Ledelsens godkendelse: hvem skal sige ja til øvelsen?

En red team-øvelse rører ved drift, medarbejdere og måske bygninger og leverandører, og derfor kan sikkerhedsfunktionen ikke godkende den alene. Godkendelsen hviler på et enkelt princip: den, der bærer risikoen ved øvelsen og ved de forhold, den afprøver, skal have sagt ja, og ja’et skal dække det, øvelsen faktisk kommer til at gøre. I praksis betyder det en navngiven sponsor i direktionen, et skriftligt mandat og en kort liste over dem, der informeres.

Godkendelsen er ikke det samme som tilladelserne fra ejere af systemer, lokaler og tjenester. De kommer bagefter og er beskrevet for sig. Her handler det om ledelsens beslutning om at gennemføre øvelsen. → Tilladelser til en red team-øvelse

Tre lag i godkendelsen

Det hjælper at skelne mellem tre niveauer:

Beslutningen · direktionen beslutter, at organisationen gennemfører en øvelse med et bestemt formål og inden for en bestemt ramme.
Sponsoratet · en navngiven direktør står inde for øvelsen og kan træffe beslutninger, hvis noget uventet sker.
Mandatet til white team · den lille gruppe, der styrer øvelsen, får skriftligt mandat til at planlægge, justere og stoppe den.

Hvert lag har sin egen opgave. Hvis et af dem mangler, opstår der tvivl i de øjeblikke, hvor der skal handles hurtigt. → White team

Hvad ledelsen konkret godkender

En godkendelse, der kun siger ja til en red team-øvelse, er for tynd. Den skal dække de valg, der kan få konsekvenser. Det kan handle om:

Formålet · det spørgsmål, øvelsen skal besvare.
Rammen · hvilke dele af organisationen der kan indgå, og hvilke der er udelukket.
Mennesker og bygninger · om social engineering og fysisk adgang indgår, og med hvilke hensyn.
Risikoen · hvilken påvirkning af drift og omdømme der er acceptabel, og hvad der udløser et stop.
Fortroligheden · at øvelsen holdes skjult for de fleste, og hvad det betyder for medarbejdere og leverandører.
Leverandøren · hvem der udfører øvelsen, og på hvilke vilkår.

Detaljerne behøver ikke stå i direktionens beslutning. De kan stå i rules of engagement, som sponsoren godkender på direktionens vegne. Det vigtige er, at kæden fra beslutning til detaljer er ubrudt og dokumenteret. Hvis rammen senere skal udvides, fx med en ny lokation, skal ændringen tilbage til sponsoren. → Rules of engagement i red teaming

Sponsoren skal kunne træffe beslutninger

Sponsoren er ikke en pyntefigur. Under en øvelse kan der opstå situationer, hvor white team har brug for en hurtig beslutning: En kritisk proces bliver påvirket, en leverandør reagerer kraftigt, eller holdet når et mål tidligere end ventet. Sponsoren skal kunne kontaktes og have beføjelse til at beslutte.

Det betyder i praksis, at sponsoren skal kende planen i hovedtræk, have et telefonnummer, der virker uden for arbejdstid, og have en stedfortræder, der er lige så godt orienteret. Ferier, rejser og bestyrelsesmøder i øvelsesperioden bør kendes på forhånd. Sponsoren bør også være den, der modtager det første resumé efter øvelsen, så beslutninger om opfølgning ikke venter på, at den fulde rapport er skrevet.

Nationalbankens implementeringsdokument for TIBER-DK peger på noget beslægtet for de regulerede test: Ved udpegning af lederen af kontrolteamet skal der blandt andet lægges vægt på anciennitet og adgang til direktionen. Rammen gælder kun de udpegede finansielle virksomheder, men tanken er brugbar for alle: den, der styrer øvelsen, skal have kort vej til dem, der kan træffe beslutninger.

Hvem skal informeres, og hvem skal ikke?

En skjult øvelse kræver, at kun få kender til den. Det gælder også i ledelsen. Det er ikke nødvendigvis hele direktionen, der skal kende detaljerne, og bestyrelsen kan godt orienteres om, at der gennemføres øvelser, uden at kende tidspunktet. TIBER-DK begrænser kendskabet til en planlagt test til et need to know-grundlag, der omfatter kontrolteamet, virksomhedens ledelse og de øvrige direkte involverede.

Der er dog personer, der bør vide besked, selv om de ikke deltager. Det kan være den juridiske chef, HR-chefen, hvis medarbejdere indgår, og den, der har ansvaret for krisekommunikation, hvis øvelsen skulle blive kendt udadtil. Listen skal være bevidst valgt og så kort som muligt. Skriv ned, hvem der står på den, hvornår de blev orienteret, og hvad de fik at vide. Så kan white team bagefter forklare, hvorfor en bestemt person reagerede, som den gjorde, og om fortroligheden holdt. Når øvelsen er slut, er det også listen, der viser, hvem der skal have den første orientering, før resten af organisationen hører om den. → Fortrolighed om øvelsen

Når ledelsen selv er en del af øvelsen

Hvis scenariet berører direktionen, fx som mål for social engineering eller som deltagere i en krisestab, opstår et særligt spørgsmål. De, der godkender øvelsen, ved besked og vil reagere anderledes end ellers. Det kan løses ved, at sponsoren er en anden direktør, eller ved at acceptere, at den del af øvelsen er mindre realistisk. Valget skal træffes bevidst og fremgå af rapporten. → Direktion og bestyrelse som mål

Regler, der kan spille ind

I finanssektoren placerer DORA, forordning (EU) 2022/2554, i artikel 5, stk. 2, det endelige ansvar for at styre IKT-risici hos ledelsesorganet, herunder at fastlægge strategien for digital operationel modstandsdygtighed og afsætte budget. Bestemmelsen siger ikke, at ledelsesorganet skal godkende den enkelte øvelse, men en øvelse, der afprøver forsvaret, ligger tæt på det ansvar. Andre sektorer kan have lignende krav om ledelsens ansvar for sikkerheden. Teksten er ikke juridisk rådgivning.

Det skal I lade være med

At nøjes med en mundtlig accept · den holder ikke, når noget går galt.
At lade sponsoren være utilgængelig under øvelsen · aftal en stedfortræder.
At informere hele ledelsen i detaljer · det øger risikoen for, at øvelsen bliver kendt.
At godkende uden at nævne mennesker og bygninger · de kræver en særskilt stillingtagen.
At lade godkendelsen erstatte tilladelserne fra ejere · det er to forskellige ting. → Tilladelsesbrevet

Hvad kan og ikke kan konkluderes

En skriftlig godkendelse med sponsor og mandat viser, at øvelsen er besluttet af dem, der bærer risikoen, og at der er nogen, der kan træffe beslutninger undervejs. Den fritager ikke for at indhente tilladelser fra ejere af systemer, lokaler og tjenester, og den afgør ikke, om øvelsen er lovlig i alle henseender. Den siger heller ikke noget om, hvad øvelsen vil finde.

Tjekliste til godkendelsen

☐ Har direktionen truffet en skriftlig beslutning om formål og ramme?
☐ Er der en navngiven sponsor med stedfortræder?
☐ Har white team et skriftligt mandat, også til at stoppe øvelsen?
☐ Er mennesker, bygninger og leverandører nævnt i godkendelsen?
☐ Er listen over informerede personer bevidst valgt og kort?
☐ Er det besluttet, hvordan ledelsen håndteres, hvis den selv indgår?

Kilder

Danmarks Nationalbank: TIBER-DK Implementation Document: lederen af kontrolteamet udpeges blandt andet efter anciennitet og adgang til direktionen; kendskab til testen begrænses til et need to know-grundlag.
Forordning (EU) 2022/2554 (DORA): artikel 5, stk. 2, om ledelsesorganets ansvar for styringen af IKT-risici, strategien for digital operationel modstandsdygtighed og budget.

Senest gennemgået: oktober 2026.