Purple teaming i TIBER‑DK og TLPT

I en trusselsbaseret red team-test efter TIBER-DK eller DORA optræder purple teaming på to helt forskellige tidspunkter og med to forskellige formål. Under den aktive test er det en nødløsning, der kun må bruges, når intet andet virker. I afslutningsfasen er det en fast og planlagt del af læringen. Forklaringen bygger på de tekniske reguleringsstandarder for TLPT, Kommissionens delegerede forordning (EU) 2025/1190, og på Nationalbankens implementeringsdokument for TIBER-DK, version 4.1.

Kort fortalt definerer standarderne purple teaming som en samarbejdsbaseret testaktivitet, der involverer både testerne og blue team. Det begrænsede forløb under testen kræver myndighedens forudgående validering og tæller med i de mindst tolv ugers aktiv test. Forløbet i afslutningen skal gennemføres sammen med replay, senest ti uger efter den aktive test. Gennemgangen forklarer reglerne og er ikke juridisk rådgivning.

Hvorfor purple teaming har to roller

Hele idéen med en TIBER-test er, at forsvaret ikke ved, at det bliver testet. Purple teaming bryder bevidst den hemmelighed, fordi testerne og blue team arbejder sammen. Under den aktive test er det derfor en undtagelse, der ødelægger en del af realismen. Efter testen er hemmeligheden ophævet alligevel, og så er samarbejdet den mest direkte vej til at omsætte fundene til bedre forsvar.

Forskellen kan vises med et tænkt forløb. Hvis en ægte hændelse eller en risiko for driften tvinger kontrolteamet til at standse testen midt i et scenarie, og en udskydelse ikke er en farbar vej, kan et begrænset forløb med myndighedens validering lade testerne og forsvaret afprøve resten af scenariet åbent. Hvis testen derimod gennemføres som planlagt, venter samarbejdet til afslutningen, hvor alle kender forløbet og kan gå i dybden med det. Den generelle forskel på purple og red teaming er beskrevet for sig. → Purple teaming

Begrænset purple teaming under den aktive test

Efter standardernes artikel 11, stk. 10, kan kontrolteamet under ekstraordinære omstændigheder, der giver risiko for data, aktiver eller kritiske funktioner, suspendere testen. Som sidste udvej, hvis testen ikke kan videreføres på anden måde, og med myndighedens forudgående validering, kan den i stedet fortsætte som et begrænset purple teaming-forløb. Varigheden tæller med i minimumsperioden på tolv uger.

Betragtning 23 nævner tre former, et sådant forløb kan have:

Catch and release · testerne fortsætter et scenarie, bliver opdaget og genoptager derefter testen.
War gaming · mere komplekse scenarier, der afprøver strategisk beslutningstagning.
Fælles proof of concept · testere og blue team validerer sammen bestemte sikkerhedsforanstaltninger i et kontrolleret miljø.

Nationalbankens dokument tilføjer, at forløbet så vidt muligt skal holdes inden for det relevante scenarie, så testen ikke påvirkes som helhed. Beslutningen skal forudgås af en grundig overvejelse af alternativer, fx om det er bedre at udskyde resten af testen. Nationalbankens TIBER Cyber Team vurderer hvert tilfælde i dialog med kontrolteamet og testerne. → Når blue team opdager holdet

Bruges purple teaming under testen, skal det fremgå af den sammenfattende rapport sammen med betingelserne for det, efter bilag VII, litra i.

Purple teaming i afslutningsfasen

Efter artikel 12, stk. 5, skal blue team og testerne senest ti uger efter den aktive test gennemspille de offensive og defensive tiltag fra testen. Kontrolteamet skal også gennemføre et purple teaming-forløb om emner, som blue team og testerne har udpeget sammen, baseret på de sårbarheder, testen fandt, og hvor det er relevant forhold, der ikke kunne testes. Blå teams rapport skal efter bilag VI indeholde en liste over emner til purple teaming. → Replay

Betragtning 24 nævner som mulige metoder drøftelse af alternative angrebsscenarier, afprøvning af alternative scenarier i live-systemer og fornyet afprøvning af planlagte scenarier, som testerne ikke nåede at gennemføre.

Sådan beskriver TIBER-DK forløbet

I TIBER-DK er purple teaming-øvelsen et fysisk møde på en til to dage med kontrolteam, blue team, testere og Nationalbankens team. Testerne forbereder aktiviteterne sammen med kontrolteamet og blue team. Øvelsen kan ifølge dokumentet dække:

Utestede forhold · relevante emner, der ikke kunne afprøves under den aktive test.
Sårbarheder · bestemte svagheder, testen fandt.
Alternative scenarier · andre forløb og deres mulige konsekvenser.
Proof of concept · fælles afprøvning af en konkret antagelse.
Afhjælpning · drøftelse af de planlagte tiltag med testerne.
Beredskab · øvelser i forretningskontinuitet.

Formålet er at udforske udfordringer med beskyttelse, opdagelse og reaktion, vurdere processer og overvågning og styrke blue teams evner. Kontrolteamet noterer kun konklusioner, herunder beslutninger om opfølgning, og de går videre til afhjælpningsplanen og den sammenfattende rapport. → Opsummering, afhjælpningsplan og attestation

Allerede under den aktive test forberedes øvelsen. På de ugentlige statusmøder præsenterer testerne kandidater til purple teaming og udskudte aktiviteter, så listen vokser gennem hele testen.

Feedback efter øvelsen

Når replay og purple teaming er afsluttet, skal kontrolteamet, blue team, testerne og efterretningsleverandøren efter artikel 12, stk. 6, give hinanden feedback om processen, og testlederne kan give feedback. I TIBER-DK sker det gennem en 360 graders feedbackrapport og et fysisk møde mellem kontrolteamet, testerne, efterretningsleverandøren og Nationalbankens team.

Ifølge dokumentet kan Nationalbankens team dele resultatet af feedbacken anonymt med det europæiske videncenter for TIBER, så erfaringerne kan forbedre rammen. For CISO’en er feedbacken også en anledning til at vurdere, om purple teaming gav den læring, blue team havde brug for, og hvad der skal gøres anderledes næste gang. → Feedback mellem holdene

Hvad CISO’en skal sørge for

☐ Kriterier · aftal med kontrolteamet, hvornår et begrænset forløb overhovedet kan komme på tale, før testen begynder.
☐ Kandidatliste · sørg for, at emner til purple teaming bliver noteret løbende og ikke først efter testen.
☐ Deltagere · udpeg de personer fra blue team, SOC-leverandør og drift, der har mest at lære.
☐ Tid · sæt dagene af i god tid, så øvelsen ligger inden for ti uger efter den aktive test.
☐ Opfølgning · knyt hver konklusion til et tiltag i afhjælpningsplanen.

Hvad der skal skrives ned i en purple team-session, er beskrevet for sig. → Hvad skal skrives ned i purple teaming?

Det skal I lade være med

At ty til purple teaming under testen for at spare tid · det er en sidste udvej med myndighedens validering.
At gøre afslutningens purple teaming til en præsentation · den skal være en fælles afprøvning.
At vælge emner uden blue team · emnerne skal udpeges i fællesskab.
At lade konklusionerne stå alene · de skal ind i afhjælpningsplanen.

Hvad kan og ikke kan konkluderes

Reglerne gør purple teaming til et fast element i afslutningen af enhver TIBER-DK-test og en snæver undtagelse under selve testen. De siger ikke, hvordan en frivillig purple team-øvelse skal tilrettelægges, og en frivillig øvelse bliver ikke en del af TLPT, fordi den låner formen. Fasernes samlede rækkefølge er beskrevet særskilt. → Faserne i en TIBER-DK-test

Kilder

Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 6, om definitionen, artikel 11, stk. 5 og 10, artikel 12, stk. 5 og 6, om replay, purple teaming og feedback, bilag VI, nr. 6, bilag VII, litra i, og betragtning 23 og 24.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: begrænset purple teaming under den aktive test (s. 33), kandidater på statusmøder (s. 33 og 34), purple teaming-øvelsen (s. 39 og 40), 360 graders feedback (s. 42).

Senest gennemgået: oktober 2026.