Når holdet når målet tidligt

Holdet melder, at flaget er taget, længe før den planlagte periode er brugt. Det er et resultat i sig selv, men det rejser et praktisk spørgsmål: hvad skal resten af perioden bruges til? White team har grundlæggende tre muligheder: fortsætte mod et nyt mål, starte igen fra et andet udgangspunkt eller afslutte øvelsen og bruge ressourcerne på læring. Valget hviler på øvelsens oprindelige spørgsmål, ikke på, hvor meget tid der er tilbage i kontrakten.

Det er klogt at have taget stilling til situationen i planlægningen. Når den opstår uden en aftale, bliver beslutningen truffet under tidspres og måske af holdet selv.

Hvad et tidligt nået mål fortæller

Et hurtigt resultat kan betyde flere ting, og white team bør forstå hvilken, før der besluttes noget. Måske var vejen til målet kortere, end nogen havde forestillet sig. Måske var målet sat for tæt på udgangspunktet. Eller måske fandt holdet en enkelt svaghed, som gjorde resten af forsvaret irrelevant.

Kort vej · få skridt skilte udgangspunktet fra målet. Det er et vigtigt fund om arkitekturen.
For let mål · målet var ikke svært nok til at besvare spørgsmålet om forsvaret.
Én afgørende svaghed · en enkelt fejl gjorde det muligt at springe store dele af forsvaret over.
Ingen reaktion · blue team så intet, eller det, der blev set, blev ikke fulgt op.

Det sidste kan være det mest interessante. Spørgsmålet er ikke kun, om holdet kom frem, men om nogen opdagede det undervejs. → Opdagelse, eskalering og reaktion

Mulighed 1: fortsæt mod et nyt mål

Hvis planen indeholdt flere flag, kan holdet fortsætte mod det næste. Hvis den kun indeholdt ét, kan white team beslutte at tilføje et nyt, fx et andet system eller en anden forretningsproces, der ligger længere fra udgangspunktet. Fordelen er, at øvelsen fortsætter skjult, og at blue team stadig kan måles under realistiske forhold.

Ulempen er, at et nyt mål ændrer øvelsen. Det skal godkendes af den, der har mandat til at ændre scope, og det skal noteres, så rapporten kan skelne mellem det oprindelige og det tilføjede. → Når scenariet skal justeres midt i øvelsen

Et nyt mål bør vælges med samme omhu som det første. Det skal passe til den trussel, scenariet bygger på, og det skal kunne nås inden for de tilladelser, der allerede er givet. Hvis det nye mål ligger hos en leverandør, i en anden juridisk enhed eller i en bygning, der ikke var omfattet, er det ikke en justering, men en ny øvelse, der kræver nye tilladelser. Et reservemål, der er vurderet og godkendt i planlægningen, sparer white team for at skulle improvisere.

Mulighed 2: start igen fra et andet udgangspunkt

Hvis vejen var kort på grund af én afgørende svaghed, kan det være mere lærerigt at fjerne den fra ligningen og se, hvad der sker uden den. Holdet kan begynde forfra fra et andet aftalt udgangspunkt, fx en anden type bruger eller en anden afdeling, så forsvarets øvrige lag også bliver afprøvet. → Udgangspunktet i assumed breach

Det svarer til at spørge: hvis den første vej var lukket, hvad så? Den første vej skal stadig med i rapporten som et selvstændigt fund. Svaret siger mere om dybden i forsvaret end et enkelt hurtigt resultat. Til gengæld skal white team overveje, om den afgørende svaghed skal rettes med det samme. Det kan afsløre øvelsen over for dem, der skal rette den.

Mulighed 3: afslut og brug tiden på læring

Nogle gange er det rigtige at stoppe. Hvis spørgsmålet bag øvelsen er besvaret, og blue team ikke reagerede, er der ikke meget at hente ved at fortsætte skjult. Tiden kan i stedet bruges på en grundig gennemgang sammen med blue team, hvor holdet viser, hvad det gjorde, og forsvaret ser, hvad det kunne have set. → Purple teaming

Nationalbankens implementeringsdokument for TIBER-DK beskriver noget beslægtet: hvis en test ikke kan fortsætte på normal vis, kan den som sidste udvej fortsætte som begrænset purple teaming efter godkendelse. Rammen gælder de regulerede test og stiller selv krav om en minimumsperiode for den aktive test, men tankegangen kan bruges i frivillige øvelser: læringen er målet, ikke at bruge perioden op.

Hvem der beslutter

Beslutningen ligger hos white team, normalt hos lederen, og ikke hos holdet. Holdet kan foreslå, hvad det mener giver mest læring, men det har en naturlig interesse i at fortsætte. Sponsor i ledelsen bør informeres, hvis valget ændrer øvelsens formål, varighed eller økonomi. → Lederen af white team

Aftal også, hvad der sker med den resterende tid i kontrakten. Hvis øvelsen afsluttes tidligt, skal det være klart, om timerne bortfalder, bruges på purple teaming eller kan bruges senere. Det er et spørgsmål til kontrakten, ikke til et statusmøde. Skriv det ind, før øvelsen begynder.

Hvordan det skrives i rapporten

Rapporten skal vise, at målet blev nået tidligt, og hvad der derefter skete. Hvis holdet fortsatte mod nye mål, skal det fremgå, hvornår beslutningen blev truffet, og hvorfor. Hvis øvelsen blev afsluttet, skal det fremgå, hvilke dele af scenariet der ikke blev afprøvet.

Det er vigtigt for læsningen. En ledelse, der kun hører, at målet blev nået på kort tid, kan drage forkerte slutninger om forsvarets samlede tilstand. → Når resultatet bliver læst forkert

Det skal I lade være med

At lade holdet fortsætte på egen hånd · beslutningen ligger hos white team.
At tilføje mål uden at notere det · rapporten skal kunne skelne det oprindelige fra det nye.
At fortsætte skjult, hvis spørgsmålet allerede er besvaret · læringen kan være større ved at gå åbent til værks.
At rette den afgørende svaghed uden at tænke på øvelsen · det kan afsløre den.
At bruge den resterende tid, bare fordi den er betalt · formålet skal styre.
At præsentere et hurtigt resultat uden sammenhæng · ledelsen skal vide, hvad det betyder.

Hvad kan og ikke kan konkluderes

Et tidligt nået mål viser, at der fandtes mindst én kort vej, og om forsvaret så den. Det siger ikke, at alle veje er korte, eller at forsvaret ville have fejlet mod en anden tilgang. Det siger heller ikke noget om de dele af scenariet, der aldrig blev afprøvet. Hvilken af de tre muligheder der giver mest, afhænger af spørgsmålet bag øvelsen.