Purple teaming med SOC‑leverandøren

Når overvågningen ligger hos en ekstern SOC, sidder halvdelen af forsvaret uden for organisationen. Purple teaming, hvor angribere og forsvarere arbejder åbent sammen, kan kun lykkes, hvis leverandørens analytikere er i rummet, har tid til det og må ændre noget bagefter. Udbyttet hviler derfor mindre på selve sessionen end på det, der er aftalt med leverandøren, før den begynder.

Det korte svar på, hvordan I får udbytte af purple teaming med en SOC-leverandør, er: aftal deltagelse, adgang og ejerskab til resultaterne skriftligt, og mål udbyttet på de ændringer, leverandøren faktisk gennemfører i jeres overvågning.

Leverandøren er en del af forsvaret

De tekniske reguleringsstandarder for TLPT, Kommissionens delegerede forordning (EU) 2025/1190, definerer det blå team som personalet hos den finansielle enhed og, hvor det er relevant, hos dens tredjepartsudbydere, der forsvarer systemerne. Blåt team-opgaver omfatter ifølge samme definitioner bl.a. sikkerhedsoperationscentret, helpdesk og hændelseshåndtering. Forordningen gælder kun de regulerede test, men tanken passer også uden for dem: den SOC, I betaler for, er en del af jeres blue team.

Det har en praktisk konsekvens. Hvis purple teaming kun omfatter jeres egne medarbejdere, mens detektionsreglerne, alarmerne og eskaleringen ligger hos leverandøren, afprøver I ikke det forsvar, I faktisk har. → Blue team

Hvad kontrakten skal sige

En almindelig SOC-aftale beskriver overvågning, svartider og rapportering. Den beskriver ikke nødvendigvis deltagelse i fælles øvelser. Før den første session bør disse punkter være afklaret, enten i hovedaftalen eller i et tillæg:

Deltagelse · hvilke roller hos leverandøren der deltager, fx analytikere og den, der vedligeholder detektionsreglerne.
Tid og omfang · om sessionerne er indeholdt i aftalen, eller om de afregnes særskilt.
Ændringer bagefter · om leverandøren forpligter sig til at justere regler og arbejdsgange ud fra resultatet, og inden for hvilken ramme.
Adgang til data · hvilke logs, alarmer og sager I kan se under og efter sessionen.
Fortrolighed · hvordan resultater om jeres miljø og om leverandørens platform behandles.
Underleverandører · om dele af overvågningen ligger hos endnu en part, som også skal med.

Tag punkterne med til næste forhandling, hvis de ikke står i den nuværende aftale. → SOC-leverandøren og øvelsen

Før den første session

En fælles session med en ekstern part kræver mere forberedelse end en intern. Leverandøren skal vide, hvad sessionen skal besvare, hvilke dele af jeres miljø der er i spil, og hvilke handlinger holdet vil gennemføre på et overordnet niveau. Ellers risikerer I, at leverandørens analytikere bruger tiden på at forstå jeres opsætning i stedet for at drøfte, hvorfor noget blev set eller overset.

Send et kort oplæg i god tid. Det kan rumme formålet, de spørgsmål, I vil have besvaret, de systemer og logkilder, der er relevante, og de resultater fra en tidligere øvelse, som sessionen bygger på. Aftal også en fast kanal, hvor holdet og leverandøren kan tale sammen under sessionen, og hvem der kan stoppe den, hvis den påvirker overvågningen af andre dele af miljøet. Hvis I har en stor øvelse bag jer, er tidslinjen fra den et godt udgangspunkt. → Tidslinjen for red og blue team

Hvem fra leverandøren skal være med

Det er ikke nok, at leverandørens kundeansvarlige deltager. Purple teaming giver kun læring, hvis de personer, der ser alarmerne og vedligeholder reglerne, sidder med. De skal kunne svare på, hvorfor en handling blev set eller ikke set, og de skal kunne afprøve en justering, mens holdet stadig er til stede.

Overvej også leverandørens vagthold. Hvis sessionen holdes i dagtimerne med det mest erfarne personale, giver den et andet billede end den overvågning, der kører om natten. Det er ikke et argument mod sessionen, men det skal stå i notatet, så resultatet ikke overfortolkes. Overvej at lade en analytiker fra nattevagten deltage i en senere session, så læringen også når det hold, der står alene, når resten af organisationen sover.

Ejerskab til det, der bliver skabt

Under purple teaming kan der opstå nye eller ændrede detektionsregler, justerede arbejdsgange og bedre beskrivelser af, hvordan en bestemt type hændelse håndteres. Spørgsmålet er, hvem der ejer dem.

Hvis reglerne ligger i leverandørens platform, kan de være vanskelige at tage med ved et leverandørskifte. Afklar derfor, om resultaterne dokumenteres, så I selv har en beskrivelse af, hvad der blev ændret og hvorfor, uanset hvor reglerne teknisk ligger. Det gør jer mindre afhængige af én leverandør, og det giver dokumentation, når I senere skal vise, at læringen blev brugt. → Opfølgning efter øvelsen

Når leverandøren betjener flere kunder

En SOC-leverandør kan overvåge flere kunder fra samme platform og med de samme analytikere. Det har to sider. Ændringer, der laves efter jeres session, kan komme andre kunder til gode, og leverandøren kan have erfaringer, I ikke selv har. Omvendt kan leverandøren være tilbageholdende med at ændre fælles regler for én kundes skyld.

Drøft på forhånd, hvilke ændringer der kan gennemføres alene for jer, og hvilke der kræver en beslutning hos leverandøren. Notér også, hvis en anbefaling ikke kan gennemføres inden for den nuværende aftale. Den slags punkter er værdifulde, når aftalen skal fornyes eller sammenlignes med alternativer.

Udbyttet, der kan måles

Mål ikke purple teaming med SOC-leverandøren på, hvor godt sessionen føltes. Mål på det, der ændrede sig:

Nye eller ændrede detektioner · antal er mindre vigtigt end, om de dækker de huller, øvelsen viste.
Ændret eskalering · om leverandøren nu kontakter de rigtige personer hos jer i tide.
Bedre beskrivelser · om håndteringen af en hændelsestype er skrevet ned, så den ikke afhænger af én analytiker.
Efterprøvning · om ændringerne er afprøvet igen i en senere session eller øvelse. → Små, hyppige kontrolløvelser

Det skal I lade være med

At antage, at aftalen dækker fælles øvelser · læs den, og tilføj det, der mangler.
At nøjes med den kundeansvarlige · analytikerne og regelansvarlige skal deltage.
At lade resultaterne ligge alene hos leverandøren · dokumentér selv, hvad der blev ændret.
At overse underleverandører · en del af overvågningen kan ligge hos en tredje part.
At måle på stemningen · mål på ændringer i overvågning og eskalering.
At bruge sessionen som evaluering af leverandøren alene · formålet er fælles læring.

Hvad kan og ikke kan konkluderes

Purple teaming med SOC-leverandøren kan vise, hvordan leverandørens analytikere og regler håndterer bestemte handlinger i jeres miljø, og om samarbejdet om justeringer fungerer. Det kan ikke vise, hvordan leverandøren reagerer på et skjult angreb, fordi alle ved, at der øves. Resultatet er heller ikke en samlet vurdering af leverandørens kvalitet; den kræver andre kilder, fx resultater fra skjulte øvelser, rigtige hændelser og aftalens målinger.

Kilder

Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 3, 4 og 6, om det blå team inklusive tredjepartsudbydere, blåt team-opgaver som SOC og helpdesk, og purple teaming som samarbejdsbaseret testaktivitet.

Senest gennemgået: oktober 2026.