Ny CISO: hvornår en red team‑øvelse giver et retvisende billede af forsvaret

En ny sikkerhedschef vil gerne vide, hvor forsvaret faktisk står, og en red team-øvelse ser ud til at give et hurtigt og ærligt svar. Svaret hviler på timingen: en øvelse i de første måneder måler det forsvar, I har overtaget, mens en øvelse senere måler de ændringer, I selv har sat i gang. Begge dele kan være nyttige, men kun hvis det er besluttet på forhånd, hvilket spørgsmål øvelsen skal besvare.

Bliver de to spørgsmål blandet sammen, ender resultatet med at blive læst som en dom over forgængeren eller som en karakter for den nye chef. Ingen af delene hjælper organisationen.

To spørgsmål, der let bliver til ét

Den nye CISO kan have to ærinder med en øvelse:

Udgangspunktet · hvordan opdager og standser organisationen en målrettet modstander i dag, før noget er ændret?
Effekten · har de ændringer, der er gennemført siden tiltrædelsen, gjort en forskel?

Det første spørgsmål kræver, at øvelsen kommer tidligt, og at intet stort ændres, mens den kører. Det andet kræver, at ændringerne har haft tid til at virke, og at der findes et tidligere billede at sammenligne med. En øvelse kan ikke besvare begge på én gang. Skriv derfor spørgsmålet ned, før omfanget fastlægges, og få sponsoren i direktionen til at godkende formuleringen. → Formålet med øvelsen

Det, en tidlig øvelse kan og ikke kan

En øvelse i den første tid kan give et billede, der ikke er farvet af den nye chefs egne antagelser. Den kan vise, om overvågningen ser det, den burde, om eskaleringen virker uden for arbejdstid, og om ansvaret mellem IT-drift, SOC og leverandører er klart. For en ny CISO er det værdifuld viden, fordi den hviler på et forløb og ikke på overdragelsesnotater.

Men den tidlige øvelse har også svagheder. Den nye chef kender endnu ikke kronjuvelerne godt nok til at pege på de rigtige mål. Relationerne til IT-chefen, driftsleverandøren og HR er nye, og white team skal sammensættes af personer, chefen måske ikke har arbejdet med. Fortroligheden kan også være svær at holde, når den nye chef stadig er i gang med at lære organisationen at kende. Endelig er der risikoen for, at organisationen allerede er i bevægelse: projekter, som forgængeren satte i gang, kan blive færdige midt i øvelsen og ændre det, der måles. Få derfor et overblik over igangværende ændringer, før perioden for øvelsen fastlægges. → Er organisationen klar til red teaming?

Et andet udgangspunkt: profilen før øvelsen

En øvelse er ikke den eneste måde at få et udgangspunkt på. NIST Cybersecurity Framework 2.0 beskriver en nuværende profil, der angiver de resultater, organisationen opnår i dag, og i hvilket omfang de opnås, og en målprofil, der angiver de ønskede resultater. Forskellen mellem dem bliver til en handlingsplan.

En nuværende profil kan bygges af dokumenter, interviews og eksisterende rapporter, og den giver den nye CISO et sprog over for ledelsen. Øvelsen kan derefter afprøve, om udvalgte dele af profilen holder i praksis, fx om opdagelse og reaktion virker, som profilen siger. Rammen nævner selv, at forbedringer identificeres ud fra sikkerhedstest og øvelser. Rækkefølgen profil, plan, øvelse giver også ledelsen noget at forholde sig til, før de første resultater foreligger, og den giver øvelsen et skarpere formål end en øvelse, der skal finde ud af alt på én gang.

Når I vil måle jeres egne ændringer

Skal øvelsen vise effekten af nye tiltag, er spørgsmålet, hvornår de har sat sig. En ny overvågningsløsning, en omlagt eskalering eller færre administratorkonti kræver en periode i drift, før en øvelse siger noget om dem. Kommer øvelsen for tidligt, måler den indkøringen.

Sammenligningen kræver også, at det tidligere billede er dokumenteret, så det kan stilles op mod det nye. Hvis der ikke blev gennemført en øvelse ved tiltrædelsen, kan den nuværende profil, tidligere pentestrapporter og hændelser fungere som referencepunkt, men det skal stå tydeligt, at sammenligningen er grov. → Måling over tid

Resultatet i ledelsen

Den største risiko ved en tidlig øvelse er politisk. Et dårligt resultat kan blive brugt som argument for, at forgængeren ikke gjorde sit arbejde, og et godt resultat kan blive taget som bevis for, at der ikke er brug for de investeringer, den nye chef vil foreslå. Begge læsninger er forkerte, fordi øvelsen viser, hvordan forsvaret reagerede på ét scenarie i én periode.

TIBER-EU, den europæiske ramme for trusselsbaserede red team-test, slår fast, at en test ikke ender med bestået eller dumpet, men giver indsigt i styrker og svagheder. Det princip kan den nye CISO bruge over for direktionen uanset sektor: præsentér resultatet som et billede af organisationen og ikke af personer. → Afrapportering til direktion og bestyrelse

Et tænkt eksempel

En CISO tiltræder i en mellemstor koncern, hvor der er gennemført pentest hvert år, men aldrig en red team-øvelse. Direktionen vil gerne have et billede inden budgetforhandlingerne. CISO’en vælger at lave en nuværende profil i de første tre måneder og bestille en smal øvelse om ét scenarie, der afprøver opdagelse og eskalering, med en formulering om, at øvelsen viser udgangspunktet. Et år senere gentages scenariet i samme form, efter at overvågningen er udvidet, og resultatet kan nu læses som et svar på, om udvidelsen virkede.

Det skal I lade være med

At bestille øvelsen uden et skrevet spørgsmål · så bliver resultatet læst efter behov.
At ændre forsvaret midt i en udgangspunktsøvelse · så måler øvelsen hverken det gamle eller det nye.
At bruge resultatet om personer · forgængeren og de nuværende medarbejdere er ikke genstand for øvelsen.
At måle egne tiltag, før de er i drift · indkøringen er ikke effekten.
At springe white team over, fordi chefen er ny · styringen er lige så nødvendig. → White team

Hvad kan og ikke kan konkluderes

En tidlig øvelse viser, hvordan det overtagne forsvar reagerede på et bestemt scenarie. En senere øvelse kan vise, om udvalgte ændringer har haft en effekt, når scenariet og forudsætningerne er sammenlignelige. Ingen af dem afgør, hvem der har ansvaret for et svagt punkt, eller hvor godt organisationen klarer sig mod andre modstandere end den, der blev efterlignet.

Tjekliste for den nye CISO

☐ Er spørgsmålet skrevet ned: udgangspunkt eller effekt?
☐ Er sponsoren i direktionen enig i formuleringen?
☐ Er der en nuværende profil eller et andet dokumenteret udgangspunkt?
☐ Kender I kronjuvelerne godt nok til at sætte mål for øvelsen?
☐ Er det aftalt, at intet stort ændres i forsvaret, mens øvelsen kører?
☐ Er det besluttet, hvordan resultatet præsenteres uden at pege på personer?

Kilder

Cybersecurity Framework 2.0, CSWP 29: nuværende profil og målprofil (afsnit 3.1) og forbedringer fra sikkerhedstest og øvelser (ID.IM-02).
Den Europæiske Centralbank: TIBER-EU Framework, januar 2025: en test resulterer ikke i bestået eller dumpet, men giver indsigt i styrker og svagheder.

Senest gennemgået: oktober 2026.