SOC- og MDR‑leverandøren: når kunden afprøver jeres overvågning med en øvelse

Sælger I overvågning og reaktion som tjeneste, er det jeres analytikere, en kundes red team-øvelse i sidste ende måler. Kunden vil vide, om jeres SOC eller MDR-tjeneste opdager og stopper en modstander i kundens miljø, og svaret kommer til at stå i en rapport, der også handler om jer. Hvordan I står i det, hviler på fire aftaler: hvad kontrakten siger om øvelser, hvem hos jer der må kende til dem, hvordan I eskalerer uden at ødelægge øvelsen, og hvordan resultatet om jeres ydelse må bruges.

Kundens side af samme sag er beskrevet for sig. → SOC-leverandøren og øvelsen

Hvorfor det er jer, der bliver målt

TIBER-EU, den europæiske ramme for trusselsbaserede test i finanssektoren, regner den testede virksomheds tredjepartsleverandører med til blue team, når de ikke sidder i kontrolteamet og ikke kender til testen. En frivillig øvelse uden for rammen kan bygge på samme princip. For jer betyder det, at kunden ikke afprøver jeres platform, men jeres evne til at se og reagere i netop kundens miljø. → Blue team

Falder I ind under NIS 2-lovens definition af en udbyder af administrerede sikkerhedstjenester i § 3, nr. 33, kan I have egne pligter efter loven, og dem skal jeres procedurer for øvelser tage højde for. En penetrationstest af jeres egen platform er et andet spørgsmål. Hvordan en NIS2-kunde kan få dokumentation for den, er beskrevet på nis2-pentest.dk.

Det, kontrakten bør sige om øvelser

Skriv øvelser ind i kontrakten, før den første bliver varslet. Punkterne kan være:

Retten til at øve · at kunden må afprøve tjenesten uden at orientere jeres analytikere.
Varsling · hvem hos jer der skal have besked på forhånd, og hvor længe før.
Indgreb · hvad der gælder, hvis jeres tjeneste automatisk isolerer en maskine eller spærrer en konto under øvelsen.
Data bagefter · hvilke alarmer, sagsnoter og logs I udleverer, i hvilket format og inden for hvilken frist.
Brugen af resultatet · om en øvelse kan indgå i målingen af jeres serviceniveau.

Det sidste punkt fortjener opmærksomhed. Over for en finansiel kunde skal kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner, efter DORA artikel 30, stk. 3, litra a, indeholde præcise præstationsmål, så kunden kan overvåge tjenesten effektivt. Et resultat fra en øvelse kan blive en del af den overvågning. Aftal derfor, hvordan det vurderes, så en enkelt øvelse ikke uden videre bliver til et brud på aftalen.

Hvem hos jer der må vide besked

Hold kredsen så lille som muligt. TIBER-EU’s vejledning om kontrolteamet beskriver, at en tredjepartsudbyder kan have nogle få medarbejdere i kontrolteamet, med én som primært kontaktpunkt. Personen bør:

Stå uden for vagten · ingen af de analytikere, hvis reaktion måles, må kende til øvelsen.
Kunne bremse · have mandat til at stoppe en eskalering, der vil nå ud over kunden.
Kende jeres procedurer · så personen kan se, hvornår en sag er ved at blive til noget andet.
Være til at nå · også om natten, hvis jeres tjeneste kører døgnet rundt.

Pas på jeres egne systemer. Hvis kontaktpersonen opretter en note om øvelsen i den sagsstyring, analytikerne arbejder i, er øvelsen ikke længere skjult. → White team

Eskalering uden at ødelægge øvelsen

Jeres analytikere skal gøre, som de plejer. Når de opdager holdet, eskalerer de til kunden efter den aftalte procedure, og det er netop den reaktion, kunden vil se. Problemet opstår, når en eskalering kan nå ud over kunden: en advarsel til andre kunder om en ny trussel, en ændring af regler i jeres platform for alle kunder eller en melding til myndigheder. → Eskalering

Aftal, at sådanne skridt går gennem kontaktpersonen, som kan få bekræftet hos kundens white team, om aktiviteten er holdets. Bekræftelsen skal komme hurtigt. Kommer den ikke, eller er svaret nej, er det et rigtigt angreb, og jeres procedure fortsætter. → Øvelse eller rigtigt angreb?

Tænk også på jeres automatiske indgreb. Hvis jeres tjeneste spærrer en konto, som holdet bruger, er det et resultat, ikke en fejl. Men hvis spærringen rammer et forretningskritisk system hos kunden, skal kundens white team kunne bede jer om at ophæve den.

Når resultatet handler om jer

Kundens rapport vil sige noget om, hvilke af holdets skridt jeres tjeneste så, og hvilke den ikke så. Aftal, at I får den del, der handler om jer, og at I kan kommentere faktuelle fejl, før den bliver endelig. Et hul kan ligge et andet sted end hos jer, fx i en logkilde, kunden ikke havde sluttet til, og det skal fremgå. → Tidslinjen for red og blue

Brug resultatet selv. En gennemgang, hvor jeres analytikere ser holdets forløb ved siden af deres egne alarmer, kan forbedre jeres regler for alle kunder. → Purple teaming med SOC-leverandøren

Et tænkt eksempel

En MDR-leverandør overvåger endpoints og identiteter for en logistikvirksomhed. Virksomheden varsler leverandørens driftsdirektør om en skjult øvelse i en periode på fem uger. Analytikerne opdager holdets forsøg på at bruge en stjålet konto og eskalerer til kunden som aftalt. Da en analytiker vil dele en ny indikator med alle kunder, går forslaget gennem driftsdirektøren, som får bekræftet, at det er holdet, og deling udskydes. Efter øvelsen gennemgår leverandørens analytikere holdets tidslinje med kundens white team og finder to skridt, der ikke gav alarm, fordi en server ikke sendte logdata.

Det skal I lade være med

At orientere analytikerne · så måler kunden ikke jeres tjeneste.
At lade en eskalering til andre kunder køre uden bekræftelse · den kan sprede øvelsen.
At holde en reel sag tilbage · uden bekræftelse er det et angreb.
At acceptere, at et resultat bliver til et brud uden vurdering · aftal, hvordan det bruges.
At tage hele skylden for et hul i logkilderne · resultatet skal læses sammen med kunden.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, hvad jeres tjeneste så og ikke så i kundens miljø i en bestemt periode, og hvordan samspillet med kunden fungerede. Den kan ikke vise, hvordan tjenesten klarer sig hos andre kunder eller mod andre metoder, og den er ikke en vurdering af jeres platforms sikkerhed. Teksten er ikke juridisk rådgivning.

Tjekliste før kundens øvelse

☐ Står retten til øvelser og brugen af resultatet i kontrakten?
☐ Har I udpeget én, der kender øvelsen, ikke sidder i vagten og kan bremse?
☐ Er det aftalt, hvilke skridt der kræver bekræftelse?
☐ Er automatiske indgreb og ophævelse aftalt?
☐ Er udlevering af data og jeres adgang til rapportens del om jer aftalt?

Kilder

ECB, TIBER-EU Framework (2025): blue team omfatter tredjepartsleverandører, der ikke er i kontrolteamet og ikke kender til testen.
ECB, TIBER-EU Control Team Guidance (2025): afsnit 3.6.4 om tredjepartsudbydere i kontrolteamet.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 3, nr. 33, om udbydere af administrerede sikkerhedstjenester.
DORA, forordning (EU) 2022/2554: artikel 30, stk. 3, litra a, om præstationsmål i kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner.

Senest gennemgået: oktober 2026.