Kontrakten om en red team‑øvelse: punkter ud over pentestkontrakten

En red team-øvelse giver et hold lov til at handle over for mennesker, bygninger og systemer i et forløb, som de fleste i organisationen ikke kender til. Kontrakten skal derfor dække mere end en aftale om en penetrationstest: den skal beskrive, hvilke handlinger der er tilladt over for hvem, hvordan øvelsen holdes skjult og alligevel under kontrol, og hvad der sker med alt det, holdet ser. Grundlaget er den almindelige testaftale, suppleret med de punkter, der følger af, at øvelsen berører personer og fysiske steder.

Teksten er ikke juridisk rådgivning. Lad en jurist gennemgå kontrakten, især hvor ansvar, persondata og tredjeparter indgår.

Grundaftalen er den samme, tilføjelserne er større

De punkter, der hører til enhver sikkerhedstest, gælder også her: opgavens formål, tidsrum, kontaktpersoner, fortrolighed, leverance og ansvar. Hvilke punkter en almindelig testaftale bør indeholde, er beskrevet på penetrationtest.dk.

En red team-øvelse adskiller sig på tre måder, som kontrakten skal afspejle. Den rækker ud over systemerne til mennesker og bygninger. Den foregår skjult for de fleste, der berøres. Og den kan løbe over længere tid, hvor scope og scenarie kan blive justeret undervejs. Hver af de tre forhold kræver egne bestemmelser.

Hertil kommer de parter, der ikke selv har skrevet under. En driftsleverandør, en cloudtjeneste, en ekstern servicedesk eller en SOC-leverandør kan blive berørt, selv om aftalen kun er mellem jer og holdets leverandør. Kontrakten bør derfor sige, at de dele af scope, der berører tredjeparter, først må udføres, når den pågældende part har givet sin tilladelse, og at holdet ikke må gå videre, hvis tilladelsen mangler. → Driftsleverandører og cloududbydere i øvelsen

Mennesker som en del af scope

Hvis øvelsen omfatter social engineering, skal kontrakten sige, hvilke grupper af medarbejdere der kan blive kontaktet, og hvilke der er undtaget. Nogle organisationer undtager fx medarbejdere på barsel eller sygeorlov, og andre undtager bestemte funktioner helt. → Social engineering i øvelsen

Kontrakten bør også fastlægge, hvordan holdet omtaler medarbejdere i rapporten. En øvelse skal vise svagheder i processer og kontroller, ikke udstille enkeltpersoner. Aftal, at personer ikke nævnes ved navn, medmindre der er en særlig grund, og at materiale, der kan identificere dem, behandles særskilt. Beskriv desuden, hvordan berørte medarbejdere får besked efter øvelsen, og hvem der har ansvaret for den samtale. Det er ikke nødvendigvis holdet selv, men aftalen bør sige, hvad holdet skal bidrage med.

Målgrupper · hvilke afdelinger og roller der kan indgå.
Undtagelser · personer og funktioner, der holdes ude.
Kanaler · hvilke kontaktformer holdet må bruge.
Rapportering om personer · anonymisering og adgang til materialet.

Bygninger, lokaler og fysiske handlinger

Fysisk adgang kræver, at kontrakten beskriver, hvilke lokationer der indgår, hvilke områder holdet må forsøge at komme ind i, og hvad holdet ikke må røre. Det gælder fx serverrum med særlige krav, laboratorier eller områder med sikkerhedsudstyr. → Fysisk adgang i red teaming

Hvis organisationen lejer lokaler, skal udlejerens tilladelse foreligge, før den del af scope træder i kraft. Kontrakten kan med fordel gøre den fysiske del betinget af, at tilladelserne er på plads, så ingen er i tvivl om, hvornår holdet må begynde.

Beskriv også, hvordan skader håndteres. Holdet kan komme til at efterlade spor, fx en dør, der ikke lukker korrekt, eller et skilt, der er flyttet. Kontrakten bør sige, hvem der skal underrettes straks, og hvordan forholdet bringes i orden. Aftal også, hvordan holdet dokumenterer, at et fysisk mål er nået, uden at tage genstande med fra lokalerne eller efterlade noget, der kan forvirre andre medarbejdere eller vagtpersonale.

Det skjulte forløb og retten til at stoppe

Fordi blue team og de fleste medarbejdere ikke kender til øvelsen, skal kontrakten beskrive white team og dets beføjelser. White team skal kunne stoppe, sætte på pause eller ændre øvelsen uden at skulle forhandle om det. Holdet skal kunne stoppe selv, hvis noget uventet sker. → Stopregler

Aftal en procedure for, hvordan en øvelse skilles fra et rigtigt angreb, hvis blue team opdager aktivitet og eskalerer. Den skal være hurtig og må ikke afsløre øvelsen for flere end nødvendigt. Kontrakten bør henvise til rules of engagement som det dokument, der beskriver detaljerne, og angive, hvem der kan godkende ændringer i det. → Rules of engagement

Materiale, data og sletning

Under en øvelse kan holdet få adgang til følsomme oplysninger: interne dokumenter, persondata, adgangsoplysninger og billeder fra lokaler. Kontrakten skal sige, at holdet kun må indsamle det, der er nødvendigt for at dokumentere scenariet, og hvordan materialet opbevares under og efter øvelsen.

Fastlæg også, hvornår materialet slettes, og at sletningen bekræftes skriftligt. Hvis noget skal gemmes længere, fx dokumentation til en senere genafprøvning, skal det fremgå, hvad der gemmes, hvor og hvor længe. → Persondata i øvelsen

Ændringer undervejs og ophør

Et scenarie kan ændre sig, fordi holdet når målet tidligt, fordi en vej viser sig lukket, eller fordi organisationen får en reel hændelse. Kontrakten bør beskrive, hvem der kan godkende ændringer i scope og scenarie, og at ændringer skrives ned, før de udføres.

Beskriv også, hvad der sker, hvis øvelsen afbrydes. Det kan være på grund af en driftsforstyrrelse, en reel hændelse eller et forhold, der gør det uforsvarligt at fortsætte. Aftal, hvad holdet så skal levere, og hvordan materialet afleveres og slettes. Ansvar og forsikring hører også hjemme her. → Ansvar og forsikring ved red teaming

Det skal I lade være med

At genbruge pentestkontrakten uden tilføjelser · den dækker hverken personer, bygninger eller det skjulte forløb.
At lade rules of engagement stå uden forbindelse til kontrakten · kontrakten skal sige, at dokumentet er bindende.
At glemme undtagelser blandt medarbejderne · aftal dem, før øvelsen begynder.
At udelade sletning · materialet fra en øvelse kan være mere følsomt end en pentestrapport.
At forlade sig på mundtlige ændringer · alt, der ændrer scope, skal skrives ned.

Hvad kan og ikke kan konkluderes

En kontrakt med de rette tilføjelser gør det klart, hvad holdet må, og hvem der bærer ansvaret, hvis noget går galt. Den kan ikke i sig selv gøre en handling lovlig, hvis den part, der råder over et sted eller et system, ikke har givet tilladelse. Den kan heller ikke garantere, at øvelsen forløber uden forstyrrelser. Den giver et fælles grundlag, som white team og holdet kan styre efter.

Tjekliste til kontraktudkastet

☐ Er de grupper af medarbejdere, der kan indgå, og undtagelserne beskrevet?
☐ Er lokationer og områder for fysisk adgang afgrænset?
☐ Er udlejerens og andre parters tilladelse en betingelse for start?
☐ Har white team skriftlig ret til at stoppe og ændre øvelsen?
☐ Er rules of engagement gjort bindende?
☐ Er indsamling, opbevaring og sletning af materiale aftalt?
☐ Er ansvar, skader og ophør beskrevet?

Kilder

NIST CSRC Glossary, Rules of Engagement: rules of engagement som detaljerede retningslinjer og begrænsninger for udførelsen af en sikkerhedstest, fastlagt før testen begynder (efter NIST SP 800-115).

Senest gennemgået: oktober 2026.