Nøgletal til ledelsen fra en red team‑øvelse

Direktionen og bestyrelsen vil gerne have resultatet af en red team-øvelse i en form, der kan sammenfattes på et minut. Det er forståeligt, men en øvelse giver ikke en karakter, og et enkelt tal fjerner det, der gør resultatet brugbart. Gode nøgletal hviler på tre ting: de er få, hvert af dem har en forklaring ved siden af, og de peger på en beslutning, ledelsen kan træffe. Det betyder også, at sikkerhedsfunktionen må sige nej til sammenligninger med andre organisationer, som ikke kan underbygges.

Hvad ledelsen har brug for at vide

Før tallene vælges, er det værd at huske, hvilket spørgsmål ledelsen stillede, da øvelsen blev godkendt. Var det, om en bestemt forretningsproces kunne forstyrres? Om forsvaret ville opdage en målrettet modstander? Om investeringen i overvågning virker? Nøgletallene skal svare på det spørgsmål og ikke på alle andre. → Formålet med øvelsen

Ledelsen har især brug for tre ting: hvor langt kom modstanderen, hvad opdagede organisationen undervejs, og hvad skal der ske nu. Alt andet hører til i den tekniske rapport.

Et lille sæt mål, der kan forklares

Der er ingen standard for nøgletal fra red teaming. De regulerede rammer giver dog et praj om, hvad myndighederne lægger vægt på. Bilag VII i de tekniske reguleringsstandarder for TLPT, forordning (EU) 2025/1190, opregner bl.a. nåede og ikke nåede flagmål, eventuelle detektioner fra det blå team, anvendte forstærkninger, grundlæggende årsager og en overordnet udbedringsplan som indhold i den sammenfattende rapport. Den liste gælder TLPT, men den kan bruges som inspiration til et ledelsesoverblik for enhver øvelse.

Et brugbart sæt kan se sådan ud:

Mål nået eller ikke nået · hvilke af de aftalte mål nåede holdet, og hvilke ikke? → Målet for øvelsen
Hvor forsvaret greb ind · i hvilken fase blev holdet set første gang, og blev det stoppet?
Tid fra første observation til beslutning · med den definition, der står i målebilaget. → Tid til opdagelse
Hjælp undervejs · hvor mange gange og i hvilke faser holdet fik et leg-up, fordi forsvaret holdt.
Rodårsager · de få mønstre, der går igen i fundene, frem for et antal fund.
Handlingsplanens status · hvor mange punkter er fordelt på ejere og har en dato?

Seks mål er rigeligt. Hvis der skal flere til, er det et tegn på, at øvelsen havde for mange formål, eller at der står teknik i det, der skulle være ledelsesinformation.

Forklaringen hører til tallet

Et nøgletal uden forklaring bliver læst på den måde, læseren forventer. At holdet nåede målet, kan lyde som en fiasko, men det kan også være forventet, hvis øvelsen startede med et assumed breach-scenarie og et leg-up i en sen fase. At forsvaret opdagede holdet tidligt, kan lyde som en succes, men det er mindre imponerende, hvis det skete, fordi holdet med vilje blev mere synligt for at teste eskaleringen.

Skriv derfor én eller to sætninger ved hvert tal: hvad det betyder, hvad det ikke betyder, og hvilken forudsætning der påvirker det. → Når resultatet bliver læst forkert

Sådan vises tallene

Formen betyder meget for, hvordan tallene bliver forstået. Farvekoder som rød, gul og grøn er hurtige at læse, men de skjuler forudsætningerne og bliver let til en karakter. Brug dem kun, hvis det er tydeligt, hvad hver farve betyder, og hvem der har sat den.

En enkel model, der kan virke i en bestyrelse, er at fortælle forløbet som en kort historie i fire trin: hvor modstanderen startede, hvor langt den nåede, hvor forsvaret så den, og hvad der var afgørende for udfaldet. Nøgletallene sættes ind i historien i stedet for at stå i en kolonne for sig. Så bliver det tydeligt, hvorfor et tal er vigtigt, uden at læseren skal kende de tekniske detaljer.

Hold også materialet stabilt fra gang til gang. Hvis ledelsen ser de samme få mål præsenteret på samme måde efter hver øvelse, bliver det lettere at stille de rigtige spørgsmål, og forskellene bliver synlige uden at skulle forklares forfra.

Hvorfor benchmark ikke virker

Ledelsen kan spørge, hvordan organisationen klarer sig i forhold til andre. Der findes ikke et grundlag for at svare. Andre organisationers øvelser har andre scenarier, andre hold og andre forudsætninger, og resultaterne er fortrolige. Selv i de regulerede test deles resultaterne ikke på en måde, der gør sammenligning mulig.

Nationalbankens implementeringsdokument for TIBER-DK understreger, at en TIBER-test er en læringsøvelse og et øjebliksbillede af bestemte scenarier, ikke en udtømmende vurdering. Det er et godt udgangspunkt for samtalen med ledelsen: øvelsen siger noget om organisationen selv, ikke om dens placering blandt andre.

Det, der kan sammenlignes, er organisationen med sig selv, og kun med forbehold. → Måling over tid

Fra tal til beslutning

Nøgletallene skal føre til noget, ledelsen kan beslutte. Ellers er de information uden formål. Mulige beslutninger efter en øvelse er:

Prioritering · hvilke af handlingsplanens punkter skal have ressourcer først?
Ansvar · hvem ejer de rettelser, der går på tværs af afdelinger?
Risikoaccept · hvilke svagheder accepteres midlertidigt, og af hvem?
Næste øvelse · hvad skal afprøves igen, og hvornår?

Præsenter nøgletallene sammen med de beslutninger, de lægger op til. Så bliver mødet med ledelsen et beslutningsmøde og ikke en gennemgang af resultater, der bare tages til efterretning. → Afrapportering til ledelsen

Fortrolighed i ledelsesmaterialet

Ledelsesmateriale bliver delt bredere end tekniske rapporter. Det kan blive sendt til bestyrelsens medlemmer, gemt i mødesystemer og citeret i referater. Nøgletallene skal derfor holdes på et niveau, hvor de ikke afslører, hvordan angrebet lykkedes, eller hvilke systemer der er svage. De regulerede rammer peger i samme retning: TIBER-DK skriver, at den sammenfattende rapport ikke bør indeholde detaljerede tekniske oplysninger om fund og sårbarheder, fordi de er meget følsomme. → Hvem må kende resultatet?

Det skal I lade være med

At give øvelsen en samlet karakter · det fjerner forudsætningerne og inviterer til forkerte konklusioner.
At lade et tal stå uden forklaring · læseren udfylder selv betydningen.
At love en sammenligning med andre · grundlaget findes ikke.
At tælle fund frem for at vise mønstre · mange små fund kan dække over én vigtig årsag.
At vise tal uden en beslutning · ledelsen skal vide, hvad der forventes af den.
At skrive tekniske detaljer i ledelsesmaterialet · det deles bredere end rapporten.

Hvad kan og ikke kan konkluderes

Nøgletal fra en red team-øvelse kan give ledelsen et ærligt billede af, hvor langt en bestemt type modstander kom, hvad forsvaret opdagede, og hvad der skal ske nu. De kan ikke vise, hvor sikker organisationen er generelt, og de kan ikke placere organisationen i forhold til andre. Det skal stå i materialet, ikke kun siges på mødet.

Kilder

Kommissionens delegerede forordning (EU) 2025/1190: bilag VII om indholdet af den sammenfattende rapport efter TLPT.
Danmarks Nationalbank, TIBER-DK Implementation Document: TIBER-test som øjebliksbillede og læringsøvelse; ingen detaljerede tekniske oplysninger i den sammenfattende rapport.

Senest gennemgået: oktober 2026.