Driftsleverandøren og MSP’en i kundens red team‑øvelse

Når en kunde bestiller en skjult red team-øvelse i et miljø, I driver, bliver I som driftsleverandør berørt på fire måder: I skal godkende det, der rører jeres systemer, jeres servicedesk kan blive et mål, jeres fjernadgang går også til andre kunder, og jeres egen overvågning er måske en del af det forsvar, der skal måles. Svaret på, hvordan I håndterer det, hviler på at skille kundens miljø fra jeres fælles værktøjer og på at aftale, hvem hos jer der ved besked.

Den generelle side af at være med i en kundes øvelse er beskrevet for sig. Her handler det om det særlige ved en MSP. → Med i kundens red team-øvelse

Hvad I skal godkende

Kunden ejer sit eget miljø, men I driver det, og jeres kontrakt med kunden kan kræve varsling eller jeres accept før aktiviteter, der kan påvirke driften. Læs den først. Jeres egne systemer kan kunden slet ikke give tilladelse til. Del derfor op:

Kundens miljø · servere, netværk og lejer i Microsoft 365, som I administrerer for kunden. Kunden giver tilladelsen, men I skal kende tidsrummet og have en kontakt.
Jeres adgang til kunden · konti og forbindelser, I bruger hos kunden. Holdet kan undersøge, hvor langt de rækker inde hos kunden.
Jeres fælles værktøjer · fjernadministration, overvågningsplatform, backup og jeres egen identitetsløsning. Her ligger andre kunder på den anden side.

Det fælles lag skal som udgangspunkt være fredet i en kundes øvelse. Kundens hold må ikke bruge det som vej, og et fund, der peger dertil, skal meldes til jer, ikke forfølges. → Fredede områder Hvordan det fælles lag håndteres, når en NIS2-kunde vil lave en almindelig test, er beskrevet på nis2-pentest.dk.

Servicedesken som mål

En servicedesk, der kan nulstille adgangskoder og tilføje rettigheder, er et naturligt mål i et scenarie, og kunden kan ønske at afprøve, om jeres medarbejdere kan narres. Det er jeres medarbejdere og jeres procedurer, og det kræver jeres tilladelse, ikke kun kundens. → Servicedesken i øvelsen

Aftal tre ting. Holdet må kun bede om ændringer for kundens egne brugere, aldrig for andre kunders. En medarbejder, der bliver narret, skal ikke stå i kundens rapport med navn. Og I selv fortæller medarbejderne om øvelsen bagefter, så resultatet bruges til at forbedre rutinerne og ikke til at udstille nogen.

Jeres overvågning og reaktion

Overvåger I kundens miljø, er jeres vagt en del af det forsvar, øvelsen måler. Den skal derfor ikke kende til øvelsen. Udpeg én kontaktperson, der kender tidsrummet, sidder uden for vagten og har mandat til at bremse en eskalering, der vil nå ud over kunden. → Eskalering

Det særlige for en MSP er, at en mistanke om indbrud via jeres adgang kan få jer til at handle på tværs af kunder: lukke fjernadgangen for alle, nulstille fælles konti eller advare andre kunder. Aftal med kundens white team, at kontaktpersonen kan få bekræftet på kort tid, om aktiviteten er holdets, før sådanne skridt tages. Får kontaktpersonen ikke en bekræftelse, er det et rigtigt angreb, og jeres procedure fortsætter.

TIBER-EU’s vejledning om kontrolteamet beskriver, at en tredjepartsudbyder kan have nogle få medarbejdere i kontrolteamet, og at en af dem bør være det primære kontaktpunkt. Rammen gælder de regulerede test i finanssektoren, men modellen passer også på en MSP i en frivillig øvelse.

Jeres egne pligter

Er I en udbyder af administrerede tjenester, som NIS 2-loven definerer i § 3, nr. 34, kan I selv være omfattet af loven og af gennemførelsesforordning (EU) 2024/2690, der efter artikel 1 gælder for blandt andre udbydere af administrerede tjenester. Så har I egne pligter til at håndtere hændelser. Afklar med jeres rådgiver, hvordan en øvelse hos en kunde forholder sig til dem, og hvem der vurderer, om en hændelse under øvelsen er reel. → MSP’ens egen red team-øvelse

Er kunden en finansiel virksomhed, der gennemfører TLPT, gælder DORA artikel 26, stk. 3: kunden skal sikre deltagelse fra de IKT-tredjepartsudbydere, der er med i testens omfang, og bevarer det fulde ansvar. → Kundens TLPT omfatter jeres tjeneste

Efter øvelsen

Kunden har brug for jeres logs og alarmer for at kunne lægge holdets forløb ved siden af forsvarets. Udlever dem fra kundens miljø og fra jeres adgang dertil, men ikke fra fælles systemer, hvor andre kunders oplysninger indgår. Aftal formatet og fristen på forhånd, så data ikke er slettet efter jeres normale opbevaringstid, når kunden beder om dem.

Gennemgå også jeres egne erfaringer. Hvis vagten tog fejl af holdet og et rigtigt angreb, eller hvis kontaktpersonen ikke kunne nås, er det værdifuld viden om jeres procedurer, uanset hvad kundens rapport konkluderer. Oprydningen hører med: konti, regler og filer, som holdet har oprettet i kundens miljø, skal fjernes, og I bør få en liste, så I kan kontrollere det.

Et tænkt eksempel

En driftsleverandør driver netværk og servere for en mellemstor produktionsvirksomhed og 30 andre kunder. Virksomheden bestiller en skjult øvelse og beder driftsleverandøren om at være med. Leverandøren giver skriftlig tilladelse til kundens miljø og til en afprøvning af servicedesken for kundens brugere, men freder fjernadministrationen. Leverandørens driftschef bliver kontaktperson. Da vagten opdager et mistænkeligt login via leverandørens konto hos kunden, bekræfter white team, at det er holdet, og leverandøren undlader at lukke fjernadgangen for alle kunder.

Det skal I lade være med

At lade kundens tilladelse dække jeres fælles værktøjer · andre kunder ligger på den anden side.
At orientere vagten · så måles reaktionen ikke.
At handle på tværs af kunder uden bekræftelse · men heller ikke vente, hvis bekræftelsen ikke kommer.
At lade servicedesken indgå uden jeres tilladelse · det er jeres medarbejdere.
At glemme jeres egne pligter · de gælder også under en kundes øvelse.

Hvad kan og ikke kan konkluderes

En øvelse, hvor I deltager efter aftale, kan vise kunden, hvordan samspillet mellem jeres drift, jeres overvågning og kundens eget forsvar virker. Den kan også give jer viden om jeres servicedesk. Den viser ikke, hvordan jeres fælles værktøjer er sikret, når de var fredet, og den er ikke en vurdering af jer som leverandør. Teksten er ikke juridisk rådgivning.

Tjekliste for MSP’en

☐ Er kundens miljø, jeres adgang og jeres fælles værktøjer skilt ad?
☐ Er de fælles værktøjer fredet?
☐ Har I givet tilladelse til servicedesken, med grænser og uden navne i rapporten?
☐ Er der en kontaktperson uden for vagten med mandat?
☐ Er det aftalt, hvordan en bekræftelse indhentes før skridt på tværs af kunder?
☐ Har I afklaret forholdet til jeres egne pligter?