Modenhedsmodeller for red teaming: brug dem til samtale, ikke til karakter

En CISO, der skal forklare, hvor langt organisationens red team- og purple team-arbejde er nået, kan blive fristet af en modenhedsmodel med trin fra et til fem. Spørgsmålet er, hvad sådan en model kan bruges til. Svaret hviler på, hvordan modellerne er bygget: de beskriver trin i ord, organisationen vurderer sig selv, og modellerne for red teaming har ikke samme status som en standard eller en ramme fra en myndighed.

Det gør dem nyttige som et fælles sprog for, hvad der mangler. Det gør dem uegnede som et tal, der skal sammenlignes med andre eller rapporteres som en karakter til bestyrelsen.

Hvad modellerne er

Der findes offentligt tilgængelige modeller, der beskriver modenhed for red team-programmer og for samarbejdet mellem red og blue. De er udgivet af fagfolk og faglige fællesskaber, og deres ophav, vedligeholdelse og status varierer. Nogle er opdateret løbende, andre er ikke. Ingen af dem er en standard i samme forstand som en ISO-standard eller en ramme fra en myndighed.

Fælles for modellerne er, at de opdeler programmet i områder, fx planlægning, trusselsefterretning, styring af øvelsen, måling af opdagelse, rapportering og opfølgning, og beskriver, hvordan hvert område ser ud på forskellige trin. Den laveste beskrivelse handler om enkeltstående aktiviteter uden fast proces; den højeste om et program, der er gentageligt, målt og forbedres løbende.

Spørgsmål til en model, før I bruger den

☐ Afsender · hvem har udgivet modellen, og kan I finde den oprindelige kilde frem for en gengivelse?
☐ Vedligeholdelse · hvornår er den sidst opdateret, og er der en version, I kan henvise til?
☐ Vilkår · må modellen bruges og tilpasses internt, og skal afsenderen nævnes?
☐ Målgruppe · er den lavet til et eget red team i en stor organisation eller til en organisation, der køber øvelser?
☐ Områder · dækker den opdagelse, reaktion og opfølgning, eller handler den mest om red teamets egne kompetencer?
☐ Belæg · kræver beskrivelserne dokumentation, eller kan et trin vælges uden begrundelse?

Svarene afgør ikke, om modellen er god, men om I kan stå inde for at bruge den over for ledelsen og revisionen. En model uden kendt afsender kan stadig give en god samtale, men den bør ikke optræde som reference i en rapport.

Et etableret alternativ: Tiers i Cybersecurity Framework 2.0

Vil I have en ramme med en kendt afsender, er Cybersecurity Framework 2.0 fra det amerikanske standardiseringsinstitut et alternativ. Den indeholder fire Tiers: Partial, Risk Informed, Repeatable og Adaptive. De beskriver, hvor stringent organisationen styrer cybersikkerhedsrisici, fra uformelle, ad hoc-reaktioner til en tilgang, der er risikobaseret og forbedres løbende.

Rammen siger selv, at Tiers skal supplere organisationens metode til risikostyring og ikke erstatte den, og at de kan bruges internt som pejlemærke. Tiers handler om styringen af cybersikkerhed som helhed og ikke specifikt om red teaming, men de kan bruges til at beskrive, om øvelser og opfølgning er en fast del af styringen. Rammens profiler, en nuværende og en målprofil, kan bruges til at beskrive forskellen mellem, hvor I er, og hvor I vil hen. → NIST og red teaming

Hvorfor tallet ikke kan sammenlignes

Et modenhedstrin ser præcist ud, men det hviler på en vurdering. Tre forhold gør sammenligninger upålidelige:

Selvvurdering · organisationen placerer sig selv, og to personer kan læse samme beskrivelse forskelligt.
Forskellige modeller · et trin tre i én model svarer ikke til et trin tre i en anden.
Forskellige behov · en organisation, der ikke har brug for et eget red team, er ikke mindre moden, fordi den ikke har det.

Hertil kommer, at et tal, der rapporteres opad, får sit eget liv. Når trinnet bliver et mål, kan arbejdet blive rettet mod at opfylde beskrivelsen frem for at forbedre opdagelse og reaktion. → Nøgletal til ledelsen

TIBER-EU-rammen udtrykker samme tanke om de regulerede test: en test ender ikke med bestået eller dumpet, men giver indsigt i styrker og svagheder, så organisationen kan udvikle sin cybermodenhed. Modenhed er dér en retning, ikke en karakter.

Sådan bruger I en model til samtale

En model er mest værdifuld, når den bruges til at stille spørgsmål:

Mellem holdene · lad red, blue og white team placere programmet hver for sig, og drøft, hvor vurderingerne afviger.
Over for ledelsen · brug beskrivelserne til at forklare, hvad der mangler, fx at fund ikke følges op, eller at måling af opdagelse ikke er fast.
I planlægningen · vælg et eller to områder, der skal flytte sig til næste øvelse, og beskriv, hvordan det kan ses.
Ved opfølgningen · knyt vurderingen til konkrete forhold fra øvelserne, så trinnet kan begrundes.

Brugt sådan bliver modellen en dagsorden og ikke et resultat. → Måling over tid

Modellen kan også hjælpe, når ledelsen spørger, om organisationen skal bygge sit eget hold. Læs beskrivelserne af de højeste trin med det spørgsmål for øje: kræver modellen et internt red team, eller beskriver den et program, hvor øvelser, måling og opfølgning hænger sammen, uanset om holdet er eget eller købt? Svaret kan gøre drøftelsen mere konkret og forhindre, at et eget hold bliver besluttet for at nå et trin i en model. → Eget red team

Et tænkt eksempel

Et pensionsselskab har gennemført to red team-øvelser og en række purple team-sessioner. CISO’en bruger en offentlig modenhedsmodel til en workshop med SOC-lederen, IT-chefen og lederen af white team. Vurderingerne spreder sig mest på området opfølgning: SOC-lederen mener, at fund fra øvelserne bliver lukket, mens IT-chefen kan pege på detektionsfund, der står åbne. Workshoppen ender ikke med et trin, men med en beslutning om at give opfølgningen en ejer og måle den. Til bestyrelsen rapporteres beslutningen, ikke trinnet.

Det skal I lade være med

At rapportere et modenhedstrin som en karakter · det skjuler vurderingen bag tallet.
At sammenligne jeres trin med andres · modellerne og vurderingerne er ikke ens.
At vælge en model uden at kende afsenderen · status og vedligeholdelse varierer.
At sætte et trin som mål i sig selv · målet er bedre opdagelse og reaktion.
At lade modellen erstatte øvelserne · den beskriver programmet, ikke forsvaret. → Opfølgning efter øvelsen

Hvad kan og ikke kan konkluderes

En modenhedsmodel kan give et fælles sprog for, hvordan red team- og purple team-arbejdet er organiseret, og pege på områder, der halter. Den kan ikke vise, om forsvaret opdager og standser en modstander, og den giver ikke et tal, der kan sammenlignes på tværs af organisationer eller modeller. Det svar kommer fra øvelserne selv. → Purple teaming

Kilder

Cybersecurity Framework 2.0, CSWP 29: profiler (afsnit 3.1), Tiers (afsnit 3.2 og bilag B) og at Tiers supplerer og ikke erstatter organisationens metode til risikostyring.
Den Europæiske Centralbank: TIBER-EU Framework, januar 2025: ingen bestået eller dumpet, indsigt i styrker og svagheder og udvikling af cybermodenhed.

Senest gennemgået: oktober 2026.