Hvad skal skrives ned i purple teaming?

En purple team-session kan føles meget lærerig, mens den står på, og alligevel efterlade næsten intet, når deltagerne er gået hjem. Det, der ikke er skrevet ned, kan ikke følges op, ikke måles igen og ikke vises til ledelse, revision eller tilsyn. Dokumentationen i purple teaming hviler på en enkel arbejdsdeling: én person har ansvaret for at skrive, og notatet følger et fast format, der skelner mellem observationer, beslutninger og opfølgning.

Svaret på titlens spørgsmål er altså ikke “alt”. Det er de oplysninger, der gør det muligt at handle bagefter og at sammenligne med næste gang.

Hvorfor notatet er vigtigere end stemningen

Purple teaming er en samarbejdsform. Holdet og forsvaret sidder sammen, prøver noget af og taler om, hvad der skete. Den åbne form er styrken, men den gør det også let at forveksle en god samtale med et resultat.

Nationalbankens implementeringsdokument for TIBER-DK beskriver, at kontrolteamet skal notere alle konklusioner fra purple teaming, herunder beslutninger om opfølgning, og at referatet kun skal indeholde konklusionerne. Den formulering er brugbar også uden for de regulerede test: notatet skal ikke gengive hele samtalen, men det, der blev besluttet og fundet. → Purple teaming

Før sessionen: rammen

Et godt notat begynder, før sessionen går i gang. De første linjer beskriver rammen, så resultatet kan læses i den rette sammenhæng:

Spørgsmål · hvad sessionen skulle besvare, formuleret så det kan besvares med ja, nej eller delvis.
Anledning · fx et fund fra en tidligere øvelse, en ny kontrol eller en ændring i miljøet.
Afgrænsning · hvilke systemer, logkilder og funktioner der var med.
Deltagere · roller, ikke navne, og om en ekstern SOC deltog.
Forhold, der påvirker resultatet · fx at forsvaret var varslet, eller at sessionen fandt sted i dagtimerne.

Rammen kan genbruges fra planlægningen. Hvis den ikke findes, er det et tegn på, at sessionen ikke var planlagt godt nok. → Planlægning af en purple team-session

Under sessionen: observationer

Kernen i notatet er en række observationer, én for hver aktivitet. Hver observation bør besvare de samme spørgsmål:

Hvad blev afprøvet · beskrevet på et overordnet niveau og gerne med en henvisning til et fælles begreb, fx en taktik i MITRE ATT&CK.
Blev det set · ja, nej eller delvis, og i hvilken kilde.
Hvor hurtigt · hvis tid er relevant for spørgsmålet.
Hvad skete der derefter · alarm, vurdering, eskalering eller ingenting.
Forklaring · hvorfor det blev set eller ikke set, så vidt deltagerne kan vurdere det.

Forklaringen er den vigtigste linje. Uden den ved I, at noget ikke virkede, men ikke om det skyldes manglende data, en regel, der ikke fandtes, eller en alarm, der blev vurderet forkert. Det er de tre situationer, der kræver forskellige rettelser. → Blinde vinkler

Detaljerne om, hvordan holdet konkret gennemførte en handling, hører til holdets egen logbog og ikke til purple team-notatet, der skal kunne læses bredere. → Holdets logbog

Efter sessionen: beslutninger og opfølgning

Den sidste del af notatet handler om, hvad der skal ske. Her er formen afgørende, fordi det er denne del, der skal kunne følges op:

Beslutning · hvad der skal ændres, fx en ny detektion, en justeret eskalering eller en manglende logkilde, der skal kobles på.
Ejer · en funktion, der har ansvaret for at gennemføre beslutningen.
Tidspunkt · hvornår ændringen forventes at være på plads.
Efterprøvning · hvordan og hvornår ændringen afprøves igen.
Åbne spørgsmål · emner, der ikke kunne afklares, og som skal tages op i en anden sammenhæng.

I de regulerede test er der en tydelig kobling fra purple teaming til afhjælpningsplanen. De tekniske reguleringsstandarder for TLPT kræver, at det blå teams rapport indeholder en liste over emner til purple teaming, og at den sammenfattende rapport beskriver purple teaming i testfasen, hvis det gennemføres. Uden for TLPT er koblingen et valg, men et godt et: lad beslutningerne fra sessionen indgå i samme handlingsplan som fundene fra den store øvelse. → Handlingsplan efter red teaming

Hvem skriver, og hvem læser

Den, der skriver, bør ikke være den, der leder sessionen. Det er svært at styre en drøftelse og skrive præcist på samme tid. En fra sikkerhedsfunktionen, der ikke selv er en del af holdet eller forsvaret, kan være et godt valg. Lad holdet og forsvaret læse udkastet samme dag, så misforståelser rettes, mens hukommelsen er frisk.

Tænk også på læserne. Notatet læses af forsvaret, af ejerne af beslutningerne og måske af ledelse, revision eller tilsyn. Det betyder, at det skal kunne forstås uden at have været til stede, og at det ikke skal indeholde oplysninger, der i de forkerte hænder giver en opskrift på at angribe jer. Opbevar det med samme fortrolighed som rapporter fra øvelser. → Hvem må kende resultatet?

Et format, der kan sammenlignes

Brug det samme format hver gang. Det gør det muligt at se udviklingen over flere sessioner: hvilke observationer går igen, hvilke beslutninger er gennemført, og hvilke kontroller er efterprøvet. Et fast format gør det også lettere at samle notaterne til et overblik for ledelsen uden at skrive dem om. → Måling over tid

Gem notaterne ét sted, hvor sikkerhedsfunktionen kan finde dem igen, og hvor adgangen er begrænset. Når en beslutning senere er gennemført eller efterprøvet, opdateres notatet med en kort status frem for at skrive et nyt dokument. Så bliver notatet en levende oversigt over den pågældende kontrol: hvornår den blev afprøvet første gang, hvad der blev besluttet, og hvordan den klarede sig ved næste afprøvning. Det er netop den slags spor, revision og tilsyn kan bede om, når de vil se, at læringen fra øvelserne bliver brugt.

Det skal I lade være med

At skrive et referat af hele samtalen · notér konklusioner, beslutninger og forklaringer.
At springe forklaringen over · uden den ved I ikke, hvilken rettelse der er brug for.
At skrive navne frem for roller · formålet er læring, ikke vurdering af personer.
At skrive teknisk opskrift ind i notatet · detaljerne hører hjemme i holdets logbog.
At lade beslutninger stå uden ejer · så bliver de ikke gennemført.
At skifte format fra gang til gang · så kan sessionerne ikke sammenlignes.

Hvad kan og ikke kan konkluderes

Et godt notat dokumenterer, hvad der blev afprøvet, hvad forsvaret så under åbne forhold, og hvad der blev besluttet. Det dokumenterer ikke, at forsvaret ville opdage det samme i en skjult øvelse, og det beviser ikke, at beslutningerne er gennemført. Det sidste kræver opfølgning og efterprøvning, som notatet kun kan pege frem mod. Læs derfor et notat med mange gode observationer som et udtryk for, at kontrollerne kan virke, ikke som et bevis for, at de virker i hverdagen.

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: kontrolteamet noterer alle konklusioner fra purple teaming, herunder beslutninger om opfølgning; referatet indeholder kun konklusioner.
Kommissionens delegerede forordning (EU) 2025/1190: bilag VI, nr. 6 (emner til purple teaming i det blå teams rapport), og bilag VII, litra i (purple teaming i testfasen i den sammenfattende rapport).
MITRE ATT&CK: fælles begreber for taktikker og teknikker.

Senest gennemgået: oktober 2026.