Overvågning uden for arbejdstid: hvad øvelsen kan vise

Nogle organisationer har et forsvar, der fungerer godt mellem ni og fire, og et andet, tyndere forsvar resten af døgnet. Om natten, i weekenden og i ferier er der færre øjne, længere til beslutningstagerne og måske en leverandør, der skal ringe til en vagthavende, som skal ringe videre. En red team-øvelse, der kun foregår i dagtimerne, måler kun dagholdet. At lægge dele af forløbet uden for arbejdstid hviler på et klart formål: at se, om alarmer når frem, om den vagthavende har mandat, og om beslutninger kan træffes, når organisationen er tyndest bemandet. Det kræver til gengæld ekstra omtanke om risiko, white teams rådighed og medarbejderne.

Hvorfor tidspunktet betyder noget

En modstander vælger ikke nødvendigvis de tidspunkter, hvor organisationen er bedst forberedt. Hvis organisationens trusselsbillede peger på modstandere, der udnytter perioder med lav bemanding, er det et oplagt spørgsmål til øvelsen. → Scenarievalg

Uden for arbejdstid ændrer forsvaret karakter på flere måder:

Bemanding · færre i SOC’en eller ingen, og en vagthavende, der også har andre opgaver.
Leverandører · overvågningen kan ligge hos en leverandør med en anden serviceaftale om natten.
Beslutningsvej · de personer, der har mandat til at lukke en tjeneste, er ikke på arbejde.
Kendskab · den vagthavende kender måske ikke de systemer, der er ramt, lige så godt som dagholdet.

Hver af dem er en mulig svaghed, som en øvelse i dagtimerne aldrig får at se. Det samme gælder overgangene, fx når dagholdet går hjem, og ansvaret skal gives videre.

Hvad øvelsen kan afprøve

En øvelse med aktivitet uden for arbejdstid kan belyse en række konkrete spørgsmål om organisationens vagtordning.

Når alarmen frem? · bliver en alarm om natten set af nogen, eller venter den til morgenen?
Når den rigtige person? · kan vagthavende kontaktes, og svarer vedkommende inden for den tid, der er aftalt?
Har vagthavende mandat? · må den vagthavende isolere et system eller spærre en konto uden at vække en leder?
Når eskaleringen ledelsen? · findes der en vej til en beslutningstager, når det er nødvendigt?
Holder leverandøren sin aftale? · reagerer overvågningsleverandøren som beskrevet i kontrakten? → SOC-leverandøren og øvelsen

Svarene kan i nogle tilfælde ses direkte på den fælles tidslinje. Afstanden mellem en alarm klokken tre om natten og den første handling klokken otte er et af de tydeligste fund, en øvelse kan give. → Tidslinjen for red og blue team

White team skal også være på vagt

Hvis holdet er aktivt om natten, skal white team kunne nås om natten. Det er ikke en formalitet. Forsvaret kan eskalere, og nogen skal kunne afklare, om aktiviteten er øvelsen, før den vagthavende tager vidtgående skridt. → Øvelse eller rigtigt angreb?

Aftal en vagtplan for white team, der dækker de tidsrum, hvor holdet arbejder, med navngivne personer og stedfortrædere. Aftal også, at holdet kun er aktivt uden for arbejdstid i tidsrum, der er meddelt white team på forhånd. På den måde ved white team altid, hvornår det skal være klar.

Risikoen er større om natten

Med færre folk på arbejde er der også færre til at rette op, hvis noget går galt. Et system, der falder ud om natten på grund af holdets aktivitet, kan være længere om at komme op igen, og en reaktion fra en vagthavende, der ikke kender systemet, kan gøre skaden større. → Risikovurdering af selve øvelsen

Overvej derfor, hvilke dele af forløbet der egner sig til at ligge uden for arbejdstid. Aktiviteter, der kan påvirke produktionen, bør som udgangspunkt ligge, hvor der er folk til at håndtere følgerne. Stopreglerne skal gælde døgnet rundt, og det skal være klart, hvem der kan træffe beslutning om at stoppe. → Stopregler

Medarbejderne i vagtordningen

En øvelse om natten berører de medarbejdere, der har vagt. De kan blive vækket, arbejde i timevis og involvere andre på en hændelse, der viser sig at være planlagt. Det kan påvirke deres hvile, deres næste arbejdsdag og deres tillid til organisationen.

Hvordan en sådan indsats håndteres i forhold til vagtordning, arbejdstid, hvileperioder og eventuel betaling, afhænger af ansættelsesvilkår og aftaler. Det er en konkret vurdering for HR og om nødvendigt for den juridiske funktion, og den bør foretages, før øvelsen godkendes. Inddrag også overvejelsen om, hvordan de vagthavendes indsats anerkendes, når øvelsen afsløres. → HR, tillidsrepræsentanter og samarbejdsudvalg

Leverandørens nat er en anden end jeres

Hvis overvågningen ligger hos en leverandør, er det leverandørens nattevagt, der bliver afprøvet, og den kan være organiseret helt anderledes end om dagen. Et fælles vagthold kan dække mange kunder, og reaktionen kan være begrænset til at sende en besked og vente på svar.

Læs serviceaftalen, før øvelsen planlægges. Hvad har leverandøren lovet at gøre uden for arbejdstid, hvem skal den kontakte, og hvad må den selv gøre? Når øvelsen er slut, kan forløbet holdes op mod aftalen. Det giver et konkret grundlag for at drøfte, om aftalen passer til organisationens behov, eller om forventningerne har været større end det, der faktisk er købt.

Fra fund til en bedre vagtordning

Fundene fra en øvelse uden for arbejdstid handler ikke nødvendigvis om teknik. De kan handle om, hvem der har vagt, hvad de må, hvem de kan ringe til, og hvad leverandøren har påtaget sig. Rettelserne er derfor også organisatoriske: et tydeligere mandat til den vagthavende, en opdateret kontaktliste, en ændret serviceaftale eller en beslutning om, at visse systemer skal have en dækning døgnet rundt.

Nogle fund kræver ressourcer, som ledelsen skal tage stilling til. Andre kan løses med en beslutning. Skriv dem ind i handlingsplanen med en ejer på samme måde som de tekniske fund. → Handlingsplan efter red teaming

Det skal I lade være med

At lægge hele øvelsen i dagtimerne og konkludere på hele døgnet · dagholdet er ikke nathold.
At lade holdet arbejde om natten uden en white team-vagtplan · eskaleringer skal kunne afklares.
At lægge risikable aktiviteter, hvor ingen kan rette op · produktionen kræver folk til stede.
At glemme leverandørens natlige serviceaftale · den kan være en anden end om dagen.
At overse de vagthavendes vilkår · arbejdstid og hvile er et spørgsmål for HR.
At vælge ferier eller helligdage uden at tage stilling til det · resultatet siger så mest om undtagelsen.

Hvad kan og ikke kan konkluderes

En øvelse uden for arbejdstid kan vise, om alarmer, eskalering og beslutninger fungerede i de tidsrum, hvor holdet var aktivt, og med den bemanding, der var på vagt. Den kan ikke vise, hvordan forsvaret klarer sig på alle andre tidspunkter, og den siger intet om den enkelte vagthavendes dygtighed. Fundene handler om vagtordningen, aftalerne og mandatet, ikke om personer.

Senest gennemgået: oktober 2026.