Purple teaming eller red teaming: hvilken øvelse først?

Når budgettet rækker til én øvelse i år, står CISO’en med et valg: skal forsvaret prøves uden forvarsel, eller skal det trænes i åbent samarbejde med holdet? Svaret afhænger af to forhold, nemlig hvor modent forsvaret er, og hvilket spørgsmål ledelsen vil have besvaret. Er forsvaret nyt eller uprøvet, kan det give mest at starte åbent. Er det etableret og har det lært af tidligere test, giver en skjult øvelse et ærligt billede af, hvor det står.

De to former udelukker ikke hinanden. Spørgsmålet er rækkefølgen, og hvad hver øvelse skal bruges til.

To spørgsmål, to former

En skjult red team-øvelse svarer på spørgsmålet: hvordan klarer forsvaret sig, når det ikke ved, at det bliver prøvet? Resultatet er en måling af opdagelse, eskalering og reaktion under realistiske forhold. → Opdagelse, eskalering og reaktion

En åben purple team-øvelse svarer på et andet spørgsmål: hvad skal der til, for at forsvaret kan se og håndtere bestemte handlinger? Resultatet er en række forbedringer, som forsvaret selv har været med til at finde og afprøve. → Purple teaming

Det første giver en status. Det andet giver fremdrift. Begge dele har værdi, men en status uden fremdrift fører til den samme rapport næste gang, og fremdrift uden status gør det svært at vide, om indsatsen virker. Når ledelsen spørger, hvilken øvelse der skal købes, er det derfor en god idé at svare med et spørgsmål: skal vi vide, hvor vi står, eller skal vi blive bedre til noget bestemt?

Tegn på, at purple teaming bør komme først

Nogle situationer peger mod den åbne form som første skridt.

Overvågningen er ny · et nyt SOC, en ny overvågningsleverandør eller en ny platform har ikke haft tid til at finde sin form.
Der findes ingen fælles tidslinje fra tidligere · forsvaret har aldrig set et forløb fra modstanderens side.
Kendte svagheder er ikke rettet · en skjult øvelse vil sandsynligvis finde det, I allerede ved.
Forsvaret er lille · få personer, der skal bære både drift og overvågning, lærer mere af at blive trænet end af at blive målt.
Organisationen er usikker på reaktionen · det er uklart, hvem der eskalerer, og hvem der beslutter.

I de tilfælde vil en skjult øvelse primært bekræfte, at forsvaret ikke er klar. Det er dyrt at få det at vide på den måde. → Er organisationen klar til red teaming?

Tegn på, at red teaming bør komme først

Andre forhold peger den modsatte vej.

Forsvaret har været igennem øvelser før · der er rettet på fund, og det er tid til at se, om det virker.
Ledelsen eller bestyrelsen spørger, hvor godt I er rustet · det spørgsmål kan kun besvares af en øvelse uden forvarsel.
Der er investeret i overvågning · værdien skal dokumenteres under forhold, der ligner virkeligheden.
Forsvaret har lært reglerne at kende · en åben øvelse risikerer at måle det, forsvaret allerede har øvet.

Her vil en purple team-øvelse give mindre ny viden end en skjult, fordi forsvaret allerede kender formen. → Spørgsmålet bag øvelsen

Et forløb over flere år

Valget behøver ikke at være enten-eller. En rækkefølge, der kan passe til flere modenhedsniveauer, ser sådan ud:

Åben øvelse · forsvaret og holdet afprøver sammen udvalgte handlinger fra jeres trusselsbillede.
Rettelser · forbedringerne gennemføres og forankres i drift og procedurer.
Skjult øvelse · forsvaret prøves uden forvarsel, gerne med et scenarie, der ikke var med i den åbne øvelse.
Purple teaming efter den skjulte øvelse · holdene gennemgår forløbet og arbejder videre med de steder, hvor forsvaret ikke så noget.

Rækkefølgen er ikke en regel. Den viser, at de to former kan skiftes, så den ene giver den anden noget at arbejde med.

Forløbet har også betydning for indkøbet. Hvis den åbne og den skjulte øvelse skal bygge på hinanden, er det en fordel, at leverandøren kender planen fra start, eller at materialet fra den første øvelse kan overdrages til den næste. Aftal derfor, hvem der ejer scenarier, tidslinjer og noter, og at de må bruges af en anden leverandør senere. Overvej også, om det er det samme hold, der skal gennemføre begge øvelser. Et hold, der har arbejdet åbent med forsvaret, kender dets vaner, og det kan gøre den skjulte øvelse mindre realistisk, end den ser ud. → Red teaming i sikkerhedsprogrammet

Uden SOC eller med et lille forsvar

Organisationer uden egen overvågning kan stadig have glæde af begge former, men forventningen skal justeres. En skjult øvelse vil sandsynligvis vise, at ingen opdager noget, og det kan være en nødvendig erkendelse for ledelsen. En åben øvelse vil vise, hvilke spor forsvaret ville kunne bruge, hvis det fandtes. Hvad der passer, afhænger af, om spørgsmålet er at dokumentere manglen eller at forberede opbygningen. → Red teaming uden eget SOC

Mellemformer

Mellem de to yderpunkter findes øvelser, hvor forsvaret ved, at der testes i en periode, men ikke hvad eller hvornår. Det giver en del af realismen og en del af samarbejdet. Mellemformen kan være et godt skridt fra den åbne til den skjulte, men den kræver, at rapporten tydeligt skriver, hvad forsvaret vidste. Ellers bliver resultatet sammenlignet med en skjult øvelse, som det ikke kan sammenlignes med. → Skjult eller åben øvelse

I de regulerede test for finanssektoren er formen fastlagt. Blue team kender ikke til testen før afslutningen, og purple teaming kommer bagefter. Det er rammens udsagn for TLPT, ikke en regel for frivillige øvelser.

Det skal I lade være med

At vælge skjult øvelse, fordi det lyder mest seriøst · formen skal passe til spørgsmålet.
At vælge åben øvelse for at undgå et dårligt resultat · ledelsen får så ikke svar på det, den spørger om.
At glemme purple-delen efter en skjult øvelse · uden den bliver læringen tynd.
At sammenligne resultater fra åbne og skjulte øvelser · de måler forskellige ting.
At planlægge én øvelse ad gangen uden plan for den næste · rækkefølgen giver mest, når den er tænkt over flere år.

Hvad kan og ikke kan konkluderes

Valget af rækkefølge kan begrundes i modenhed og formål, men der findes ingen rigtig rækkefølge for alle. En åben øvelse kan ikke bruges som bevis for, at forsvaret virker uden forvarsel. En skjult øvelse, der ender med få opdagelser, siger noget om forsvaret i dag, men ikke om, hvor hurtigt det kan forbedres.

Tjekliste før valget

☐ Hvilket spørgsmål vil ledelsen have besvaret: status eller forbedring?
☐ Har forsvaret været igennem en øvelse før, og er fundene rettet?
☐ Er overvågningen etableret, eller er den ny?
☐ Er der en plan for den næste øvelse i rækken?
☐ Er det klart, hvordan resultatet skal beskrives, så det ikke sammenlignes forkert?

Kilder

Kommissionens delegerede forordning (EU) 2025/1190 om TLPT: artikel 1, nr. 3 (blåt team uden kendskab til TLPT’en), og artikel 12, stk. 1 og 5 (blue team underrettes efter den aktive testfase; purple teaming i afslutningsfasen).

Senest gennemgået: oktober 2026.