Kunden vil have jer med i sin red team‑øvelse: roller, tilladelser og tavshed

Når en kunde planlægger en skjult red team-øvelse, og jeres tjeneste er en del af det, kunden vil afprøve, bliver I bedt om at spille to roller på én gang. Nogle få hos jer skal hjælpe med at styre øvelsen, mens resten af jeres folk skal reagere, som de ville ved et rigtigt angreb. Svaret på, hvordan I gør det, hviler på tre aftaler: hvem hos jer der må vide besked, hvad de, der ikke ved det, skal gøre, og hvad I selv skal give tilladelse til, fordi kunden ikke kan.

Kundens side af samme sag, set fra den sikkerhedsfunktion, der bestiller øvelsen, er beskrevet for sig. → Driftsleverandører og cloududbydere i øvelsen

Hvorfor kunden vil have jer med

En øvelse skal vise, om kunden kan opdage og stoppe en modstander. Ligger driften, overvågningen eller supporten hos jer, er jeres medarbejdere en del af det forsvar, der skal måles. TIBER-EU, den europæiske ramme for trusselsbaserede test i finanssektoren, regner udtrykkeligt den testede virksomheds tredjepartsleverandører med til blue team, så længe de hverken sidder i kontrolteamet eller kender til testen. Rammen gælder kun de regulerede test, men tankegangen kan også bruges i frivillige øvelser. → Blue team

For en finansiel kunde under TLPT er der et lovgrundlag. DORA, forordning (EU) 2022/2554, artikel 26, stk. 3, pålægger den finansielle virksomhed at træffe de nødvendige foranstaltninger for at sikre, at IKT-tredjepartsudbydere i testens omfang deltager. Virksomheden bevarer det fulde ansvar for at overholde forordningen. → Kundens TLPT omfatter jeres tjeneste

Den betroede kontaktperson

Kernen i jeres deltagelse er én person, der kender til øvelsen og kan tale med kundens white team. TIBER-EU’s vejledning om kontrolteamet beskriver, at en tredjepartsudbyder kan have nogle få medarbejdere i kontrolteamet, at en af dem bør være det primære kontaktpunkt, og at deltagelsen drøftes fortroligt med udbyderens øverste ledelse. Samme fortrolighed gælder for udbyderen som for den testede virksomhed. → White team

Personen bør have:

Mandat · til at bremse en eskalering hos jer og til at tage beslutninger på jeres vegne, hvis øvelsen berører jeres drift.
Indsigt · i jeres procedurer, så personen kan se, hvornår en hændelse vokser ud over kundens miljø.
Afstand · til de medarbejdere, hvis reaktion måles. Personen må ikke selv sidde i vagten.
Tilgængelighed · også uden for arbejdstid, med en stedfortræder, der er lige så godt orienteret.

Hvem der må vide besked

Listen skal være kort og bevidst valgt. Ud over kontaktpersonen kan det være en direktør, der skal godkende jeres deltagelse, og eventuelt jeres jurist. Skriv ned, hvem der er orienteret, og hvornår. Overvej også, om de orienterede skal underskrive en fortrolighedserklæring over for kunden, sådan som TIBER-EU nævner som en mulighed for kontrolteamets medlemmer. → Fortrolighed om øvelsen

Bed kunden om et kodenavn og en fast kanal. Når kundens white team og jeres kontaktperson taler sammen, skal det ikke ske i den sagsstyring eller den chat, som jeres vagt også læser. Tænk også over kalenderen: et møde med kundens white team, der står i en delt kalender med et sigende emne, kan afsløre øvelsen lige så effektivt som en mail. Brug kodenavnet overalt, også i jeres tidsregistrering og fakturering.

Når jeres medarbejdere opdager noget

Det vigtigste budskab til jeres folk er, at de ikke skal gøre noget anderledes. De, der ikke kender til øvelsen, skal følge jeres normale procedure. Det er den reaktion, kunden vil måle. → Øvelse eller rigtigt angreb?

Det svære ligger hos kontaktpersonen. Når en eskalering når et niveau, hvor den kan få følger uden for kundens miljø, skal personen kunne spørge kundens white team, om aktiviteten er holdets. Følger, der kræver en bekræftelse først, kan være:

Besked til andre kunder · om en trussel, der ser ud til at ramme fælles systemer.
Indgreb i fælles systemer · lukning af en fjernadgang eller en spærring, der også rammer andre.
Underretning af myndigheder · hvis I selv har en pligt til at melde hændelser.

Er svaret nej, er det et rigtigt angreb, og så fortsætter jeres procedure uden forsinkelse. Aftal også, hvor lang tid en bekræftelse må tage. Jeres egne pligter over for andre kunder og myndigheder står ikke stille, fordi en kunde holder en øvelse.

Det, I selv skal give lov til

Kunden kan give tilladelse til sine egne systemer, ikke til jeres. Berører scenariet jeres systemer, jeres medarbejdere eller jeres lokaler, skal tilladelsen komme fra jer, skriftligt og fra en person, der kan give den. Det gælder også, når kundens hold kun skal bruge den adgang, I har til kunden, som vej ind. Hvad tilladelsen skal indeholde, er beskrevet for sig. → Kunden vil red teame jer

Er I en driftsleverandør med fjernadgang til flere kunder, rejser øvelsen særlige spørgsmål om de fælles værktøjer. → MSP’en i kundens red team-øvelse

Efter øvelsen

Kunden har brug for jeres logs og sagsnoter for at kunne lægge holdets forløb ved siden af forsvarets. Aftal på forhånd, hvad der udleveres, og hvad der ikke må komme med, fx oplysninger om andre kunder. Aftal også, at I bliver orienteret om de fund, der handler om jeres del, og at jeres medarbejdere får en forklaring, når øvelsen er afsluttet. De har reageret på noget, de troede var virkeligt.

Det skal I lade være med

At orientere vagten · så måler kunden ikke længere jeres reaktion.
At udpege en kontaktperson, der ikke kan beslutte noget · white team skal have én at tale med, som kan handle.
At lade kundens tilladelse dække jeres systemer · den skal komme fra jer.
At udskyde en reel hændelse · uden bekræftelse fra white team er det et angreb.
At udlevere logs med andre kunders oplysninger · afgræns udleveringen.
At glemme medarbejderne bagefter · de skal have en forklaring.

Hvad kan og ikke kan konkluderes

Med en kort liste over orienterede, en kontaktperson med mandat og en aftale om bekræftelse kan I deltage i kundens øvelse uden at ødelægge den og uden at sætte jeres andre kunder på spil. Øvelsen viser, hvordan jeres folk reagerede i kundens scenarie. Den siger ikke noget om jeres sikkerhed som helhed, og resultatet er kundens. Teksten er ikke juridisk rådgivning.

Tjekliste før kundens øvelse

☐ Har en direktør godkendt jeres deltagelse?
☐ Er der en kontaktperson med mandat og en stedfortræder?
☐ Er listen over orienterede kort og nedskrevet?
☐ Er der en kanal til kundens white team, som vagten ikke læser?
☐ Er det aftalt, hvilke følger der kræver bekræftelse, og hvor hurtigt?
☐ Har I selv givet skriftlig tilladelse til det, der berører jer?
☐ Er udlevering af logs og orientering bagefter aftalt?

Kilder

ECB, TIBER-EU Framework (2025): blue team omfatter tredjepartsleverandører, der ikke er i kontrolteamet og ikke kender til testen; kendskab begrænses til en lille gruppe på need to know-grundlag, evt. med fortrolighedserklæring.
ECB, TIBER-EU Control Team Guidance (2025): afsnit 3.6.4 om tredjepartsudbyderes medarbejdere i kontrolteamet, primært kontaktpunkt og fortrolig drøftelse med udbyderens ledelse.
DORA, forordning (EU) 2022/2554: artikel 26, stk. 3, om IKT-tredjepartsudbyderes deltagelse i TLPT.

Senest gennemgået: oktober 2026.