Personer, der ikke må være mål

En red team-øvelse med social engineering eller fysisk adgang kan ramme hvem som helst, der står i receptionen, tager telefonen eller åbner en dør. Derfor skal det besluttes på forhånd, hvem holdet ikke må kontakte eller bruge som indgang. Svaret hviler på to spørgsmål: hvem kan tage skade af at blive mødt af en øvelse, og hvem har organisationen slet ikke ret til at inddrage? Listen udarbejdes af HR og white team, og holdet får kun det at vide, det har brug for til at holde sig fra personerne.

Princippet om at holde nogle uden for er nævnt i → Etik i red teaming. Her handler det om, hvem det kan dreje sig om, og hvordan listen bliver til.

Medarbejdere i en sårbar situation

Nogle medarbejdere er i en situation, hvor en henvendelse, der viser sig at være en øvelse, kan gøre mere skade end gavn. Det gælder blandt andre:

Sygemeldte og medarbejdere på vej tilbage · en henvendelse kan forstyrre en tilbagevenden, der i forvejen er skrøbelig.
Medarbejdere på orlov eller barsel · de er ikke en del af den daglige drift, øvelsen afprøver.
Medarbejdere i en personalesag eller under opsigelse · en øvelse kan let opleves som en del af sagen.
Medarbejdere med en nylig, alvorlig hændelse i livet · fx et dødsfald i familien.
Nyansatte i de første uger · de kender endnu ikke de processer, øvelsen vil afprøve.

Listen er ikke udtømmende, og den skal ikke læses som en regel om, at alle i disse grupper automatisk holdes ude. Nogle medarbejdere vil selv foretrække at blive behandlet som alle andre, og det kan der være gode grunde til at respektere. Det afgørende er, at nogen med kendskab til medarbejderne vurderer, hvem der bør skånes, og at vurderingen sker tæt på øvelsens start. → Medarbejderhensyn

Personer, organisationen ikke kan give lov for

Ledelsen kan godkende, at organisationens egne processer afprøves. Den kan ikke give lov på andres vegne. Det betyder, at følgende som udgangspunkt holdes ude:

Kunder og borgere · personer, der henvender sig til organisationen, er ikke en del af den.
Ansatte hos leverandører og andre lejere · deres arbejdsgiver skal inddrages, hvis de overhovedet skal indgå. → Servicedesken i øvelsen
Familie og pårørende · medarbejderes private relationer ligger uden for enhver tilladelse.
Besøgende og forbipasserende · personer, der tilfældigvis er i en fælles reception eller ved indgangen.

Grænsen mod de private relationer er behandlet i → Private profiler og sociale medier.

Roller, der kræver særlig stillingtagen

Nogle personer kan godt være mål, men kun efter en særskilt beslutning. Det gælder direktion og bestyrelse, hvor tilladelsen skal komme fra et højere niveau, og hvor konsekvenserne af en misforståelse kan række uden for organisationen. → Direktion og bestyrelse som mål

Det kan også gælde medarbejdere, hvis funktion gør en øvelse særlig følsom: en pressemedarbejder, der kan reagere offentligt, en medarbejder, der har kontakt til myndigheder, eller en person, der selv er en del af beredskabet. Her skal white team overveje, om personen skal være med, være informeret eller holdes helt ude.

En særlig gruppe er de medarbejdere, der allerede kender til øvelsen, fordi de er en del af white team. De kan ikke være mål på normal vis, fordi deres reaktion ikke siger noget om processerne. Hvis en af dem sidder i en funktion, scenariet går igennem, fx receptionen eller servicedesken, skal det besluttes, om holdet skal undgå personen, eller om funktionen skal afprøves på et tidspunkt, hvor andre er på arbejde. Det samme gælder, hvis en leder i en berørt afdeling er orienteret.

Sådan laves listen uden at dele personlige forhold

Holdet har brug for at vide, hvem det ikke må kontakte. Det har ikke brug for at vide hvorfor. Lav derfor listen sådan, at HR kender begrundelserne, og holdet kun får navne, funktioner eller lokationer, der er undtaget.

Det er ikke kun et spørgsmål om takt. Grunden til, at en medarbejder er undtaget, kan være en helbredsoplysning, og den type oplysninger er særligt beskyttet i databeskyttelsesforordningen. Jo færre der kender begrundelsen, jo bedre. Hvis listen er lang, kan det være mere praktisk at angive de funktioner, holdet må kontakte, frem for alle, der er undtaget. Teksten er ikke juridisk rådgivning. → Persondata i øvelsen

Listen skal stå i rules of engagement eller et bilag dertil og være kendt af alle på holdet, også dem, der kommer til undervejs. Behandl den som fortrolig: den viser, hvem organisationen beskytter, og kan i sig selv afsløre noget om enkeltpersoner, hvis den bliver læst af de forkerte. Aftal, at den slettes sammen med det øvrige materiale, når øvelsen er afsluttet.

Når listen ændrer sig undervejs

En øvelse, der løber over uger, møder en organisation, der ændrer sig. En medarbejder bliver sygemeldt, en anden bliver ansat, og en tredje kommer i en situation, ingen kunne forudse. HR skal derfor kunne melde ændringer til white team, og white team skal kunne give dem videre til holdet med det samme.

Udpeg én person i HR, der har ansvaret for at melde ændringer, og en stedfortræder til ferier og weekender. Uden en fast ansvarlig risikerer listen at blive forældet, netop når øvelsen er i sin mest aktive fase.

Aftal også, hvad holdet gør, hvis det alligevel kommer i kontakt med en person på listen. Det normale er, at henvendelsen afsluttes roligt, at white team får besked, og at personen indgår i debriefingen, hvis det giver mening. → Stopregler

Det skal I lade være med

At lade holdet lave listen · den kræver kendskab til medarbejderne, som kun HR har.
At give holdet begrundelserne · navne og funktioner er nok.
At glemme dem, organisationen ikke kan give lov for · kunder, leverandørers ansatte og familie er uden for.
At lave listen én gang · den skal holdes ajour, så længe øvelsen løber.
At behandle direktionen som alle andre · det kræver en særskilt beslutning.

Hvad kan og ikke kan konkluderes

En gennemtænkt liste mindsker risikoen for, at øvelsen skader nogen, der ikke burde være mødt af den, og den beskytter organisationen mod at handle på andres vegne. Den betyder også, at resultatet ikke siger noget om de funktioner eller personer, der er holdt ude. Det bør fremgå af rapporten i generelle termer, uden at afsløre hvem.