Målet for øvelsen: kronjuveler, flag og forretningsmål

En red team-øvelse uden et skarpt mål ender let som en rundtur i netværket, hvor holdet viser alt, det kunne, men ingen kan sige, hvad det betyder for forretningen. Målet er det, der binder øvelsen sammen: det bestemmer scenariet, afgrænser scope og giver målingen et fast punkt. Svaret på, hvordan målet vælges, hviler på organisationens vigtigste funktioner og på en konkret beskrivelse af, hvad en modstander ville have ud af dem.

Tre begreber går igen. Kronjuvelerne er de aktiver, der ville gøre mest skade, hvis de blev kompromitteret. Forretningsmålet er den skade, ledelsen frygter, beskrevet i almindelige ord. Flag er de konkrete, kontrollerbare punkter, holdet skal forsøge at nå, så det bagefter kan dokumenteres, om målet blev nået.

Kronjuveler: hvad ville gøre mest skade?

Kronjuvelerne er ikke nødvendigvis en enkelt server. Det er funktioner og de data, systemer og personer, der bærer dem: betalingsformidlingen, kundedata, styringen af et forsyningsnet, direktionens beslutningsgrundlag eller koncernens identitetssystem. Udvælgelsen bør tage udgangspunkt i organisationens egen risikovurdering og ikke i, hvad der er spændende at teste.

I praksis er det en god idé at lade forretningen selv pege på kandidaterne. Spørg ejerne af de vigtigste processer, hvad der ville ramme dem hårdest, og læg svarene op mod risikoregistret og de seneste hændelser. Listen kan blive længere end ventet. Det er fint, for kun et eller to emner skal vælges til den konkrete øvelse, og resten kan gemmes til de næste.

TIBER-DK gør det samme på en formaliseret måde. Rammen bygger scope op om virksomhedens kritiske eller vigtige funktioner og de systemer, der understøtter dem, og nævner blandt andet funktionens betydning for den daglige drift, hvor let den kan erstattes, og hvor tæt den hænger sammen med andre funktioner. Kriterierne kan være en nyttig inspiration også uden for finanssektoren. → Kritiske eller vigtige funktioner

Fra frygt til forretningsmål

Ledelsen tænker ikke nødvendigvis i systemer. Den tænker i hændelser: at betalinger bliver omdirigeret, at kundedata ender hos uvedkommende, at produktionen standser, eller at en fortrolig forhandling bliver kendt. Et forretningsmål skal formuleres i det sprog, så direktionen kan genkende det og senere forstå resultatet.

Et godt forretningsmål er konkret uden at være teknisk. Formuleringen kunne at ændre modtagerkontoen på en udgående betaling, før den godkendes er bedre end adgang til økonomisystemet, fordi den peger på den proces og den kontrol, der skal afprøves. Det knytter også øvelsen til det spørgsmål, ledelsen gerne vil have besvaret. Skriv forretningsmålet ind i den godkendelse, ledelsen underskriver, så det er tydeligt, hvad øvelsen blev bestilt for at belyse, også når resultatet foreligger måneder senere. → Formålet med øvelsen

Flag gør målet målbart

Et flag er et aftalt bevis på, at holdet nåede et bestemt punkt. Det kan være at kunne læse en bestemt testfil i et fortroligt område, at kunne vise en adgang til en bestemt funktion eller at nå et bestemt rettighedsniveau. Flaget skal kunne dokumenteres uden at skade data eller drift, og det skal være aftalt, hvordan holdet viser, at det er nået.

TIBER-DK beskriver flag som de mål, red team skal stræbe efter at nå under den aktive test, og lægger op til, at der fastsættes flag for hver kritisk funktion i scope. Rammen åbner også for, at flagene kan justeres, efterhånden som trusselsefterretningen og testen skrider frem. Den fleksibilitet er sund, men ændringer skal godkendes af white team og skrives ned.

Det kan være en fordel at sætte flere flag på vejen mod målet. Så viser resultatet ikke kun, om holdet kom hele vejen, men også hvor langt det nåede, og hvor forsvaret satte ind. Mellemliggende flag gør det også lettere at sammenligne med en senere øvelse, hvor samme mål afprøves igen efter rettelserne. → Scope i red teaming

Målet styrer scenarie og scope

Når målet er valgt, følger en række andre beslutninger. Scenariet beskriver, hvilken slags modstander der går efter målet, og hvorfra. Scope beskriver, hvilke systemer, lokationer og personer holdet må bevæge sig igennem for at nå det. Og listen over fredede områder beskriver, hvad der under ingen omstændigheder må røres, selv om det ligger på vejen. → Fredede områder i øvelsen

Rækkefølgen er vigtig. Hvis scope vælges først, risikerer man at tilpasse målet til det, der i forvejen var med, og så tester øvelsen ikke det, ledelsen frygter. Hvis målet vælges først, bliver det tydeligt, hvilke tilladelser og leverandører der skal inddrages. → Scenarievalg

Når målet nås, og når det ikke gør

Det er fristende at læse et nået mål som et dårligt resultat og et ikke-nået mål som et godt. Begge dele er for enkelt. Hvis holdet nåede målet, men blev opdaget undervejs, og forsvaret reagerede for sent, er det en anden historie end et forløb, der gik helt ubemærket. Hvis holdet ikke nåede målet, skal det undersøges, om det skyldtes forsvaret, tidsrammen eller en uheldig planlægning.

Aftal derfor på forhånd, hvad der sker, hvis et flag nås tidligt, og hvad der sker, hvis holdet sidder fast. White team kan beslutte at fortsætte mod det næste flag eller give holdet et aftalt skub videre, så resten af kæden også bliver afprøvet. → Når holdet når målet tidligt

Det skal I lade være med

At vælge et mål, fordi det er let at teste · Målet skal afspejle den skade, ledelsen frygter, ikke det mest tilgængelige system.
At formulere målet teknisk · Skriv det som en forretningshændelse, og lad flagene bære de tekniske detaljer.
At sætte flag, der kræver skade at bevise · Et flag skal kunne dokumenteres uden at ændre rigtige data eller standse drift.
At ændre flag uden at skrive det ned · Senere læsere skal kunne se, hvad der gjaldt hvornår.
At have for mange mål · Hvert ekstra mål gør øvelsen bredere og resultatet tyndere.

Hvad kan og ikke kan konkluderes

Et klart mål gør det muligt at sige, om og hvordan en bestemt type modstander kunne nå en bestemt skade, og hvor forsvaret greb ind. Det siger intet om andre mål, som ikke var med, eller om de veje, holdet ikke forsøgte. At et flag ikke blev nået, er ikke et bevis på, at det ikke kan nås.

Tjekliste til målet

☐ Er kronjuvelerne udpeget ud fra organisationens egen risikovurdering?
☐ Er forretningsmålet formuleret, så direktionen kan genkende det?
☐ Er der flag, som kan dokumenteres uden skade på data og drift?
☐ Er det aftalt, hvordan holdet viser, at et flag er nået?
☐ Er det beskrevet, hvem der kan ændre flag undervejs?
☐ Er det besluttet, hvad der sker, hvis målet nås tidligt?

Kilder

Danmarks Nationalbank: TIBER-DK Implementation Document: kriterier for kritiske eller vigtige funktioner i scope og flag som de mål, red team skal stræbe efter under den aktive test.

Senest gennemgået: oktober 2026.