedhæftede filer i almindelige mails, hvor de bliver liggende i indbakker, som andre administrerer. → Fortrolighed om øvelsen

Dokumenterne i øvelsen

Det hjælper at have en kort oversigt over, hvilke dokumenter der findes, hvem der ejer dem, og hvem der må se dem:

Godkendelse og scope · ejes af white team, ses af sponsor og holdets leder.
Spilleregler og tilladelsesbreve · ejes af white team, holdet har kopier. → Tilladelsesbrevet
Risikovurdering · ejes af white team, ajourføres under øvelsen.
Testplan · ejes af holdet, godkendes af white team.
Logbog · ejes af holdet, white team har adgang.
Referater fra statusmøder · ejes af den, der leder møderne. → Statusmøder
Rapporter og handlingsplan · ejes af white team efter afleveringen.

Marker dokumenterne med en klassifikation efter organisationens egen ordning, og hold styr på versionerne. Et forældet scope eller en gammel telefonliste kan give problemer i en presset situation.

Telefon, chat og papir

Fortroligheden gælder ikke kun dokumenter. Samtaler i chatkanaler, som andre kan se, gruppesamtaler på mobilen og opkald fra et kontor med åben dør kan afsløre lige så meget. Aftal, hvilke kanaler white team bruger, og hold dem adskilt fra organisationens almindelige kanaler.

Papir er en særskilt risiko. Tilladelsesbreve og telefonlister skal måske findes på papir, fordi holdet skal kunne vise dem. Det, der ikke behøver at være på papir, bør ikke være det. Det, der er, skal tælles ind igen, når øvelsen er slut.

Efter øvelsen: nyt navn og ryddet bord

Når øvelsen er slut, og resultaterne skal bruges åbent i organisationen, kan det være en god idé at give opfølgningen et nyt navn. Så kan handlingsplanen diskuteres frit, mens de følsomme detaljer forbliver i det lukkede materiale. Det nye navn bør heller ikke pege på angreb eller fejl, men på det, organisationen vil forbedre, fx overvågning eller adgangsstyring. Det gør det lettere for dem, der skal gennemføre rettelserne, at tale åbent om opgaven.

Aftal samtidig, hvad der skal gemmes, hvor længe, og hvad der skal slettes. Holdets kopier af data og dokumenter bør slettes eller afleveres efter en aftalt plan, og sletningen bør bekræftes skriftligt. Det gælder også materiale fra den fysiske del, som fotos og adgangskort. → Opbevaring af materiale · Beviser fra fysisk adgang

Det skal I lade være med

At vælge et navn med humor eller pointe · det bliver husket og gentaget.
At lade leverandøren bruge sin egen betegnelse · fakturaen kan afsløre det, kodenavnet skjuler.
At lægge dokumenterne, hvor driften har fuld adgang · de, der administrerer, kan være dem, der testes.
At glemme papir og mobiltelefoner · fortroligheden er ikke kun digital.
At lade materialet ligge efter øvelsen · aftal opbevaring og sletning, før det bliver glemt.

Hvad kan og ikke kan konkluderes

Et konsekvent brugt kodenavn og ordnede dokumenter gør det mindre sandsynligt, at øvelsen bliver kendt ved et uheld. De kan ikke forhindre, at en opmærksom medarbejder stykker oplysningerne sammen, og de erstatter ikke den grundlæggende disciplin: at kun de, der har brug for det, får at vide, at øvelsen finder sted.