Fund om mennesker i rapporten: processer frem for personer

En red team-rapport, der dækker social engineering eller fysisk adgang, beskriver uundgåeligt situationer, hvor en medarbejder gjorde noget, en modstander kunne udnytte. Spørgsmålet er, hvordan det skrives, så rapporten bliver brugbar uden at udstille nogen. Svaret hviler på to principper: et fund om adfærd formuleres som et fund om den proces, rolle eller kontrol, der ikke holdt, og oplysninger, der kan føre tilbage til en bestemt person, begrænses til det nødvendige og holdes ude af den udgave, der deles bredt.

Hvorfor navne ikke hører hjemme i fundene

Et navn i en rapport flytter fokus fra organisationen til den enkelte. Læseren spørger, hvem der fejlede, i stedet for hvorfor processen tillod det. Det gør det sværere at rette årsagen, og det sender et signal til resten af organisationen om, at en øvelse kan få personlige følger. Det britiske NCSC skriver i sin vejledning om phishing, at det ikke virker at give brugerne skylden, og det gælder også, når skylden står på skrift.

Der er også en databeskyttelsesside. Databeskyttelsesforordningen kræver, at personoplysninger begrænses til det nødvendige i forhold til formålet. Formålet med en red team-rapport er at forbedre forsvaret, og det kræver ikke nødvendigvis, at den enkelte medarbejder kan identificeres. Teksten er ikke juridisk rådgivning; den konkrete vurdering hører hjemme hos organisationens databeskyttelsesrådgiver. → Persondata i øvelsen

Fra person til proces

Den nyttige omskrivning er at spørge, hvad der skulle have stoppet situationen, og hvorfor det ikke gjorde det. Et par tænkte eksempler viser forskellen:

I stedet for en navngiven receptionist · besøgende uden forhåndsregistrering kunne få udleveret et adgangskort, fordi proceduren ikke krævede bekræftelse fra værten.
I stedet for en navngiven medarbejder i servicedesken · en nulstilling af adgang kunne gennemføres på baggrund af oplysninger, der var tilgængelige for andre end brugeren selv.
I stedet for en navngiven økonomimedarbejder · en betalingsanmodning blev behandlet uden en uafhængig bekræftelse ad en anden kanal.

Formuleringen peger direkte på rettelsen: en ændret procedure, en ekstra kontrol eller en klarere ansvarsfordeling. Den holder også, hvis en anden medarbejder havde stået i samme situation, og det er netop pointen. → Fra social engineering-fund til bedre processer

Roller frem for navne

Nogle gange er rollen afgørende for at forstå fundet. Det er relevant, at det var en vagt på natholdet, en ny medarbejder i servicedesken eller en assistent i direktionssekretariatet, fordi det siger noget om oplæring, bemanding eller adgangsrettigheder. Beskriv rollen, ikke personen. Hvis rollen kun bestrides af én person, så overvej at beskrive den bredere, fx som funktionen i stedet for stillingen.

Tidspunkt og sted kan være lige så afslørende som et navn. En beskrivelse af, at fundet skete ved en bestemt indgang klokken 7.40 en bestemt dag, kan være nok til, at kolleger kan regne ud, hvem det var. Brug den præcision, hvor den har betydning for fundet, og udelad den, hvor den ikke har. Det samme gælder citater fra samtaler. Et ordret citat kan være overbevisende i en præsentation, men det er også det, kolleger husker og genkender. Et referat af, hvad der blev bedt om, og hvad der blev givet, er som regel nok til at forstå fundet.

Tidslinje og bevismateriale

Den detaljerede tidslinje, holdets logbog og eventuelle billeder eller optagelser kan indeholde mere, end rapporten må. Aftal før øvelsen, hvem der får adgang til hvad. Et muligt greb er at have en kort, fortrolig tidslinje hos white team, hvor detaljerne er nødvendige for at afstemme forløbet med forsvarets egne logs, og en rapport uden personhenførbare oplysninger til den bredere kreds. → Red teamets logbog

I TIBER-DK skal red team-testplanen beskrive etiske grænser for social engineering og hvordan de involveredes privatliv beskyttes. Rammen gælder kun for de regulerede test, men tankegangen er brugbar for enhver øvelse: privatlivet er en del af planen, ikke noget, der rettes til i rapporten bagefter. → Billeder og optagelser fra fysisk adgang

Når et fund alligevel peger på en person

Der kan være situationer, hvor en enkelt persons handling er så afgørende, at den ikke kan skrives væk. Det kan være en administrator med særlige rettigheder eller et medlem af ledelsen, hvis adgang åbnede hele vejen. Også her bør fundet handle om, hvorfor én person havde den mulighed, og hvilke kontroller der manglede omkring den.

Hvis fundet giver anledning til at overveje noget i den enkeltes ansættelsesforhold, er det en sag for HR og ledelsen efter organisationens egne regler. Det bør aftales på forhånd, at red team-rapporten ikke bruges som grundlag for den slags beslutninger. → Medarbejderhensyn

Hvem læser hvilken udgave

Rapporten får flere læsere, og de har brug for forskellige detaljer. Sikkerhedsfunktionen og white team skal kunne følge forløbet skridt for skridt. Procesejerne i reception, servicedesk og økonomi skal vide, hvilken del af deres arbejdsgang der ikke holdt, og hvad der forventes ændret. Ledelsen og bestyrelsen har brug for et samlet billede af, hvor organisationen er sårbar over for henvendelser og besøg, uden enkeltsituationer.

Aftal derfor, hvilke udgaver der laves, og hvem der får dem. En kort ledelsesudgave og en udgave til procesejerne kan som regel skrives helt uden personhenførbare oplysninger. Det gør det lettere at bruge resultatet bredt, fordi ingen behøver at tøve med at dele den. → Afrapportering til ledelsen

Det skal I lade være med

At navngive medarbejdere i fundene · beskriv processen eller rollen.
At give præcise tider og steder uden grund · de kan afsløre personen lige så effektivt som et navn.
At dele logbog og billeder med samme kreds som rapporten · detaljerne hører hjemme hos white team.
At skrive fund om adfærd som karakteristik · ord som uopmærksom eller naiv siger intet om, hvad der skal rettes.
At lade rapporten blive grundlag for personalesager · aftal det modsatte før øvelsen.
At udelade gode reaktioner · medarbejdere, der meldte eller greb ind, viser, hvad der virker.

Hvad kan og ikke kan konkluderes

En rapport, der beskriver processer frem for personer, kan bruges direkte til at prioritere rettelser og kan deles bredere uden at skade tilliden. Den kan ikke sige noget om, hvor modstandsdygtig den enkelte medarbejder er, og den skal ikke forsøge det. Den viser, hvordan organisationens procedurer klarede sig i nogle få, konstruerede situationer, og den bør læses med det forbehold.