Kontinuerlig red teaming: løbende øvelser frem for én stor

Én stor øvelse giver et øjebliksbillede, og billedet bliver hurtigt gammelt, når systemer, leverandører og medarbejdere skifter. Kontinuerlig red teaming forsøger at løse det ved at gøre afprøvningen til en fast, tilbagevendende aktivitet, hvor mindre øvelser afløser hinanden. Om det er det rigtige valg, hviler på, om organisationen kan styre et løbende program, holde det fortroligt og faktisk bruge resultaterne, mens de stadig er friske.

Modellen er ikke nødvendigvis bedre end den store øvelse. Den svarer på et andet spørgsmål: ikke “hvordan klarede vi os i år”, men “bliver vi bedre over tid, og opdager vi, når noget glider”.

Hvad løbende betyder i praksis

Kontinuerlig red teaming kan organiseres på flere måder. Nogle vælger en række korte øvelser med hvert sit afgrænsede scenarie. Andre lader et hold arbejde i perioder gennem året med skiftende mål. Fælles er, at der ikke er én startdato og én slutrapport, men en strøm af resultater, der skal håndteres løbende.

Det stiller krav til, hvordan programmet beskrives. I stedet for én opgavebeskrivelse skal der være en rammeaftale med fælles regler og en mekanisme til at godkende hvert nyt scenarie. Rules of engagement, stopregler og kontaktlister gælder for hele programmet, men skal kunne justeres, når scenariet ændrer sig. → Rules of engagement i red teaming

Hvert scenarie bør stadig have sit eget lille oplæg: formål, mål, tidsrum, fredede områder og de målepunkter, der skal noteres. Oplægget kan være kort, men det skal godkendes af white team, før holdet går i gang. På den måde bevarer programmet den disciplin, som en enkeltstående øvelse har, selv om det kører over lang tid.

Tilladelserne skal også holdes ajour. Et lejemål, en leverandøraftale eller en driftsorganisation kan ændre sig i løbet af programmet, og en tilladelse, der var dækkende ved starten, er ikke nødvendigvis det et halvt år senere.

Forudsætninger

Et løbende program kræver mere af organisationen end en enkelt øvelse. Mindst disse forhold bør være på plads:

Et stabilt white team · nogen skal kunne følge programmet over måneder og godkende hvert scenarie.
En modtager af resultaterne · fund skal have en ejer, der kan handle, mens fundet er aktuelt.
En moden blue team-funktion · hvis hver øvelse finder de samme grundlæggende huller, er programmet for tidligt.
Ledelsesopbakning over tid · et program, der kun lever i ét budgetår, er ikke kontinuerligt.
Klare regler for fortrolighed · jo længere programmet kører, jo flere ved, at det findes.

Mangler organisationen nogle af dem, kan det være bedre at starte med enkeltstående øvelser og lade programmet vokse ud af erfaringerne. → Er organisationen klar til red teaming?

Fortrolighed i et program, alle kender

Det er en særlig udfordring, at et løbende program over tid bliver kendt. Blue team ved, at der kan være en øvelse i gang, og det ændrer adfærden. Det kan være positivt, fordi det skaber skærpet opmærksomhed. Men det gør det også sværere at vide, om en opdagelse skyldes god overvågning eller en mistanke om, at det nok er red team igen.

Der er flere måder at håndtere det på. Programmets eksistens kan være kendt, mens tidspunkter og scenarier holdes inden for white team. Blue team kan få besked om at behandle enhver mistanke som ægte, indtil white team siger andet. Og målingen kan fokusere på kvaliteten af reaktionen frem for blot, om noget blev opdaget. → Øvelse eller rigtigt angreb?

Resultater, der kommer løbende

Et løbende program giver en strøm af iagttagelser i stedet for én rapport. Det er en fordel, fordi læringen kommer hurtigere, men det kræver en anden måde at modtage resultaterne på.

Aftal på forhånd:

Rapportform · korte afrapporteringer pr. scenarie og en samlet opsummering med faste mellemrum.
Prioritering · hvem beslutter, hvilke fund der skal handles på straks, og hvilke der venter?
Sammenlignelighed · hvilke målepunkter følges på tværs af scenarier, så udviklingen kan ses?
Lukning · hvornår betragtes et fund som håndteret, og hvem efterprøver det?

Uden de aftaler risikerer programmet at producere flere fund, end organisationen kan håndtere. Så bliver det en kilde til frustration frem for forbedring. → Måling over tid

Variation, så forsvaret ikke lærer holdet at kende

Et hold, der arbejder løbende mod den samme organisation, risikerer at blive forudsigeligt. Blue team lærer holdets vaner, og øvelserne måler efterhånden, hvor godt forsvaret kender holdet, ikke hvor godt det opdager en ukendt modstander.

Variation kan komme fra skiftende scenarier, nye mål og opdateret trusselsefterretning. Den kan også komme fra skiftende folk på holdet eller fra en ekstern øvelse med mellemrum, der bruger en anden tilgang. Ved større programmer kan det være en fordel, at leverandøren kan trække på flere konsulenter. Nielco IT løser større red team-opgaver med tilknyttede konsulenter, der arbejder i Nielco IT’s regi. → Trusselsefterretning som grundlag for scenarierne

Når den store øvelse stadig er nødvendig

Kontinuerlig red teaming erstatter ikke nødvendigvis den store, samlede øvelse. Der kan være forhold, som kun en længere, sammenhængende øvelse kan vise, fx hvordan forsvaret håndterer en modstander, der kombinerer flere veje over lang tid. Og der kan være krav fra tilsyn, kunder eller ledelse om en samlet vurdering med et tydeligt start- og slutpunkt.

For finansielle virksomheder, der er udpeget til TLPT, gælder desuden en særskilt ramme med egne krav til forløbet, og et løbende program uden for rammen kan ikke træde i stedet for den. → DORA-TLPT forklaret

En hensigtsmæssig løsning kan være en kombination: løbende mindre øvelser til at holde forsvaret i form og med mellemrum en større øvelse, der samler trådene. → Længerevarende angrebssimulering

Det skal I lade være med

At starte et program uden fast white team · scenarierne skal godkendes og styres hver gang.
At producere flere fund, end I kan håndtere · tempoet skal passe til modtagerens kapacitet.
At lade holdet arbejde på samme måde hver gang · forsvaret lærer holdet frem for modstanderen.
At skifte målepunkter undervejs · så kan udviklingen ikke ses.
At antage, at et løbende program dækker alle krav · nogle krav forudsætter en samlet øvelse.

Hvad kan og ikke kan konkluderes

Et løbende program kan vise, om forsvaret bliver bedre over tid i de scenarier, der er afprøvet, og om nye svagheder opstår. Det kan ikke vise, at forsvaret holder mod scenarier, der ikke indgår, og resultater fra en organisation, der ved, at programmet findes, skal læses med det forbehold.