Når øvelsen bliver opdaget udefra: politi, presse og sociale medier

En nabo ringer til politiet om en person, der fotograferer indgangspartiet. En journalist spørger, hvorfor medarbejdere har fået mistænkelige opkald fra en, der udgav sig for at være IT-supporten. Den slags reaktioner kan komme under en red team-øvelse, og kommunikationsafdelingen skal kunne svare, før nogen har tid til at undersøge sagen. Svaret hviler på to ting, der aftales på forhånd: en kort kæde, der på få minutter kan bekræfte, om henvendelsen hænger sammen med øvelsen, og forberedte formuleringer, der er sande uden at udstille øvelsen eller de medarbejdere, der var involveret.

Den generelle kommunikationsplan for øvelsen dækker, hvem der internt får hvad at vide og hvornår. Her handler det om henvendelser udefra. → Kommunikationsplan

Hvorfor kommunikationsafdelingen skal kende til øvelsen

I en skjult øvelse ved kun få besked. Det er fristende også at holde kommunikationsafdelingen udenfor, så den reagerer realistisk. Det rummer en risiko, der rækker ud over øvelsen: En presseansvarlig, der tror på et ægte angreb, kan udsende en meddelelse om en sikkerhedshændelse, der aldrig fandt sted, og den kan ikke trækkes tilbage uden at skabe en ny historie.

TIBER-EU-rammen peger på samme problem. Kontrolteamet skal fastlægge eskaleringsprocedurer, så handlinger, der ville være påkrævede ved en ægte hændelse, ikke sættes i gang, og rammen nævner kommunikation med eksterne parter, herunder politiet, som eksempel. Rammen gælder udpegede finansielle virksomheder, men tanken kan bruges i alle øvelser. En løsning er at lade én person i kommunikationsfunktionen kende til øvelsen under fortrolighed, så det er den person, der står øverst i kommunikationens eskaleringskæde. → Fortrolighed om øvelsen

De tre slags henvendelser

Henvendelserne kræver forskellig håndtering:

Politiet · bliver kontaktet af en borger, et vagtselskab eller en medarbejder og vil vide, om der foregår noget ulovligt. Her gælder fuld åbenhed over for politiet.
Pressen · har fået et tip og spørger til en konkret hændelse. Her gælder sandhed uden detaljer.
Sociale medier · en medarbejder eller en borger skriver om en mistænkelig mail, et opkald eller en person ved bygningen. Her gælder ro og overvågning, før der svares.

En fjerde gruppe er kunder og samarbejdspartnere, der spørger, om de skal være bekymrede. Svaret til dem bør ligge tæt på svaret til pressen, og kundeservice skal vide, at spørgsmålet sendes videre til den kommunikationsansvarlige i stedet for at blive besvaret på stedet.

Politiet: bekræftelse uden forsinkelse

Når en patrulje står ved bygningen, har holdet tilladelsesbrevet med, og white team skal kunne bekræfte øvelsen med det samme. Kommunikationsafdelingens opgave er en anden: at sikre, at en eventuel henvendelse fra politiet til virksomhedens hovednummer eller pressetelefon havner hos white team og ikke hos en receptionist, der ikke ved noget. → Hvis holdet bliver stoppet i bygningen

Baggrunden for tilladelsesbrevet er, at straffelovens § 263 og § 264 handler om uberettiget adgang til henholdsvis andres datasystemer og steder, der ikke er frit tilgængelige. Brevet dokumenterer, at adgangen er aftalt med den, der råder over systemet eller bygningen. Om en bestemt handling i øvelsen er dækket, er en juridisk vurdering, der ikke kan foretages generelt. → Tilladelsesbrevet

Over for politiet skal der aldrig gives en dækhistorie. Implementeringsdokumentet for TIBER-DK beder kontrolteamet forberede dækhistorier, men de er tænkt til internt brug, hvis blue team opdager testen. Myndigheder og pressen er noget andet.

Pressen: sandt, kort og uden navne

En journalist, der spørger til mistænkelige opkald, skal ikke have en løgn. Det er heller ikke nødvendigt at afsløre øvelsen, mens den kører. Et forberedt svar kan være, at virksomheden er bekendt med henvendelsen, undersøger den og vender tilbage, når der er noget at sige. Det er sandt, og det giver white team tid til at beslutte, om øvelsen skal stoppes eller afsløres.

Hvis sagen vokser, kan svaret være, at der var tale om en planlagt og godkendt sikkerhedsøvelse. Tre ting holdes ude af svaret:

Navne og afdelinger · ingen medarbejder skal kunne genkendes som den, der blev narret.
Resultater · hvad holdet nåede, er fortroligt og hører til i rapporten.
Fremgangsmåden · detaljer om metoden kan bruges af andre og skaber nye spørgsmål.

Formuleringerne skrives før øvelsen og godkendes af sponsoren og den juridiske funktion. Kommunikationsafdelingen bør også aftale, hvem der må udtale sig, så en leder ikke kommenterer sagen på egen hånd.

Sociale medier: følg med, før I svarer

Et opslag fra en medarbejder om en falsk mail kan være et godt tegn. Det viser, at kollegerne bliver advaret. Men det kan også blive delt uden for organisationen. Den, der overvåger virksomhedens kanaler, skal vide, at sådanne opslag går til den kommunikationsansvarlige med kendskab til øvelsen, før der svares. Et offentligt svar, der afslører øvelsen, kan ødelægge den. Et svar, der bekræfter et angreb, kan skabe unødig uro hos kunder.

Overvej også, om det rigtige er at lade opslaget stå. Den interne advarsel er en del af det forsvar, øvelsen måler. → Personer uden for øvelsen

Efter øvelsen: medarbejderne først

Når øvelsen er slut, skal de medarbejdere, der blev kontaktet, høre om det fra deres egen organisation, før historien når pressen eller sociale medier. En medarbejder, der læser om sig selv i en artikel, mister tilliden til både sikkerhedsfunktionen og ledelsen. Kommunikationsafdelingen kan hjælpe white team med budskabet, men samtalen med den enkelte hører til debriefingen. → Debriefing af medarbejdere

Det skal I lade være med

At holde kommunikationsafdelingen helt udenfor · den kan komme til at melde om et angreb, der ikke fandt sted.
At give politiet en dækhistorie · politiet skal have sandheden med det samme.
At svare pressen med en løgn · et forberedt, sandt svar giver samme tid.
At nævne medarbejdere eller afdelinger · det udstiller dem, der deltog uden at vide det.
At skrive svarene i situationen · de skal være godkendt på forhånd.

Hvad kan og ikke kan konkluderes

Forberedte svar og en kort bekræftelseskæde kan forhindre, at en henvendelse udefra bliver til en historie om et angreb, der ikke fandt sted, eller om medarbejdere, der blev narret. De kan ikke forhindre, at øvelsen bliver kendt, og en øvelse, der bliver offentligt kendt undervejs, giver et svagere svar på, hvordan forsvaret reagerer. Det er en risiko, ledelsen accepterer, når den godkender en skjult øvelse.

Tjekliste til kommunikationsafdelingen

☐ Kender én navngiven person i kommunikationsfunktionen til øvelsen under fortrolighed?
☐ Er det aftalt, hvordan politiets henvendelser når white team?
☐ Er svarene til pressen skrevet og godkendt på forhånd?
☐ Ved den, der overvåger sociale medier, hvor opslag om mistænkelige henvendelser skal hen?
☐ Er det aftalt, hvem der må udtale sig?
☐ Er rækkefølgen efter øvelsen aftalt, så medarbejderne hører det først?

Kilder

ECB, TIBER-EU Framework (2025): afsnit 4.1.5 om eskaleringsprocedurer, der forhindrer handlinger, som ville være påkrævede ved en ægte hændelse, herunder kommunikation med politiet.
Danmarks Nationalbank, TIBER-DK Implementation Document: kontrolteamet forbereder dækhistorier til brug, hvis blue team opdager testen; kendskab til testen begrænses til need to know.
Straffeloven (LBK nr. 1294 af 2025): § 263 om uberettiget adgang til datasystemer og § 264 om uberettiget adgang til steder, der ikke er frit tilgængelige.

Senest gennemgået: oktober 2026.