Private profiler og sociale medier: grænsen for øvelsen

En virkelig modstander skelner ikke mellem det, en organisation selv offentliggør, og det, medarbejderne deler privat. En red team-øvelse skal gøre det, også selv om resultatet derved bliver lidt mindre realistisk. Svaret på, hvor grænsen går, hviler på et enkelt princip: organisationen kan give lov til, at dens egne oplysninger og processer indgår, men den kan ikke give lov til, at medarbejdernes private liv bliver en del af en øvelse. Det, der ligger imellem, fx en medarbejders faglige profil med arbejdsgiverens navn, skal der tages stilling til på forhånd.

Det er en beslutning, der let bliver glemt, fordi den angår forberedelsen og ikke selve øvelsen. Men det er netop i forberedelsen, holdet samler det billede af organisationen, som scenariet bygger på.

Forberedelsen er en del af øvelsen

MITRE ATT&CK beskriver rekognoscering som en taktik, hvor modstanderen forsøger at indsamle oplysninger, der kan bruges til at planlægge senere handlinger. I en øvelse er det den fase, hvor holdet danner sig et billede af organisationen, før det tager den første kontakt. → MITRE ATT&CK i red teaming

For CISO’en er pointen ikke, hvordan holdet gør det, men at fasen behandler oplysninger om mennesker. Den kræver derfor de samme rammer som resten af øvelsen: et formål, en afgrænsning og en aftale om, hvad der sker med det indsamlede. Uden de rammer kan holdet ende med en mappe med oplysninger om kolleger, som ingen har besluttet, at det skulle have.

Spørg derfor leverandøren, før kontrakten underskrives, hvordan forberedelsen afgrænses, hvor det indsamlede opbevares, og hvem hos leverandøren der har adgang til det. Svaret bør passe med det, I selv skriver i rules of engagement. Hvis leverandøren plejer at arbejde bredere, end I ønsker, er det bedre at opdage det i forhandlingen end i rapporten.

Tre zoner

Det kan være nyttigt at dele oplysningerne i tre zoner og beslutte for hver, hvad holdet må:

Organisationens egne oplysninger · hjemmeside, stillingsopslag, pressemeddelelser, årsrapport og officielle profiler. Organisationen råder over dem og kan give lov til, at de indgår.
Faglige profiler · medarbejderes profiler, hvor de optræder i deres arbejdsrolle. De er offentlige, men tilhører medarbejderen. Her skal der træffes en bevidst beslutning.
Det private · private profiler, familie, fritid, private kontaktoplysninger. Det holdes ude.

Den midterste zone er den svære. Nogle organisationer vælger, at holdet må konstatere, hvilke funktioner og roller der fremgår offentligt, men ikke samle oplysninger om den enkelte eller bruge personlige detaljer i en henvendelse. Andre vælger at holde zonen helt ude. Begge valg kan begrundes. Det vigtige er, at valget er truffet, at det er begrundet, og at det er skrevet ind i rules of engagement. → Rules of engagement i red teaming

Kontakt kun via arbejdets kanaler

Ud over spørgsmålet om, hvad holdet må se, er der spørgsmålet om, hvor det må tage kontakt. Aftal, at henvendelser kun sker via kanaler, organisationen råder over: arbejdsmail, arbejdstelefon, organisationens samarbejdsværktøjer og fremmøde på arbejdspladsen. Private telefonnumre, private mailadresser og beskeder via private profiler er uden for.

Grænsen beskytter medarbejderne mod at blive mødt af en øvelse i deres fritid og mod at opleve, at arbejdsgiveren har brugt deres private liv. Den beskytter også organisationen mod at handle uden for det, den har ret til at give lov til.

Grænsen kan kollidere med realismen. Et scenarie, der bygger på en henvendelse til en privat telefon, kan virke mere sandsynligt end et, der bygger på arbejdsmailen. Hvis den angrebsvej er vigtig for jer, kan den behandles på anden vis: som en drøftelse i en bordøvelse, som en del af awareness om private kanaler eller som en antagelse i et scenarie med aftalt udgangspunkt. Så indgår risikoen i billedet, uden at nogens privatliv bliver brugt.

Oplysninger, holdet støder på

Selv med en klar afgrænsning kan holdet støde på private oplysninger, fx fordi en medarbejder har delt noget om arbejdet på en privat profil. Aftal, at den slags ikke gemmes og ikke bruges, og at holdet kun noterer det i generelle termer, hvis det har betydning for et fund. Hvis oplysningen tyder på et forhold, der bør håndteres uden for øvelsen, går den til white team og ikke videre.

Databeskyttelsesforordningen kræver, at personoplysninger indsamles til udtrykkeligt angivne formål og begrænses til det nødvendige. For øvelsen betyder det, at holdet ikke skal opbygge profiler af enkeltpersoner, og at det, der indsamles, slettes efter aftale. Den konkrete vurdering hører hjemme hos jeres databeskyttelsesrådgiver; teksten er ikke juridisk rådgivning. → Persondata i øvelsen

Når den offentlige profil er et fund

Øvelsen kan vise, at organisationen selv eller dens medarbejdere i deres arbejdsrolle deler mere, end der er brug for: detaljer om systemer i stillingsopslag, organisationsdiagrammer eller oplysninger, der gør det let at udgive sig for en kollega. Det er relevante fund, men de skal beskrives som fund om organisationens retningslinjer og ikke om den enkelte medarbejders profil.

Opfølgningen kan være retningslinjer for, hvad der deles om arbejdet, eller en gennemgang af, hvad organisationen selv offentliggør. Den bør ikke være en henvendelse til enkeltpersoner om deres private valg. Medarbejdere, der selv ønsker råd om deres profiler, kan få tilbudt det frivilligt og adskilt fra øvelsen, så ingen oplever, at øvelsen har kigget dem over skulderen. → Fra social engineering-fund til bedre processer

Det skal I lade være med

At lade forberedelsen være uden regler · rekognoscering behandler oplysninger om mennesker.
At bruge private profiler eller familie · organisationen kan ikke give lov til det.
At kontakte via private kanaler · henvendelser hører hjemme i arbejdets kanaler.
At lade den midterste zone være uafklaret · beslut, hvad holdet må med faglige profiler.
At gemme profiler af enkeltpersoner · noter funktioner og mønstre, ikke personer.
At rette fund mod den enkelte · fundene handler om retningslinjer.

Hvad kan og ikke kan konkluderes

En øvelse med klare grænser for private oplysninger kan vise, hvor meget organisationen selv afslører, og hvordan det kan bruges i et scenarie. Den kan ikke vise, hvad en modstander uden grænser ville kunne finde eller bruge. Det er en bevidst begrænsning, og den skal stå i rapporten, så ingen tror, at den private del af angrebsfladen er afprøvet.

Tjekliste før forberedelsen

☐ Er det aftalt, hvilke oplysninger holdet må bruge i hver af de tre zoner?
☐ Er private profiler, familie og private kontaktoplysninger udelukket?
☐ Sker kontakt kun via arbejdets kanaler?
☐ Er det aftalt, hvad der sker med oplysninger, holdet støder på?
☐ Er sletning af det indsamlede aftalt med en dato?
☐ Står begrænsningen i rapportens beskrivelse af øvelsen?

Kilder

MITRE ATT&CK, Reconnaissance: rekognoscering som taktikken, hvor modstanderen forsøger at indsamle oplysninger til at planlægge senere handlinger.
Forordning (EU) 2016/679 (databeskyttelsesforordningen): artikel 5, stk. 1, litra b og c, om formålsbegrænsning og dataminimering.

Senest gennemgået: oktober 2026.