Myter om red teaming

Red teaming er omgivet af forestillinger, der kan få en organisation til at fravælge en øvelse, den har gavn af, eller til at vælge en, den ikke er klar til. Nogle myter kommer fra film og konferencer, andre fra en sammenblanding med penetrationstest eller med de regulerede test i finanssektoren. Svaret på dem hviler på, hvad en øvelse er bygget til, og på hvad de europæiske rammer for trusselsbaseret test selv skriver.

Kort sagt: Red teaming handler ikke om at vinde, det er ikke forbeholdt banker, det giver ingen karakter, og det kræver regler frem for at være fri for dem. De syv myter nedenfor er formuleret, som de kan lyde i et ledelsesmøde.

Myte 1: Holdet vinder altid, så hvad er pointen?

Et dygtigt hold med tid nok kan meget vel komme et stykke ind i en organisation. Men pointen er ikke, om holdet kommer ind. Pointen er, hvor forsvaret opdagede det, hvor hurtigt det reagerede, og hvad der forklarer forskellen mellem de steder, hvor det lykkedes, og de steder, hvor det ikke gjorde.

En øvelse, hvor holdet når målet, kan give mere læring end en, hvor holdet blev stoppet tidligt, fordi den viser hele kæden. Og en øvelse, hvor holdet ikke kom ind, er heller ikke spildt, hvis den viser, hvilke forsvarslag der virkede. → Når holdet ikke kommer ind

Myte 2: Red teaming er kun for banker

Myten opstår, fordi de mest synlige rammer, TIBER-EU og DORA’s trusselsbaserede penetrationstest, er udviklet til finanssektoren. Men ECB skriver selv i TIBER-EU-rammen, at den er tænkt til enheder med en vis systemisk betydning og tilstrækkelig modenhed, men at selve rammen kan bruges af alle typer og størrelser af enheder, også uden for finanssektoren.

Det afgørende er ikke branchen, men modenheden. En organisation med en fungerende overvågning, et beredskab og styr på de grundlæggende svagheder kan få værdi af red teaming, uanset om den driver en bank, en forsyning eller et industrifirma. → Klar til red teaming?

Omvendt er det heller ikke givet, at en finansiel virksomhed er klar, blot fordi den er stor. En bank med en ny driftsplatform og et beredskab, der endnu ikke er øvet, kan have mere ud af grundlæggende test og en tabletop-øvelse først.

Myte 3: Red teaming er bare en stor penetrationstest

De to aktiviteter stiller forskellige spørgsmål. En penetrationstest finder svagheder i et afgrænset system eller miljø. En red team-øvelse afprøver, om organisationen opdager og stopper et målrettet angreb på tværs af mennesker, processer og teknologi. De tekniske reguleringsstandarder for TLPT beskriver netop, at konventionelle penetrationstest giver en udførlig vurdering af tekniske sårbarheder, men ikke vurderer det samlede scenarie med et målrettet angreb mod en hel enhed.

Derfor kan den ene ikke erstatte den anden. Organisationen har brug for penetrationstest for at finde og lukke svagheder og for red teaming for at se, om forsvaret virker som helhed. Forskellen er forklaret for købere af sikkerhedstest generelt på penetrationtest.dk.

Myte 4: Øvelsen kan bestås eller dumpes

ECB skriver om TIBER-EU, at resultatet ikke er bestået eller dumpet. Testen viser styrker og svagheder og skal hjælpe organisationen med at lære og blive mere moden. Det gælder også for frivillige øvelser uden for rammen.

Myten er skadelig, fordi den får organisationer til at ønske et resultat, de kan vise frem. Det kan føre til, at øvelsen bliver gjort lettere, at blue team bliver advaret, eller at fund bliver tonet ned. Så mister øvelsen sin værdi. Gør det derfor klart fra starten over for ledelsen, at succeskriteriet er læring, og at et resultat med mange fund kan være en meget vellykket øvelse. → Når resultatet bliver læst forkert

Myte 5: En skjult øvelse har ingen regler

Det modsatte er tilfældet. Fordi blue team ikke ved, at øvelsen foregår, skal reglerne være særligt præcise: hvad holdet må, hvad det ikke må, hvornår øvelsen stoppes, og hvordan en opdagelse håndteres, uden at den udvikler sig til en reel krise. Skjultheden gælder forsvaret, ikke ledelsen, og en lille kreds skal altid kende til øvelsen og kunne gribe ind.

En red team-øvelse er også bundet af lovgivning og etik, og den skal have skriftlige tilladelser. At holdet efterligner en angriber, betyder ikke, at det må alt, en angriber gør. Hensynet til medarbejdere, kunder, leverandører og driften sætter grænser, som en virkelig angriber ville se bort fra, og de grænser skal stå i aftalen, før holdet går i gang. → Rules of engagement for red teaming

Myte 6: Uden en SOC giver red teaming ingen mening

En døgnbemandet overvågning er ikke en forudsætning for at lære noget af en øvelse. Uden SOC flytter spørgsmålet sig fra, om analytikerne opdager angrebet, til om nogen i organisationen gør det: IT-driften, servicedesken, en leverandør eller en opmærksom medarbejder. Det kan være et nyttigt svar i sig selv, fordi det viser, hvad der sker, hvis der ikke er en SOC til at gribe ind.

Men øvelsen skal tilpasses. Hvis ingen ser på logs, er det ikke meningsfuldt at bruge lang tid på at måle tid til opdagelse. Så kan en kortere og mere åben form give mere. → Red teaming uden SOC

Myte 7: En frivillig øvelse tæller som TLPT

En organisation, der har gennemført en grundig red team-øvelse, kan tro, at den dermed har opfyldt DORA’s krav om trusselsbaseret penetrationstest. Det har den ikke. En TLPT gennemføres af udpegede finansielle virksomheder efter DORA artikel 26 og de tekniske reguleringsstandarder, med myndighedens deltagelse i alle faser og en erklæring til sidst. En øvelse uden for den ramme kan være værdifuld, men den er ikke en TLPT og kan ikke fremstilles som en. → Red teaming uden for TIBER-rammen

Det skal I lade være med

At afvise red teaming, fordi holdet sikkert kommer ind · værdien ligger i forsvarets reaktion.
At bestille red teaming i stedet for penetrationstest · de svarer på forskellige spørgsmål.
At jagte et resultat, der kan vises frem · så forsvinder læringen.
At tro, at skjult betyder uden regler · skjulte øvelser kræver de mest præcise regler.
At kalde en frivillig øvelse for TLPT · betegnelsen er knyttet til en bestemt retlig ramme.

Hvad kan og ikke kan konkluderes

At aflive myterne gør ikke red teaming til det rigtige valg for alle. Nogle organisationer får mere ud af penetrationstest, tabletop-øvelser eller purple teaming, indtil grundlaget er på plads. Men beslutningen bør træffes ud fra det, en øvelse faktisk kan give, og ikke ud fra forestillinger om, hvad den er.

Kilder

ECB, TIBER-EU: resultatet er ikke bestået eller dumpet, men viser styrker og svagheder.
ECB, TIBER-EU Framework (2025): rammen er tænkt til systemisk vigtige og modne enheder, men kan bruges af alle typer og størrelser af enheder, også uden for finanssektoren (afsnit 1).
Kommissionens delegerede forordning (EU) 2025/1190: betragtning 12 om forskellen mellem konventionelle penetrationstest og efterretningsbaserede test med et rødt team og artikel 3, stk. 5, om myndighedens deltagelse i alle faser.
Forordning (EU) 2022/2554 (DORA): artikel 26 om TLPT.

Senest gennemgået: oktober 2026.