Persondata i øvelsen: hvad holdet må se, gemme og slette

Når et red team bevæger sig gennem organisationen, kommer det let forbi personoplysninger: postkasser, personalemapper, kundesager og logfiler med navne. Svaret på, hvad holdet må, hviler på to principper fra databeskyttelsesreglerne: oplysningerne skal begrænses til det nødvendige for formålet, og de må ikke opbevares længere end nødvendigt. For øvelsen betyder det, at holdet må se det, der kommer i vejen, men kun gemme det, der beviser et skridt, og at alt gemt materiale har en aftalt slettedato.

Teksten er ikke juridisk rådgivning. Den konkrete vurdering af behandlingsgrundlag og roller hører hjemme hos organisationens databeskyttelsesrådgiver eller juridiske funktion.

Hvorfor spørgsmålet er større end ved en pentest

En penetrationstest kan arbejde med testkonti og afgrænsede systemer. En red team-øvelse forsøger at nå et forretningsmål ad de veje, en modstander ville bruge, og vejen går gennem rigtige konti, rigtige filshares og rigtige samtaler. Holdet kan derfor ende med adgang til langt mere end det, der var nødvendigt for at vise, at målet blev nået.

Social engineering og fysisk adgang føjer endnu et lag til. Her opstår oplysninger om bestemte medarbejdere: hvem der svarede på en henvendelse, hvem der åbnede en dør, og hvad der blev sagt. Den slags oplysninger kan være mere følsomme for den enkelte end indholdet af en database. → Medarbejderhensyn

Se, gemme og slette er tre forskellige beslutninger

Det hjælper at skille spørgsmålet ad, fordi hver del har sin egen regel i aftalen.

At se · holdet kan ikke undgå at se oplysninger på de systemer, det får adgang til. Aftalen bør sige, at holdet ikke læser mere end nødvendigt for at forstå, hvor det er.
At gemme · kun det, der skal til for at dokumentere et skridt eller et nået flag. Et skærmbillede af en mappestruktur kan være nok; kopier af indholdet er ikke nødvendigvis påkrævet.
At dele · hvem i white team der må se materialet, og hvad der må indgå i rapporten.
At slette · hvornår holdets kopier slettes, hvem der bekræfter det, og hvad organisationen selv beholder.

Når de fire led er skrevet ned, kan white team følge op på dem undervejs og ved afslutningen. → Kontrakten om en red team-øvelse

Flag og attrap frem for rigtige data

Den mest effektive dataminimering sker i planlægningen. Hvis målet er at vise, at holdet kan nå kundedatabasen, kan white team placere et aftalt flag: en fil eller en post med et kendt indhold, som holdet skal hente for at bevise adgangen. Så behøver holdet ikke at tage rigtige kundeoplysninger med ud.

Det samme gælder scenarier om datatyveri. Spørgsmålet er, om forsvaret opdager og stopper en udtrækning, ikke om holdet kan bære mange rigtige poster ud. En mængde attrapdata af samme type og størrelse besvarer spørgsmålet uden at skabe et nyt problem. → Datatyveri som scenarie

Nogle steder kan flag ikke placeres uden at afsløre øvelsen over for de administratorer, der skal måles. Så må aftalen i stedet beskrive, hvordan holdet dokumenterer adgang uden at kopiere indholdet, fx ved at notere filnavn, placering og tidspunkt.

Oplysninger om medarbejdere

Indsamling af offentligt tilgængelige oplysninger om medarbejdere kan være en del af et scenarie, og det er her, de etiske og juridiske spørgsmål samler sig. Aftal på forhånd, hvilke kilder holdet må bruge, og hvilke der holdes ude. Private profiler og familieforhold bør som udgangspunkt holdes ude. → Private profiler og sociale medier

Overvej også, hvordan oplysninger om enkeltpersoner håndteres efter øvelsen. Rapporten bør beskrive processer og kontroller, ikke navngive dem, der blev kontaktet. Holdets rå noter kan indeholde navne, og de bør derfor have samme korte slettefrist som det øvrige materiale.

Fund, der ikke hører til øvelsen

Holdet kan støde på oplysninger, der ikke har noget med scenariet at gøre, men som er alvorlige i sig selv: en åben mappe med helbredsoplysninger, en personalesag eller tegn på, at oplysninger behandles på en måde, der ikke er i orden. Aftal en fast reaktion. Holdet stopper, noterer placeringen uden at kopiere indholdet, og giver white team besked. White team beslutter, hvem i organisationen der skal tage sagen, og om det kan vente til efter øvelsen.

Er der tale om et brud på persondatasikkerheden, gælder organisationens egne procedurer for håndtering af brud. Om og hvornår der skal anmeldes, er en vurdering for den dataansvarlige, ikke for holdet.

Opbevaring og sletning efter afslutningen

Materialet fra en red team-øvelse kan være mere følsomt end en almindelig testrapport, fordi det viser både vejen ind og oplysninger fra de systemer, holdet nåede. Aftal derfor, hvor materialet ligger under øvelsen, hvem der har adgang, og hvornår leverandørens kopier slettes. Bed om en skriftlig bekræftelse af sletningen. → Logs, optagelser og rapport fra øvelsen

Organisationen selv har brug for at beholde nok til at kunne følge op og sammenligne med senere øvelser. Det kan ske med rapporten og tidslinjen, uden de rå kopier.

Glem ikke forsvarets side. Blue team og SOC-leverandøren gemmer også materiale under en hændelse, de tror er ægte: udtræk af logs, kopier af mails og noter om de medarbejdere, der var involveret. Når øvelsen afsløres, bør white team sørge for, at det materiale bliver vurderet efter samme regler som holdets, så det ikke ligger i en sagsmappe i årevis.

Det skal I lade være med

At lade persondata være et punkt efter kontrakten · det skal med i planlægningen, mens scenarierne formes.
At bruge rigtige data som bevis, når et flag kan gøre det · attrapper besvarer det samme spørgsmål.
At give holdet frit valg af kilder om medarbejdere · aftal, hvad der er inden for og uden for rammen.
At lade rå noter leve videre · de kan indeholde navne og skal slettes som det øvrige materiale.
At overlade vurderingen af et databrud til holdet · den ligger hos den dataansvarlige.
At acceptere en mundtlig besked om sletning · få den skriftligt.

Hvad kan og ikke kan konkluderes

En øvelse med klare regler for persondata kan give fuld læring om forsvaret uden at efterlade nye risici i form af kopier og noter. Reglerne kan ikke fjerne, at holdet ser oplysninger undervejs; de kan kun begrænse, hvad der bliver gemt og delt. Om behandlingen i den konkrete øvelse er lovlig, kræver en juridisk vurdering, som ikke kan foretages generelt.

Tjekliste før start

☐ Er databeskyttelsesrådgiveren eller den juridiske funktion inddraget?
☐ Er det aftalt, hvad holdet må gemme som dokumentation?
☐ Er der placeret flag eller attrapdata, hvor det er muligt?
☐ Er kilder til oplysninger om medarbejdere afgrænset?
☐ Er der en fast reaktion på fund uden for scenariet?
☐ Er slettefrist og skriftlig bekræftelse aftalt?

Kilder

Forordning (EU) 2016/679 (databeskyttelsesforordningen): artikel 5, stk. 1, litra c og e, om dataminimering og opbevaringsbegrænsning.
Datatilsynet: den centrale uafhængige myndighed, der fører tilsyn med reglerne om databeskyttelse, med vejledning om grundlæggende begreber.

Senest gennemgået: oktober 2026.