Red team‑holdet: kompetencer, roller og sammensætning

Bag ordet red team står et lille hold, hvis sammensætning afgør, hvad øvelsen kan afprøve, og hvor sikkert det sker. Holdets roller hviler på øvelsens spørgsmål: Et scenarie, der kun berører cloudmiljøet, kræver andre folk end et scenarie med fysisk adgang til et lager og samtaler med servicedesken. For sikkerhedsfunktionen er det derfor ikke nok at vide, at en leverandør har et red team. I skal vide, hvem der er på holdet til netop jeres øvelse, og hvad hver person skal bidrage med.

Holdets størrelse følger ikke en fast norm. Den afhænger af scenarier, varighed og antal lokationer, og den kan ændre sig gennem øvelsen.

Hvad et red team er sat i verden for

NIST’s ordliste beskriver et red team som en gruppe, der er autoriseret og organiseret til at efterligne en mulig modstanders angreb eller udnyttelse. Formålet er at forbedre sikkerheden ved at vise følgerne af vellykkede angreb og ved at vise, hvad der virker for forsvarerne.

Den sidste del er vigtig for sammensætningen. Holdet skal ikke kun kunne komme ind. Det skal også kunne forklare, hvad det gjorde, hvad forsvaret kunne have set, og hvad der ville have gjort en forskel. Det kræver andre evner end det rent tekniske. → Holdene i øvelsen

Rollerne på holdet

Ikke alle øvelser har brug for alle roller, og én person kan dække flere. Men rollerne bør være kendt og fordelt:

Holdleder · styrer holdets arbejde, er fast kontakt til white team og tager beslutninger om stop og omveje.
Teknisk specialist · arbejder med de systemer, scenariet berører, fx identiteter, netværk eller cloud.
Efterretningsanalytiker · omsætter trusselsbilledet til scenarier og holder øje med, at holdet efterligner den aftalte modstander.
Social engineering · planlægger og udfører den del, der involverer mennesker, inden for de aftalte hensyn.
Fysisk adgang · står for den del, der foregår i bygninger, og kender de aftaler, der gælder på stedet.
Dokumentation og rapport · sørger for, at alle handlinger logges, og at forløbet kan genskabes i en tidslinje.

Holdlederen er den vigtigste rolle for jer som bestiller. Det er den person, white team taler med dagligt, og som skal kunne sige nej til holdets egne idéer, hvis de går ud over reglerne. → Lederen af white team

Kompetencer ud over det tekniske

Faglig dybde er en forudsætning, men ikke det eneste. Et red team arbejder i jeres drift, eventuelt i skjul, og nogle gange tæt på medarbejdere. Det stiller krav til egenskaber, som ikke står på et certifikat:

Disciplin · holdet holder sig til reglerne, også når en genvej ser fristende ud.
Dømmekraft · holdet vurderer selv, når noget ser ud til at kunne påvirke driften, og stopper i tide.
Dokumentation · alt, der sker, skrives ned, så det kan bruges i rapporten og i en gennemgang med blue team.
Formidling · resultatet skal kunne forklares for både teknikere og direktion.
Respekt for mennesker · ingen medarbejder skal føle sig udstillet bagefter.

I finanssektoren stiller DORA, forordning (EU) 2022/2554, i artikel 27 krav om, at testere ved trusselsbaserede penetrationstest har kompetencer inden for trusselsefterretning, penetrationstest og red teaming. Kravet gælder kun den regulerede test, men de tre områder er også en nyttig målestok for, hvad et hold samlet bør dække ved andre øvelser.

Sammensætningen skal passe til scenariet

Når scenarierne er valgt, kan I spørge leverandøren, hvem der dækker hver del. Hvis et scenarie går gennem en leverandørforbindelse til et bestemt forretningssystem, skal nogen på holdet kende den type system. Hvis et andet scenarie kræver adgang til en bygning, skal nogen have erfaring med netop den slags opgaver og med de tilladelser, der hører til.

Ved større opgaver kan en leverandør trække på flere folk end dem, der er fast ansat. Det gælder også Nielco IT, hvor holdet til en stor øvelse kan suppleres med tilknyttede konsulenter, der arbejder i firmaets regi. Uanset leverandør bør I vide, hvem de tilknyttede er, og hvilke aftaler om fortrolighed og ansvar der gælder for dem. → Tilknyttede konsulenter

Kontinuitet og uafhængighed

Det er en fordel, at de samme personer følger øvelsen fra planlægning til rapport. Skift undervejs kan betyde, at viden om aftaler og forløb går tabt. Aftal derfor, hvordan holdet sammensættes, og hvad der sker, hvis en person må trække sig.

Uafhængighed er det andet hensyn. Hvis den samme leverandør også står for jeres overvågning eller har rådgivet om de løsninger, der afprøves, kan det påvirke, hvor skarpt resultaterne formuleres. Det udelukker ikke samarbejdet, men det skal være kendt og håndteret. Et internt hold har samme udfordring i forhold til kolleger. → Eget red team

Det, I bør vide om personerne

Holdet får adgang til fortrolige oplysninger og arbejder måske i jeres bygninger. Det er rimeligt at kende navnene på dem, der deltager, at have en aftale om fortrolighed med leverandøren og at vide, hvordan leverandøren selv sikrer sig, at medarbejderne er til at stole på. Hvis jeres organisation stiller krav om baggrundstjek af eksterne, der får adgang til bestemte områder, skal holdet også være omfattet. Afklar det tidligt, så det ikke forsinker starten.

Det samme gælder praktiske forhold som adgangskort, udstyr og kontaktoplysninger. Hvis holdet skal kunne vise et tilladelsesbrev, skal brevet nævne de personer, der faktisk deltager. Og white team skal have en opdateret liste, så en henvendelse fra en vagt eller en medarbejder kan bekræftes eller afvises hurtigt.

Det skal I lade være med

At købe et navn frem for et hold · spørg, hvem der konkret deltager.
At glemme holdlederen · det er jeres vigtigste kontakt under øvelsen.
At acceptere ukendte deltagere · alle på holdet skal være kendt af white team.
At se bort fra formidling · et resultat, der ikke kan forklares, bliver ikke brugt.
At overse interessekonflikter · uafhængighed skal håndteres, ikke antages.

Hvad kan og ikke kan konkluderes

Et hold, hvis roller passer til scenariet, og hvis deltagere er kendt, giver et bedre grundlag for en øvelse, der både er realistisk og forsvarligt styret. Sammensætningen kan ikke garantere, hvad holdet finder, eller at alt går efter planen. Kravene til testere i DORA gælder kun for de regulerede test og siger ikke noget om andre øvelsers kvalitet.

Tjekliste til holdet

☐ Kender I navnene og rollerne på holdet?
☐ Er der en holdleder med fast kontakt til white team?
☐ Dækker holdet alle dele af de valgte scenarier?
☐ Er tilknyttede konsulenter og deres aftaler kendt?
☐ Er det aftalt, hvad der sker, hvis en person skiftes ud?
☐ Er eventuelle interessekonflikter beskrevet? → Valg af leverandør til red teaming

Kilder

NIST CSRC Glossary: red team: et red team som en autoriseret gruppe, der efterligner en mulig modstander og viser følgerne af vellykkede angreb og hvad der virker for forsvarerne.
Forordning (EU) 2022/2554 (DORA): artikel 27 om krav til testere, herunder kompetencer inden for trusselsefterretning, penetrationstest og red teaming.

Senest gennemgået: oktober 2026.