Produktionssystemer i red teaming: risiko og forholdsregler

En red team-øvelse skal vise, hvordan det rigtige forsvar reagerer på et realistisk angreb, og det rigtige forsvar findes kun i den rigtige drift. Derfor foregår øvelsen som udgangspunkt i produktionen, og spørgsmålet er ikke, om der er risiko, men hvordan den styres. Svaret hviler på tre ting: en risikovurdering af netop denne øvelse, klare grænser for, hvad holdet må gøre i systemerne, og en white team, der kan gribe ind hurtigt.

Ved en almindelig penetrationstest er valget mellem produktion og testmiljø en reel afvejning, som penetrationtest.dk beskriver for køberen. I red teaming er afvejningen en anden, fordi formålet er at måle mennesker, processer og overvågning, som kun findes i drift.

Hvorfor et testmiljø ikke kan erstatte driften

Et testmiljø kan ligne produktionen i systemer og opsætning, men det har ikke nødvendigvis den samme overvågning, de samme brugere og den samme støj. Blue team ser ikke på det på samme måde, servicedesken får ingen henvendelser om det, og ingen ledelse bliver kaldt ind, hvis noget går galt der. En øvelse i et testmiljø kan derfor måle tekniske kontroller, men ikke opdagelse, eskalering og reaktion.

Reguleringen af finanssektoren peger samme vej. DORA beskriver trusselsbaseret penetrationstest som test af kritiske eller vigtige funktioner på produktionssystemer, og Nationalbankens implementeringsdokument for TIBER-DK understreger, at testen sker i drift, og at risikostyring derfor er afgørende i hver fase. Begge dele gælder de regulerede test, men begrundelsen er den samme for frivillige øvelser. → DORA-TLPT forklaret

Hvad der kan gå galt

Risikoen ligger ikke nødvendigvis i selve indtrængningen. Den ligger i følgevirkningerne, både af holdets handlinger og af forsvarets reaktion.

Utilgængelige tjenester · en handling belaster et system, eller forsvaret isolerer et system, som forretningen er afhængig af.
Låste konti · vigtige tjenestekonti eller brugere bliver spærret, og en proces går i stå.
Ændrede data · noget bliver oprettet, flyttet eller ændret i et forretningssystem.
Eskalering ud af huset · en kunde, en leverandør eller en myndighed bliver inddraget i noget, der er en øvelse.
Efterladte adgange · adgange og ændringer, der bliver liggende efter øvelsen.

Nationalbankens dokument nævner selv eksempler af den type: at forsvarets egen procedure kan føre til nedlukning af et system, og at vigtige tjenestekonti kan blive låst. Pointen er, at blue teams korrekte reaktion også kan skabe nedetid. → Risikovurdering af selve øvelsen

Forholdsregler, der skal aftales

Forholdsreglerne skal stå i rules of engagement og være kendt af både holdet og white team, før øvelsen går i gang.

Forbudte handlinger · fx ingen sletning eller kryptering af data, ingen ændringer i forretningstransaktioner og ingen belastning af systemer.
Fredede systemer · systemer, hvor et uheld ikke kan accepteres, holdes ude eller må kun nås frem til et aftalt punkt. → Fredede områder i øvelsen
Flag i stedet for handlinger · holdet beviser, at det kunne have gjort noget, ved at hente et aftalt flag, ikke ved at gøre det.
Trinvis fremgang · holdet går et skridt ad gangen og informerer white team, før det bevæger sig ind i følsomme dele.
Tidsvinduer · aktiviteter med højere risiko lægges uden for de mest kritiske perioder for forretningen.

Det sidste skal afvejes mod realismen. En modstander tager ikke hensyn til månedsafslutningen, men en øvelse må gerne gøre det, hvis risikoen ellers bliver for stor.

Skriv også ned, hvem der har godkendt den rest af risiko, der bliver tilbage. Det er ikke holdets eller sikkerhedsfunktionens beslutning alene. Ejeren af den forretningsproces, øvelsen kan påvirke, bør have set risikovurderingen og sagt ja til den. Det giver to fordele. Ejeren kender konsekvenserne af et stop bedre end nogen andre, og hvis noget går galt, er der ingen tvivl om, at risikoen var kendt og accepteret på det rette niveau. Ejeren behøver ikke kende tidspunktet eller scenariet, kun hvilke systemer der kan blive berørt, og hvad der er gjort for at begrænse følgerne.

White teams beredskab under øvelsen

Produktionen kræver, at nogen kan træffe beslutninger hurtigt. White team skal have en kontaktperson, der kan nås i hele den periode, holdet er aktivt, og som har mandat til at sætte øvelsen på pause. Der skal også være en vej til IT-driften, som ikke afslører øvelsen for flere end nødvendigt, hvis noget skal rettes hurtigt. → Stopregler

Aftal på forhånd, hvad der sker, hvis forsvaret begynder at gribe ind på en måde, der kan skade driften. White team skal kunne vurdere, om reaktionen er en del af det, der skal måles, eller om den skal bremses, fordi konsekvensen er større end læringen. → Inddæmning under øvelsen

Leverandørernes systemer

Meget af produktionen drives af andre: driftsleverandøren, cloududbyderen eller leverandøren af et forretningssystem. Deres systemer er også produktion, måske for flere kunder end jer. Det skærper kravet til tilladelse og forsigtighed, fordi et uheld kan ramme andre organisationer. Afklar, hvad hver leverandør tillader, og om de kræver at blive varslet. → Driftsleverandører og cloududbydere i øvelsen

Når organisationen har særlige systemer

Nogle organisationer har systemer, hvor et uheld får følger uden for IT: styring af anlæg, systemer med betydning for patienters eller kunders sikkerhed eller systemer, som andre virksomheder er afhængige af. Nielco IT har erfaring fra finanssektoren, offentlige myndigheder og kritisk infrastruktur, hvor den slags hensyn fylder. Her kan det være bedst at lade øvelsen stoppe ved grænsen til systemerne og vise, at grænsen kunne nås, uden at krydse den.

Det skal I lade være med

At flytte øvelsen til et testmiljø for at undgå risiko · så måler den ikke forsvaret.
At lade risikovurderingen være leverandørens opgave alene · forretningen kender konsekvenserne bedst.
At glemme, at forsvarets reaktion også kan skabe nedetid · aftal, hvordan white team griber ind.
At tillade handlinger, der ikke kan gøres om · flag kan bevise det samme.
At starte uden en kontaktperson, der kan nås hele tiden · beslutninger kan ikke vente til næste møde.

Hvad kan og ikke kan konkluderes

En øvelse i produktionen kan vise, hvordan forsvaret reagerer under de forhold, det faktisk arbejder under. Forholdsreglerne betyder, at nogle handlinger kun er vist som mulige og ikke gennemført, og rapporten skal sige det tydeligt. Risikoen kan mindskes, men ikke fjernes, og en ledelse, der godkender øvelsen, godkender også en rest af risiko.

Tjekliste før start

☐ Er der en risikovurdering af øvelsen, som forretningen har set?
☐ Står forbudte handlinger og fredede systemer i rules of engagement?
☐ Er flag placeret, hvor en handling ellers ville være nødvendig?
☐ Kan white team nås i hele den aktive periode?
☐ Er leverandørernes krav afklaret?
☐ Er kritiske perioder for forretningen undtaget eller vurderet?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 2, om TLPT af kritiske eller vigtige funktioner på produktionssystemer.
Danmarks Nationalbank, TIBER-DK Implementation Document: test i produktionsmiljøer, risikostyring i alle faser og eksempler på risici.

Senest gennemgået: oktober 2026.