Når kunder eller tilsyn spørger til red teaming

Spørgsmålet om red teaming dukker op i sikkerhedsspørgeskemaer, i kundeforhandlinger og i dialogen med tilsynsmyndigheder, og det er ikke altid klart, hvad der menes. Svaret hviler på at afklare, hvad spørgeren reelt vil vide, hvilket grundlag spørgsmålet har, og hvad organisationen faktisk har gjort. Først derefter kan I svare præcist.

Et forhastet ja kan blive en forpligtelse, ingen havde planlagt. Et forhastet nej kan koste en kunde, der i virkeligheden spurgte til noget, I allerede gør. Teksten er ikke juridisk rådgivning.

Find ud af, hvad der faktisk er spurgt om

Ordet red teaming bruges bredt. I et spørgeskema kan det dække alt fra en almindelig penetrationstest over en phishingkampagne til en egentlig øvelse, hvor forsvaret afprøves mod en modstander. Nogle bruger det om AI-modeller, hvor det betyder noget helt andet.

Spørg derfor tilbage, før I svarer. Hvad vil kunden eller myndigheden vide? Er det, om I tester jeres forsvar regelmæssigt, om I har afprøvet opdagelse og reaktion, eller om I opfylder et bestemt krav i en bestemt ramme? Svaret afgør, om spørgsmålet overhovedet handler om red teaming.

Det hjælper at have et fast sted i organisationen, hvor den slags spørgsmål lander. Hvis salg, jura og sikkerhedsfunktionen hver især svarer på spørgeskemaer, kan samme spørgsmål få tre forskellige svar. Lad sikkerhedsfunktionen formulere en kort, godkendt beskrivelse af, hvordan I afprøver forsvaret, så de, der udfylder skemaerne, har noget præcist at tage udgangspunkt i. → Hvad er red teaming?

Når spørgsmålet kommer fra en kunde

Kunder kan spørge, fordi de selv skal vurdere deres leverandører. De vil vide, om I tager sikkerheden alvorligt, og om I kan dokumentere det. Et krav om red teaming i en kundekontrakt er ikke altid formuleret præcist, og det kan give anledning til en dialog om, hvad der giver mening for netop jeres ydelse.

Kunden kan være bedre tjent med dokumentation for en pentest af den løsning, kunden bruger, end med et resumé af en red team-øvelse, der handlede om noget andet. Hvis spørgsmålet i virkeligheden gælder en pentestrapport til kunder, er det et andet emne, som pentestrapport.dk beskriver nærmere. Hvis kunden derimod vil vide, om I kan opdage og håndtere et målrettet angreb, kan en red team-øvelse være det rette svar, men så skal I aftale, hvad kunden kan få at se.

Vær også opmærksom på, hvem der skal betale, og hvem der bestemmer. Et kontraktkrav, der giver kunden ret til selv at gennemføre eller udpege en øvelse mod jeres organisation, rejser spørgsmål om tilladelser, fortrolighed og risiko, som skal afklares på samme måde som ved en øvelse, I selv bestiller. Den slags vilkår bør læses af både sikkerhedsfunktionen og jura, før de accepteres. → Deling af resultater

Når spørgsmålet kommer fra et tilsyn

I finanssektoren er der et lovbestemt krav om trusselsbaseret penetrationstest, TLPT, i forordningen om digital operationel modstandsdygtighed, DORA. Kravet gælder ikke alle finansielle virksomheder. Nationalbanken er myndighed for TLPT i Danmark og udpeger de virksomheder, der skal gennemføre test. Ifølge Nationalbanken gælder en gennemført TIBER-DK-test som gennemførsel af en DORA-TLPT.

Hvis et tilsyn spørger til red teaming, skal I derfor afklare, om spørgsmålet handler om et formelt krav, fordi organisationen er udpeget, eller om det handler om, hvordan I mere generelt afprøver modstandskraften. De to spørgsmål har vidt forskellige svar. Spørg om nødvendigt myndigheden direkte, hvad den forventer, i stedet for at gætte ud fra spørgsmålets ordlyd. → DORA-TLPT forklaret

For organisationer, der ikke er udpeget, kan en frivillig øvelse stadig være relevant, men den er ikke en TLPT og kan ikke fremstilles som en. Det gælder også, selv om øvelsen er inspireret af de samme rammer. → Hvem skal gennemføre TLPT?

Svar med det, I gør

Det bedste svar beskriver det, I faktisk gør. Hvis I har gennemført en øvelse, kan I beskrive formålet, tidspunktet og hvordan resultatet er fulgt op, uden at afsløre detaljer om forløbet. Hvis I ikke har, kan I beskrive de afprøvninger, I gennemfører i stedet, og hvordan I vurderer behovet for en øvelse.

Undgå at svare med planer, der ikke er besluttet. En formulering om, at red teaming er under overvejelse, kan blive læst som en forpligtelse, og et tilsyn eller en kunde kan med rette spørge til den ved næste lejlighed. Hvis der er en plan, skal den være godkendt af den, der har mandat til at bruge budgettet.

Gem jeres svar. Når samme kunde eller samme myndighed spørger igen et år senere, skal det nye svar kunne holdes op mod det gamle. Uoverensstemmelser mellem svarene skaber flere spørgsmål end selve indholdet, og en kort log over, hvad der er svaret til hvem, gør det lettere at være konsekvent.

Det, I kan dele

Resultatet af en red team-øvelse er følsomt. Det beskriver, hvordan en modstander kunne nå et mål i jeres organisation, og hvor forsvaret ikke reagerede. Det er ikke materiale, der skal sendes til en kunde i fuld længde.

Gør det klart på forhånd, hvad der kan deles: et kort resumé af formålet, en bekræftelse af, at øvelsen er gennemført af en uafhængig part, og en beskrivelse af, at fundene følges op. Over for et tilsyn kan kravene være andre, og her gælder de regler, myndigheden arbejder efter. → Fortrolighed om øvelsen

Det skal I lade være med

At svare ja, før I ved, hvad der menes · ordet bruges om forskellige ting.
At kalde en pentest for red teaming · det svækker troværdigheden, når nogen spørger ind.
At fremstille en frivillig øvelse som en TLPT · den formelle test har sine egne krav og myndigheder.
At sende den fulde rapport · den beskriver vejen ind i organisationen.
At love fremtidige øvelser uden en beslutning · et løfte i et spørgeskema kan blive en forpligtelse.

Hvad kan og ikke kan konkluderes

En præcis afklaring af spørgsmålet gør det muligt at give et svar, der er sandt og brugbart for modtageren. Den kan ikke afgøre, om organisationen er omfattet af et lovkrav; det afgøres af regler og myndigheder. En gennemført øvelse viser, at I har afprøvet ét forløb, ikke at kravene i en kundekontrakt eller en regulering er opfyldt.

Tjekliste før I svarer

☐ Ved I, hvad kunden eller myndigheden reelt spørger til?
☐ Er det afklaret, om organisationen er udpeget til TLPT?
☐ Beskriver svaret det, I faktisk har gjort?
☐ Er det besluttet, hvad der kan deles, og i hvilken form?
☐ Er eventuelle planer godkendt, før de nævnes?
☐ Har den, der underskriver svaret, mandat til det?

Kilder

Danmarks Nationalbank: TIBER-DK/TLPT: Nationalbanken er myndighed for TLPT i Danmark og udpeger de virksomheder, der skal teste; en TIBER-DK-test gælder som en DORA-TLPT.
Forordning (EU) 2022/2554 (DORA): artikel 26 om trusselsbaseret penetrationstest.

Senest gennemgået: oktober 2026.