Opfølgning: vis, at læringen fra øvelsen er brugt

Et halvt år efter en red team-øvelse er spørgsmålet ikke længere, hvad holdet fandt, men hvad organisationen har gjort ved det. Svaret hviler på tre ting, der skal være på plads, inden opmærksomheden forsvinder: en ejer pr. punkt, en fælles status, som alle bruger på samme måde, og dokumentation, der viser både beslutninger og virkning.

Opfølgningen er det, der adskiller en øvelse, der gav læring, fra en øvelse, der gav en rapport. Den kræver ikke meget, men den kræver, at den er planlagt fra begyndelsen.

Hvorfor opfølgningen er det, der tæller

Under øvelsen og i ugerne efter er der opmærksomhed. Ledelsen har hørt resultatet, blue team har været til replay, og handlingsplanen er skrevet. Derefter går hverdagen i gang igen, og punkterne konkurrerer med projekter, der har deres egne frister og sponsorer. Uden en fast opfølgning er det de lette punkter, der bliver løst, og de vigtige, der bliver liggende.

DORA kræver for finansielle virksomheder, der ikke er mikrovirksomheder, procedurer og politikker for at prioritere, klassificere og afhjælpe de problemer, test afdækker, og interne valideringsmetoder, der sikrer, at svaghederne afhjælpes fuldt ud. Kravet gælder testprogrammet generelt, men det beskriver præcis det, opfølgningen efter en øvelse skal kunne. → Handlingsplan efter red teaming

Hvad der skal kunne vises

Opfølgningen skal kunne svare på fire spørgsmål for hvert punkt i planen:

Hvem ejer det · en funktion med en navngiven ansvarlig.
Hvor står det · en status, der betyder det samme for alle.
Hvad er besluttet · også når beslutningen er at vente eller acceptere.
Hvordan ved vi, at det virker · dokumentation for kontrol, ikke kun for gennemførelse.

Det fjerde spørgsmål er det letteste at lade stå tomt, fordi gennemførelse er lettere at melde end virkning. → Genafprøvning efter red teaming

En status med få trin

En status, hvor hver ejer bruger sine egne ord, kan ikke lægges sammen. Aftal derfor nogle få faste trin, og definer dem skriftligt:

Ikke påbegyndt · punktet har ejer og frist, men arbejdet er ikke startet.
I gang · arbejdet er startet, og en forventet afslutning er kendt.
Gennemført · ejeren melder tiltaget udført.
Kontrolleret · det er vist, at tiltaget virker efter hensigten.
Accepteret · punktet løses ikke nu, og en person med mandat har accepteret risikoen.
Bortfaldet · punktet er ikke længere relevant, med en skriftlig begrundelse.

Skellet mellem gennemført og kontrolleret er det vigtigste. Et punkt bør først lukkes, når det er kontrolleret, accepteret eller bortfaldet. Punkter, der accepteres, flyttes til risikostyringen, så de ikke forsvinder ud af syne. → Fra øvelse til risikoregister

Rytmen

Opfølgningen holdes bedst i live, når den bliver en del af et forum, der allerede findes, fx sikkerhedsudvalget eller det faste møde mellem sikkerhedsfunktionen og IT-drift. Et særskilt projekt for øvelsens punkter kan virke rigtigt i starten, men risikerer at blive nedlagt, når projektlederen får andre opgaver.

Aftal, hvor tit status opdateres, hvem der samler den, og hvornår ledelsen hører om den. Den, der samler status, bør ikke selv eje ret mange af punkterne. Sikkerhedsfunktionen er det naturlige valg, men hvis den også ejer flere af de tunge punkter, kan en anden funktion, fx risikostyring eller intern kontrol, se på status med friske øjne. Ejerne melder; den, der samler, spørger ind, når en melding ikke hænger sammen med det, øvelsen viste. Det er også her, punkter med samme rodårsag kan ses under ét, så det bliver tydeligt, om den bagvedliggende årsag faktisk er ved at blive løst. DORA lægger for finansielle virksomheder op til, at erfaringer fra TLPT indgår i vurderingen af IKT-risici, og at højtstående IKT-personale mindst én gang om året rapporterer til ledelsesorganet om disse resultater med anbefalinger. Det er en fornuftig rytme at lægge sig op ad, også uden for de regulerede test. → Afrapportering til direktion og bestyrelse

Dokumentation, der holder over for andre

Nationalbanken skriver i implementeringsdokumentet for TIBER-DK, at de kompetente myndigheder kan følge op på resultaterne og udbedringsplanen, men at det bør ske i den rette ånd, fordi testen er en læringsøvelse og et øjebliksbillede af bestemte scenarier. Samme dokument nævner, at Nationalbankens TIBER Cyber Team ikke følger op på planen efter testen. Ansvaret ligger hos organisationen.

For alle øvelser gælder, at revision, tilsyn, ledelse og kunder kan komme til at spørge. Gem derfor for hvert punkt den beslutning, der blev truffet, hvem der traf den, og det, der viser virkningen. Det kan være en kort note fra en afprøvning, en bekræftelse fra en leverandør eller referatet fra den ledelsesbeslutning, der accepterede en risiko. Selve holdets rapport behøver ikke at følge med. → Red teaming og revisionen

Når planen går i stå

Punkter, der står stille, er et signal, ikke et skammens tegn. Årsagen kan være manglende ressourcer, uenighed om løsningen, en leverandør, der ikke leverer, eller at forudsætningerne har ændret sig. Spørg til årsagen, før punktet presses igen.

Nogle gange er den rigtige reaktion at ændre planen. En organisationsændring kan gøre et punkt overflødigt, og et nyt system kan løse et andet. Ændringen skal blot besluttes og noteres, så planen fortsat afspejler virkeligheden. Punkter, der har stået stille længe uden en beslutning, bør op på ledelsesniveau. Og når det er tid til den næste øvelse, er de åbne punkter et naturligt sted at begynde. → Næste øvelse

Det skal I lade være med

At lukke punkter ved gennemførelse · luk dem, når virkningen er vist.
At lade hver ejer melde status med egne ord · aftal faste trin.
At gøre opfølgningen til et projekt, der kan nedlægges · læg den i et eksisterende forum.
At lade accepterede punkter forsvinde · de hører hjemme i risikostyringen.
At presse et stillestående punkt uden at kende årsagen · nogle gange skal planen ændres.
At sende hele rapporten med som dokumentation · beslutninger og kontrol er nok.

Hvad kan og ikke kan konkluderes

En dokumenteret opfølgning viser, at organisationen har handlet på øvelsens resultat, og hvor langt den er nået. Den viser ikke, at forsvaret nu kan stå imod andre forløb, og den kan ikke erstatte en ny afprøvning. En opfølgning, hvor alle punkter er gennemført, men ingen kontrolleret, siger mest om, hvor travlt organisationen har haft. Om de rigtige punkter blev prioriteret, viser sig først i den næste øvelse og i de hændelser, der kommer.

Tjekliste til opfølgningen

☐ Har hvert punkt en ejer med navn?
☐ Er statustrinene defineret skriftligt?
☐ Lukkes punkter først efter kontrol, accept eller begrundet bortfald?
☐ Ligger opfølgningen i et forum, der allerede findes?
☐ Er det aftalt, hvornår ledelsen hører om status?
☐ Gemmes beslutning og dokumentation for virkning pr. punkt?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 24, stk. 5, om prioritering, afhjælpning og interne valideringsmetoder; artikel 13, stk. 3 og 5, om erfaringer fra TLPT i IKT-risikovurderingen og årlig rapport til ledelsesorganet.
Danmarks Nationalbank, TIBER-DK Implementation Document: fodnote 8 om myndighedernes opfølgning i læringens ånd og s. 41 om, at Nationalbankens testhold ikke følger op på udbedringsplanen.

Senest gennemgået: oktober 2026.