Hvad bestemmer omfanget af en red team‑øvelse?

Spørgsmålet om, hvad en red team-øvelse koster, kan ikke besvares, før det er klart, hvad øvelsen skal kunne. Omfanget hviler på nogle få valg: hvor mange spørgsmål og scenarier øvelsen skal dække, hvor længe den skal løbe, om mennesker og bygninger indgår, hvor skjult den skal være, og hvor meget efterarbejde der skal leveres. Hvert valg flytter indsatsen, både hos leverandøren og hos jer selv.

Det gør det svært at sammenligne tilbud, der blot hedder red teaming. To leverandører kan bruge samme ord om opgaver, der adskiller sig markant i dybde, varighed og leverance.

Spørgsmålet, scenarierne og trusselsgrundlaget

Det spørgsmål, øvelsen skal besvare, er den første driver. Et smalt spørgsmål om én forretningsproces kræver ét velvalgt scenarie. Et bredt spørgsmål om, hvordan forsvaret håndterer flere typer modstandere, kræver flere scenarier og dermed mere planlægning, mere udførelse og mere analyse.

Hvert ekstra scenarie er ikke blot en tilføjelse. Det kan kræve andre udgangspunkter, andre tilladelser og andre målepunkter. Når I overvejer at udvide, bør I spørge, om det nye scenarie giver et svar, der er værd den ekstra indsats, eller om det hellere hører til en senere øvelse. → Scenarievalg

Et scenarie bygger på et billede af, hvem der kunne angribe, og hvordan. Det billede kan være mere eller mindre grundigt. Nogle øvelser bygger på et generelt trusselsbillede for branchen. Andre bygger på en skræddersyet analyse af netop jeres organisation, hvad der er synligt om den udefra, og hvilke modstandere der har interesse i den.

Den skræddersyede analyse giver skarpere scenarier, men den er en opgave i sig selv. Det skal afklares, om leverandøren laver den, om I køber den et andet sted, eller om I bruger det, I allerede har. → Trusselsefterretning som grundlag for scenarierne

Varigheden

En øvelse, der skal efterligne en tålmodig modstander, må have tid. Den skal kunne bevæge sig langsomt, vente på de rette øjeblikke og undgå at udløse alarmer. Det giver et mere realistisk billede af opdagelsesevnen, men det kræver flere dage fra holdet og flere uger med white team i beredskab.

Der findes ingen standardvarighed for en øvelse uden for de regulerede rammer. Varigheden bør udledes af spørgsmålet: Skal øvelsen vise, om forsvaret opdager noget overhovedet, eller om det opdager en modstander, der bevidst holder lav profil? → Længerevarende angrebssimulering

Mennesker, bygninger og lokationer

Social engineering og fysisk adgang udvider omfanget på flere måder. De kræver ekstra tilladelser, aftaler med udlejere og vagtselskaber, hensyn til medarbejdere og eventuelt rejsetid til en eller flere adresser. De kræver også særlig dokumentation og en debriefing bagefter.

Flere lokationer, flere lande eller flere juridiske enheder øger arbejdet med tilladelser og koordinering, også selv om den tekniske del er den samme. Et datterselskab i et andet land kan have egne regler for medarbejdere, egne udlejere og egen ledelse, der skal sige ja. Det tager tid at få på plads, og det tager tid at holde styr på under øvelsen, når flere kontaktpersoner skal kunne nås. → Fysisk adgang i red teaming

Hemmeligholdelse og styring

En skjult øvelse, hvor blue team ikke ved noget, kræver mere omhu end en åben. Holdet skal arbejde forsigtigere, og white team skal være klar til at skille øvelse fra virkelighed, hvis forsvaret reagerer. Det betyder flere statusmøder, mere koordinering og en større indsats fra jeres side.

Til styringen hører også de løbende aftaler: leg-ups, hvis holdet sidder fast, ændringer i scenariet og beslutninger om, hvad der sker, når et mål nås. Jo mere fleksibilitet øvelsen skal have, jo mere tid skal der afsættes til at styre den. Det gælder både for leverandøren og for de personer hos jer, der skal kunne træffe beslutninger med kort varsel.

Leverancen og efterarbejdet

Det, der leveres bagefter, er en stor del af indsatsen. En kort rapport med forløb og fund er én ting. En detaljeret tidslinje, der lægges op mod blue teams observationer, en gennemgang af forløbet sammen med forsvaret, en workshop om forbedringer og en senere genafprøvning af udvalgte dele er noget andet. Hvert element har værdi, men hvert element koster tid. Overvej, hvem der skal bruge resultatet. Hvis blue team og overvågningsleverandøren skal lære af forløbet, kan den fælles gennemgang være mere værd end en længere rapport. Hvis direktionen skal tage stilling til investeringer, er et klart resumé vigtigere end detaljerne.

Det er her, tilbud kan adskille sig mest. Spørg derfor konkret, hvad der indgår i leverancen, og hvad der er tilvalg. → Red team-rapporten

Det, der ikke står i tilbuddet

Jeres egen indsats skal med i regnestykket. De personer, der udgør white team, bruger tid i alle faser, også løbende i perioden, hvor holdet arbejder. Systemejere, jura, HR og facility skal inddrages, og rettelserne kommer oveni. En øvelse, der er billig hos leverandøren, men kræver meget af jer, er ikke nødvendigvis billig.

Spørg derfor leverandøren, hvad den forventer af jer: Hvor mange møder, hvilke oplysninger skal I skaffe, og hvem skal være til rådighed under øvelsen? Svaret giver et mere retvisende billede af den samlede indsats og viser samtidig, om leverandøren har tænkt jeres side af opgaven igennem. En leverandør, der ikke kan svare, har næppe planlagt den del.

Nielco IT tilbyder red teaming med social engineering, fysisk adgang og længerevarende angrebssimulering, og større opgaver løses med tilknyttede konsulenter. Hvordan opgaverne prissættes, er beskrevet under pris og tilbud.

Det skal I lade være med

At bede om en pris på red teaming uden at beskrive spørgsmålet · tilbuddet bliver et gæt.
At sammenligne tilbud på overskriften · se på scenarier, varighed og leverance.
At skære i efterarbejdet først · det er der, læringen opstår.
At glemme de interne timer · white team og opfølgning er en reel indsats.
At udvide omfanget undervejs uden ny aftale · det skal godkendes som andre ændringer.

Hvad kan og ikke kan konkluderes

Kendskab til de forhold, der driver omfanget, gør det muligt at beskrive behovet præcist, forstå forskelle mellem tilbud og prioritere med åbne øjne. Det giver ikke et beløb på forhånd, og et større omfang er ikke i sig selv en bedre øvelse. Det rigtige omfang er det, der kan besvare det aftalte spørgsmål med den nødvendige sikkerhed for drift og mennesker.

Tjekliste før I beder om tilbud

☐ Er spørgsmålet og antallet af scenarier beskrevet?
☐ Er det afklaret, hvem der leverer trusselsgrundlaget?
☐ Er det besluttet, om mennesker, bygninger og flere lokationer indgår?
☐ Er det besluttet, om øvelsen er skjult eller åben?
☐ Er det beskrevet, hvad der skal leveres bagefter?
☐ Er jeres egen indsats og opfølgning medregnet? → Valg af leverandør til red teaming

Senest gennemgået: oktober 2026.