Planlægning af en purple team‑session

En purple team-session bliver kun så god som forberedelsen. Hvis holdet og forsvaret mødes uden fælles materiale, ender dagen som en løs snak om, hvad der kunne have været gjort. Planlægningen hviler på tre valg, der skal træffes før mødet: hvad sessionen skal svare på, hvem der skal være med, og hvordan konklusionerne bliver fastholdt. Det er white teams opgave at træffe dem og at sørge for, at alle kender dem på forhånd.

Rammerne her gælder både den session, der følger efter en skjult øvelse, og den selvstændige, åbne øvelse. Forskellen ligger i udgangspunktet, ikke i planlægningen. → Purple teaming

Start med en liste over emner

En session uden dagsorden bliver styret af den, der taler mest. Lav i stedet en liste over emner, som både holdet og forsvaret har bidraget til. Kandidaterne kan komme fra flere steder.

Steder på tidslinjen, hvor forsvaret ikke så noget · de tydeligste kandidater efter en skjult øvelse. → Tidslinjen
Observationer, der ikke blev eskaleret · noget blev set, men ikke fulgt op.
Forhold, der ikke kunne afprøves · dele af scenariet, der blev stoppet, eller som tiden ikke rakte til.
Alternative forløb · hvad kunne holdet have gjort i stedet, og ville forsvaret have set det?
Forsvarets egne ønsker · steder, hvor analytikerne selv er i tvivl om deres synlighed.

TIBER-DK lader replay-mødet slutte med en aftale om, hvilke elementer purple teaming skal omfatte. Det er en god model: emnerne vælges i fællesskab, før sessionen planlægges i detaljer. → Replay

Gør hvert emne til et spørgsmål

Et emne som “bevægelse mellem systemer” er for bredt til en session. Omskriv hvert emne til et spørgsmål, der kan besvares inden for dagen. Eksempler på formen:

Kan forsvaret se, når en almindelig konto pludselig bruges fra et usædvanligt sted?
Hvem beslutter, om en mistænkelig aktivitet i økonomisystemet skal stoppes uden for arbejdstid?
Når en alarm lukkes som falsk, hvem kontrollerer så vurderingen?

Prioritér spørgsmålene, før dagen begynder. Tiden rækker ikke nødvendigvis til dem alle, og det er bedre at nå de vigtigste grundigt end at nå alle overfladisk. Spørgsmål, der ikke når at blive behandlet, noteres og kan tages op i en senere, mindre session. Spørgsmålene giver dagen retning, og de gør det let at notere svaret bagefter. De beskriver, hvad der skal undersøges, men ikke hvordan holdet skal udføre noget. Den del aftales mellem holdet og white team i forberedelsen og hører ikke hjemme i dagsordenen, der deles bredt.

Deltagerne og deres roller

Hvem der deltager, er et valg med betydning for både udbytte og stemning.

White team · leder sessionen, holder tiden og noterer konklusioner. → White team
Holdet · de personer, der gennemførte forløbet og kan forklare, hvad de gjorde og hvorfor.
Analytikere og vagthavende · dem, der ser alarmerne og træffer de første beslutninger.
Systemejere og drift · dem, der kan ændre opsætning og logning, og som kender systemernes normale adfærd.
Overvågningsleverandør · hvis forsvaret delvis ligger hos en leverandør, skal dens folk være med i de emner, der angår dem.

Sessionen bliver tung, hvis alle er med hele tiden. Del dagen op efter emner, og indkald kun dem, der har noget at bidrage med til det enkelte emne. TIBER-DK beskriver purple teaming som et fysisk møde af en til to dages varighed med kontrolteam, blue team, holdet og testlederne. Formatet er rammens for de regulerede test og kan tilpasses i en frivillig øvelse.

Materiale, der skal være klar

Forberedelsen kræver materiale, som skal være indsamlet og godkendt, før sessionen begynder.

Holdets rapport og logbog · så forløbet kan følges trin for trin.
Forsvarets rapport og data · alarmer, sager og beslutninger i perioden. → Blue team-rapporten
Den fælles tidslinje · samlet og gennemgået af begge hold.
Et testmiljø eller en aftale om produktion · hvis handlinger skal afprøves igen under sessionen, skal det være aftalt, hvor og med hvilke stopregler.

Den sidste del kræver omtanke. At gentage handlinger i produktion under en purple-session er stadig en del af øvelsen og skal følge de samme rammer og tilladelser som den aktive test. → Stopregler

Referatet: konklusioner, ikke diskussioner

Nationalbankens implementeringsdokument for TIBER-DK skriver, at kun konklusionerne fra purple teaming-mødet skal noteres. Det er en fornuftig regel uden for de regulerede test. Deltagerne skal kunne sige, at de overså noget, uden at det står ordret i et dokument, der bliver læst af ledelsen.

For hvert emne er det nok at notere spørgsmålet, svaret, de forbedringer, der blev aftalt, og hvem der ejer dem. Hvis noget blev afprøvet igen under sessionen, noteres resultatet. Det, der ikke blev afklaret, noteres som åbent med en ejer. → Hvad skal skrives ned i purple teaming?

Efter sessionen

Konklusionerne skal føres over i handlingsplanen inden for en kort periode. Ellers bliver de en liste i et referat, som ingen åbner igen. Udpeg den person i white team, der står for overførslen, og aftal, hvornår ejerne af forbedringerne melder status.

Send også en kort tak og et overblik til alle deltagere. Det kan lyde som en ren formalitet, men det markerer tydeligt, at sessionen var et samarbejde og ikke en eksamen. Analytikere, der har stået frem med egne fejl, skal kunne se, at det førte til ændringer og ikke til kritik. Den oplevelse afgør, hvor åbne de er ved næste session. → Handlingsplanen efter red teaming

Det skal I lade være med

At planlægge dagen uden fælles emneliste · så styrer den, der taler mest.
At skrive brede emner · formuler konkrete spørgsmål, der kan besvares.
At indkalde alle til hele dagen · del op efter emner.
At gentage handlinger uden rammer · en purple-session er stadig en del af øvelsen.
At referere diskussionen ordret · noter konklusioner, ejere og åbne punkter.
At lade referatet stå alene · overfør det til handlingsplanen.

Hvad kan og ikke kan konkluderes

En velplanlagt session kan give en liste over forbedringer, som forsvaret selv har været med til at formulere, og et billede af, hvilke af dem der virker i et kontrolleret forsøg. Den kan ikke dokumentere, at forsvaret reagerer anderledes, når det ikke ved besked. Det kræver en senere, skjult afprøvning.

Tjekliste til planlægningen

☐ Er emnelisten aftalt med både holdet og forsvaret?
☐ Er hvert emne formuleret som et konkret spørgsmål?
☐ Er deltagerne fordelt på emner, så ingen sidder unødigt med?
☐ Er materialet samlet, og er tidslinjen godkendt af begge hold?
☐ Er det aftalt, om noget må afprøves igen, og under hvilke rammer?
☐ Er det besluttet, hvem der skriver referatet og fører det videre?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: replay slutter med aftale om elementer til purple teaming; purple teaming-mødets deltagere, form og varighed, og at kun konklusioner noteres.

Senest gennemgået: oktober 2026.