Lejede lokaler og fælles bygninger: hvem kan give tilladelsen?

Når en organisation lejer sine lokaler, råder den over sine egne kontorer, men ikke nødvendigvis over indgangen, trappen, receptionen eller adgangskontrollen. En red team-øvelse med fysisk adgang kan derfor ikke alene godkendes af jeres egen direktion. Svaret på, hvem der kan give tilladelsen, hviler på lejeforholdet: hver del af bygningen, holdet kan bevæge sig i, skal være dækket af en tilladelse fra den, der råder over netop den del. I praksis kan det betyde jer selv for jeres lejemål og udlejeren eller en administrator for resten.

Ejerforhold og aftaler kan være komplicerede, og teksten er ikke juridisk rådgivning. Når billedet er uklart, bør en jurist se på det, før den fysiske del planlægges.

Kortlæg bygningen før tilladelserne

Begynd med en enkel oversigt over de arealer, holdet kan komme til at bruge, og hvem der råder over hver af dem. Lejekontrakten er udgangspunktet, men den fortæller ikke altid hele historien. Facility management eller den, der har kontakten til udlejeren, kan som regel udfylde resten.

Eget lejemål · de lokaler, organisationen har eksklusiv brug af.
Fællesarealer · indgang, trappe, elevator, kantine og mødelokaler, der deles med andre lejere.
Reception og adgangskontrol · kan være drevet af udlejeren, en administrator eller en serviceleverandør.
Tekniske rum · fx rum til forsyning eller netværk, som kan ligge hos udlejeren.
Udendørs arealer · parkering, cykelkælder og varegård.

Oversigten kan afsløre, at den del af bygningen, scenariet gerne vil afprøve, netop er en, I ikke selv råder over. Det er bedre at vide det, før scenariet bliver lagt fast, end at opdage det, når holdet står ved en dør, som ingen har givet lov til at åbne. → Fysisk adgang i red teaming

Udlejeren og administratoren

Udlejeren eller en ejendomsadministrator er som regel den, der kan give tilladelse til fællesarealerne. Henvendelsen bør gå til en person med mandat og ske under fortrolighed, fordi en ejendomsadministrator kan have kontakt til alle lejere og til vagtordningen.

Forklar formålet, de arealer det drejer sig om, tidsrummet og de grænser, holdet arbejder under. Tag kontakten i god tid. En administrator skal måske selv have ejerens accept, og det kan tage længere, end planen for øvelsen har regnet med. Udlejeren kan spørge, hvem der står bag holdet, hvordan det sikres, at intet bliver beskadiget, og hvad der sker, hvis noget alligevel går galt. Hav svarene klar, gerne med henvisning til de grænser, der står i rules of engagement.

Bed om tilladelsen skriftligt, og aftal, hvem hos udlejeren der kender til øvelsen og kan bekræfte den, hvis det bliver nødvendigt. Den person skal kunne nås i hele perioden, også uden for normal arbejdstid, hvis holdet arbejder på de tidspunkter. → Tilladelser til en red team-øvelse

Udlejeren kan sige nej eller sætte betingelser. Så må den fysiske del afgrænses til jeres eget lejemål, eller scenariet må begynde fra et punkt inden for det. Et nej er ikke en fiasko for øvelsen. Det viser, hvor jeres egen kontrol over sikkerheden slutter, og det kan være en vigtig oplysning til den risikovurdering, der ligger bag lejeaftalen og den næste forhandling med udlejeren.

Andre lejere

Andre lejere deler indgang og fællesarealer med jer, men de er ikke en del af øvelsen. Jeres tilladelse dækker hverken deres lokaler, deres medarbejdere eller deres besøgende. Det skal stå i rules of engagement, at holdet ikke inddrager dem og ikke bruger deres lokaler, adgangskort eller medarbejdere som vej ind.

Overvej også, hvordan en anden lejer kan reagere, hvis vedkommende ser noget mistænkeligt. En nabo, der ringer til politiet, gør det rigtige, men situationen skal kunne afklares hurtigt. Det taler for, at udlejeren kender øvelsen, og at holdet har et tilladelsesbrev, der kan bekræftes. Aftal også med udlejeren, hvordan en henvendelse fra en anden lejer håndteres, så den, der ringer, får et roligt svar og ikke føler sig til grin. Hvis andre lejere bagefter spørger til hændelsen, bør svaret være kort og koordineret mellem jer og udlejeren. → Tilladelsesbrevet

Fælles reception og adgangskontrol

En fælles reception kan være drevet af udlejeren eller en serviceleverandør. De, der sidder der, er ikke jeres ansatte. Skal deres processer indgå i øvelsen, kræver det tilladelse fra deres arbejdsgiver, og de samme hensyn til medarbejdere gælder, som når jeres egne kolleger indgår. → Personer, der ikke må være mål

Det samme gælder en fælles adgangskontrol. Hvis systemet er udlejerens, er det også udlejeren, der kan give lov til, at det indgår, og som skal kende til, hvis der i perioden kan komme uventede hændelser i loggen. Afklar også, hvem der får adgang til oplysninger fra systemet om holdets færden, og hvor længe de gemmes, fordi de kan vise personer, der ikke er en del af øvelsen.

Kontorfællesskaber og datacentre

Nogle organisationer har lokaler i et kontorfællesskab eller udstyr hos et datacenter. Her kan rammerne være fastlagt i standardvilkår, og operatøren har sine egne regler for adgang. Undersøg vilkårene, før den fysiske del planlægges, og regn med, at operatøren kan kræve at være informeret.

Er det ikke muligt at få tilladelse, er det i sig selv en oplysning, der bør med i overvejelserne om scenariet. Det kan være mere relevant at afprøve jeres egne processer omkring adgang til udstyret end operatørens. Spørgsmålet kan fx være, hvem hos jer der kan bestille adgang for en leverandør, og om bestillingen bliver kontrolleret, før nogen bliver lukket ind.

Det skal I lade være med

At læse jeres egen direktions ja som tilladelse til hele bygningen · den rækker kun til lejemålet.
At glemme de tekniske rum og udendørs arealer · de kan tilhøre udlejeren.
At inddrage andre lejeres medarbejdere eller lokaler · de er uden for øvelsen.
At lade receptionen være uafklaret · personalet kan være ansat af en anden.
At gå videre uden skriftlig tilladelse fra udlejeren · så må delen afgrænses.

Hvad kan og ikke kan konkluderes

En kortlagt bygning og skriftlige tilladelser fra dem, der råder over arealerne, gør det muligt at gennemføre den fysiske del uden at handle på andres vegne. Hvis dele af bygningen er udeladt, siger resultatet ikke noget om dem, og det bør fremgå af rapporten. Om tilladelserne er tilstrækkelige i jeres konkrete lejeforhold, er en juridisk vurdering.