Næste øvelse: hvad den skal bygge videre på

Når en red team-øvelse er afsluttet og fulgt op, melder spørgsmålet sig om, hvad den næste skal handle om. Den nemme løsning er at gentage scenariet og se, om det går bedre. Den bedre løsning er at lade den næste øvelse stille et nyt spørgsmål, der bygger på det, I lærte, og på de ændringer, der er sket siden.

Næste øvelse skal derfor have tre ting med fra den forrige: de svar, der kom, de spørgsmål, der blev rejst undervejs, og status på de tiltag, der blev besluttet. Ud fra dem vælges et nyt formål og et nyt scenarie. Det, der kun skal efterprøves, kan høre hjemme i en mindre aktivitet ved siden af.

Begynd med det, øvelsen ikke svarede på

Hver øvelse efterlader spørgsmål. Holdet nåede måske ikke til den del af miljøet, hvor de mest følsomme data ligger, fordi tiden slap op. Forsvaret greb måske ind så tidligt, at reaktionen længere inde i organisationen aldrig blev prøvet. Eller white team valgte at frede en leverandør, som i virkeligheden er en oplagt vej ind.

Saml disse åbne spørgsmål i lessons learned-mødet og i den sammenfattende rapport. De er det mest oplagte udgangspunkt for næste øvelse, fordi de er konkrete og knyttet til jeres egen organisation. → Lessons learned-mødet

Spørg også blue team, SOC-leverandøren og de afdelinger, der blev berørt, hvad de gerne ville have set afprøvet. De har oplevet øvelsen fra en anden side end white team og kan pege på situationer, hvor de var usikre på, hvad de skulle gøre. Den usikkerhed er et godt emne for næste gang.

Gentag ikke scenariet for at få en bedre score

Det kan være fristende at køre samme scenarie igen for at vise ledelsen, at forsvaret er blevet bedre. Men et red team, der kender vejen, og et blue team, der ved, hvad det leder efter, giver ikke et retvisende billede. Resultatet siger mere om hukommelse end om modstandskraft.

Vil I efterprøve, om bestemte rettelser virker, er en afgrænset genafprøvning eller en purple team-session et bedre redskab. Her kan forsvaret og holdet arbejde åbent med de konkrete punkter, og den store øvelse kan bruges til noget nyt. → Genafprøvning af udvalgte dele

Se på, hvad der har ændret sig

Organisationen står ikke nødvendigvis stille mellem to øvelser. Nye systemer er taget i brug, opgaver er flyttet til en leverandør, en afdeling er lagt sammen med en anden, eller SOC’en har fået ny bemanding. Hver ændring kan åbne nye veje eller lukke gamle.

Trusselsbilledet ændrer sig også. Den trusselsefterretning, der lå til grund for sidste scenarie, er ikke nødvendigvis dækkende i dag. Bed om en opdateret vurdering, før scenariet vælges, og overvej, om de aktører, der var relevante sidst, stadig er de vigtigste.

Nye systemer · er der kommet forretningskritiske systemer til siden sidst?
Nye leverandører · er driften eller overvågningen flyttet ud?
Nye arbejdsgange · har hjemmearbejde, nye processer eller organisationsændringer flyttet risikoen?
Nye trusler · peger efterretningen på andre aktører eller andre mål?

Formulér et nyt spørgsmål

Den næste øvelse skal have et spørgsmål, som ledelsen kan godkende og forstå. Det kan bygge direkte videre på det forrige: Hvis sidste øvelse viste, at forsvaret opdager et angreb udefra, kan næste spørge, hvad der sker, når angriberen allerede er inde. Hvis sidste øvelse handlede om teknik, kan næste handle om en forretningsproces, fx betalinger eller kundedata.

Spørgsmålet afgør resten: scenarie, udgangspunkt, varighed og hvem der skal være med i white team. Skriv det ned, før I taler med leverandører, så tilbuddene svarer på det samme. → Spørgsmålet bag øvelsen

Et godt spørgsmål til en ny øvelse er snævert nok til at kunne besvares og bredt nok til at være interessant for ledelsen. Spørgsmålet om, hvorvidt et angreb på betalingsprocessen ville blive opdaget, før pengene forlod banken, er et eksempel. Spørgsmålet om, hvorvidt organisationen er sikker, er ikke.

Brug opfølgningen som grundlag

Status på handlingsplanen fra sidste øvelse er en del af grundlaget for den næste. Tiltag, der er gennemført, kan være et naturligt mål for en ny afprøvning, men kun som en del af et større spørgsmål. Tiltag, der er udskudt eller accepteret som risiko, skal være kendt af white team, så øvelsen ikke blot genfinder det, I allerede ved.

Hvis opfølgningen er gået i stå, er det også et svar. Så kan det være klogere at udsætte næste øvelse og bruge kræfterne på at gennemføre det besluttede. En ny øvelse oven på uløste fund giver ikke nødvendigvis ny læring. → Opfølgning efter øvelsen

Variér form og hold med omtanke

Ikke alle øvelser behøver være lange og skjulte. Næste skridt kan være en assumed breach-øvelse, et scenarie med fysisk adgang eller social engineering eller et purple team-forløb, afhængigt af hvad spørgsmålet kræver. Valget af form skal følge spørgsmålet, ikke vane.

Overvej også, om samme leverandør skal løse næste opgave. Et nyt hold kan se organisationen med friske øjne, mens et kendt hold kan gå hurtigere i gang. Begge valg har en pris for sammenligneligheden mellem øvelserne. → Måling over tid

Det samme gælder de interne roller. Hvis lederen af white team har været den samme flere gange, kan det være en fordel at lade en anden få rollen med erfaringen ved siden af. Så bliver viden om øvelserne ikke afhængig af én person.

Det skal I lade være med

At gentage scenariet for at vise fremgang · resultatet bliver påvirket af, at alle kender vejen.
At planlægge næste øvelse, før opfølgningen er i gang · så ophobes fund uden handling.
At genbruge den gamle trusselsefterretning uden at se på den · trusselsbilledet ændrer sig.
At vælge form efter vane · spørgsmålet skal styre formen.
At glemme de åbne spørgsmål fra sidst · de er det bedste udgangspunkt.

Hvad kan og ikke kan konkluderes

En række øvelser, der hver bygger videre på den forrige, giver et stadig mere nuanceret billede af organisationens evne til at opdage og reagere. Den kan ikke give et samlet mål for fremgang, fordi hver øvelse har sit eget spørgsmål og sine egne forhold. De tekniske reguleringsstandarder for TLPT lægger netop vægt på, at parterne giver hinanden feedback til gavn for fremtidige test, og det princip kan også bruges uden for de regulerede test.