Purple teaming: red og blue i samme rum

En red team-øvelse giver to rapporter, men forbedringerne opstår først, når de to hold taler sammen. Purple teaming er navnet på den samtale, gjort til en planlagt arbejdsform: holdet, der har simuleret angrebet, og forsvaret, der skulle opdage det, arbejder sammen om at forstå, hvad der skete, og hvad der skal ændres. Den regulerede ramme for finanssektoren definerer det kort som en samarbejdsbaseret testaktivitet, der involverer både testerne og det blå team. Den definition er også et godt udgangspunkt for frivillige øvelser.

For CISO’en er purple teaming det sted, hvor øvelsens resultat bliver til konkrete ændringer i overvågning, procedurer og ansvar. Uden den fælles session bliver fundene liggende i to dokumenter, der hver især er skrevet fra én side.

Et samarbejde, ikke et hold

Ordet lyder som et fjerde hold ved siden af red, blue og white, men der er ingen faste purple-folk. Det er de samme mennesker, der skifter rolle: fra modstandere i den aktive test til samarbejdspartnere bagefter. Det kræver en tydelig markering af skiftet, så forsvaret ikke føler sig afhørt, og holdet ikke føler, at det skal forsvare sine valg. → Red team, blue team, white team og purple team

White team står for rammen. Det er white team, der indkalder, sætter dagsordenen og noterer konklusionerne, fordi det er den gruppe, der kender hele forløbet og ikke har en interesse i et bestemt udfald.

Tre måder at bruge formen på

Purple teaming kan placeres forskellige steder i et sikkerhedsprogram, og formålet skifter med placeringen.

Efter en skjult øvelse · forsvaret har mødt angrebet uden forvarsel, og purple-sessionen bruges til at gennemgå de steder, hvor det gik galt eller var tæt på.
Som selvstændig, åben øvelse · forsvaret ved besked fra start, og holdet og forsvaret afprøver sammen, om bestemte handlinger kan ses. Målet er forbedring, ikke måling af den uforberedte reaktion.
Som nødudvej under en skjult øvelse · hvis øvelsen ellers ikke kan fortsætte, kan en del af den gøres åben. I de regulerede test er det en sidste udvej, som kræver godkendelse.

Den første og den anden form er de almindelige valg for en organisation uden for de regulerede rammer. Hvilken der kommer først, afhænger af modenhed og af det spørgsmål, ledelsen vil have svar på. → Purple teaming eller red teaming?

Hvad rammerne for finanssektoren siger

I de trusselsbaserede test efter TIBER-DK og de tekniske reguleringsstandarder for TLPT er purple teaming en fast del af afslutningen. Forordningen om TLPT kræver, at kontrolteamet gennemfører et purple teaming-forløb om emner, som det blå team og testerne har identificeret i fællesskab. Grundlaget er de sårbarheder, der blev konstateret, og forhold, der ikke kunne afprøves i den aktive fase.

Nationalbankens implementeringsdokument for TIBER-DK beskriver formålet som træning af blue teams kapabiliteter og processer og som input til afhjælpningsplanen. Indholdet kan ifølge dokumentet være alternative scenarier, særlige sårbarheder, forhold der ikke kunne testes, og drøftelse af de forventede rettelser.

Det er beskrivelser af en reguleret ramme. En frivillig øvelse er ikke bundet af dem, men strukturen er nyttig at låne: først rapporterne, så gennemgangen, så purple-sessionen. → Replay

Hvem der skal være i rummet

Deltagerkredsen afgør, om sessionen bliver til forbedringer. Tre grupper er nødvendige.

Holdet · de personer, der faktisk gennemførte forløbet, ikke kun projektlederen.
Forsvaret · analytikere fra SOC, de systemejere og driftsfolk, der så eller burde have set noget, og overvågningsleverandøren, hvis den er en del af forsvaret.
White team · som ordstyrer og referent.

Ledelsen hører hjemme i den indledende gennemgang af resultaterne, men ikke nødvendigvis i den detaljerede del. Tilstedeværelsen af chefer kan gøre det sværere for en analytiker at sige, at en alarm blev lukket uden undersøgelse. Overvej derfor, hvem der deltager i hvilken del. → Purple teaming med SOC-leverandøren

Udbyttet, når det lykkes

Et vellykket purple-forløb efterlader tre ting.

En fælles forståelse · forsvaret ved, hvad holdet gjorde, og holdet ved, hvad forsvaret så.
Afprøvede forbedringer · ændringer i overvågning eller procedurer er drøftet med dem, der skal bruge dem, og nogle er afprøvet igen på stedet.
En liste over det, der mangler · forhold, der ikke kunne løses i sessionen, med ejer og næste skridt.

Det sidste punkt er det, der overlever sessionen. Det skal føres videre til handlingsplanen, så purple teaming ikke ender som en god dag uden følger. → Hvad skal skrives ned i purple teaming?

Hvad CISO’en skal beslutte

Purple teaming lykkes ikke af sig selv. Nogle beslutninger ligger hos den, der har bestilt øvelsen.

Afsæt tid i kontrakten med red team-leverandøren, så purple-sessionen ikke bliver forhandlet bagefter. Beslut, om overvågningsleverandørens folk skal deltage, og om det kræver en tillægsaftale. Aftal, at konklusionerne noteres, men at diskussionen ikke refereres ordret, så deltagerne kan tale frit. Og beslut på forhånd, hvem der ejer opfølgningen, når sessionen er slut.

Tænk også over tidspunktet. En session, der ligger tæt på afslutningen af den aktive test, har den fordel, at detaljerne stadig er friske hos begge hold, og at forsvarets data endnu ikke er slettet efter de almindelige regler for opbevaring. En session, der ligger flere måneder senere, bliver let en gennemgang af en rapport i stedet for en samtale om et forløb, som deltagerne selv husker. → Planlægning af en purple team-session

Det skal I lade være med

At kalde en undervisningsdag for purple teaming · holdet, der fortæller om teknikker uden kobling til jeres forløb, er ikke samarbejde.
At springe dokumentationen af øvelsen over · samarbejdet kræver en fælles tidslinje at arbejde ud fra.
At lade ledelsen sidde med i den detaljerede del uden at overveje det · ærligheden kan lide under det.
At glemme overvågningsleverandøren · den er en del af forsvaret og bør være med.
At lade sessionen slutte uden ejere · uden navne på opgaverne sker der ingenting.
At bruge purple teaming til at bedømme personer · formålet er at forbedre systemer og processer.

Hvad kan og ikke kan konkluderes

Purple teaming kan vise, hvordan forsvaret kan forbedres over for de handlinger, der blev gennemgået, og om ændringerne virker i et kontrolleret forsøg. Det kan ikke vise, hvordan forsvaret ville reagere uden forvarsel, fordi alle i rummet ved, hvad der skal ske. Den måling kræver en ny skjult øvelse.

Tjekliste før I bestiller

☐ Er purple-sessionen beskrevet og afsat i aftalen med leverandøren?
☐ Er det besluttet, hvilke dele af forsvaret der deltager, herunder leverandører?
☐ Ved white team, at det skal lede sessionen og notere konklusionerne?
☐ Er det aftalt, hvem der ejer opfølgningen efter sessionen?
☐ Er det besluttet, hvilke dele ledelsen deltager i?

Kilder

Kommissionens delegerede forordning (EU) 2025/1190 om TLPT: artikel 1, nr. 6 (definition af purple teaming), og artikel 12, stk. 5 (purple teaming i afslutningsfasen).
Danmarks Nationalbank, TIBER-DK Implementation Document: formål og indhold af purple teaming i afslutningsfasen og begrænset purple teaming som sidste udvej under den aktive test.

Senest gennemgået: oktober 2026.