Red teaming af beslutninger og strategi: samme ord, en anden disciplin

En bestyrelse kan møde ordet red teaming i to vidt forskellige sammenhænge. Den ene er sikkerhedsfunktionens forslag om en skjult angrebsøvelse mod organisationen. Den anden er en strategirådgivers forslag om at lade et uafhængigt hold gennemgå en ny strategi, et opkøb eller en plan for at finde de svage antagelser. Ordet er det samme, men disciplinerne er forskellige. Forskellen hviler på, hvad der afprøves: den analytiske red teaming udfordrer tankegangen bag en beslutning, mens den tekniske red teaming afprøver, om organisationens forsvar opdager og stopper en modstander.

For bestyrelsen er det vigtigste at vide, hvilken af de to der er på bordet, så forventningerne passer til det, der leveres.

Hvor ordet kommer fra

Red teaming har rødder i militær planlægning, hvor et hold spillede modstanderens rolle for at afprøve egne planer. Det britiske forsvarsministerium beskriver i sin Red Teaming Handbook disciplinen som en uafhængig anvendelse af strukturerede, kreative og kritiske tænketeknikker, der skal hjælpe den, der skal beslutte, til en bedre funderet beslutning. Et red team er i håndbogens forstand et hold, der skal underkaste organisationens planer, programmer, idéer og antagelser en grundig analyse og udfordring.

NATO har en tilsvarende disciplin, som i NATO’s Alternative Analysis Handbook kaldes alternativ analyse. Den beskrives som en bevidst anvendelse af uafhængig, kritisk tænkning og alternative perspektiver for at forbedre beslutninger.

Ingen af de to håndbøger handler om IT-sikkerhed. De handler om, hvordan mennesker og grupper kan komme til at træffe dårlige beslutninger, fordi de deler de samme antagelser og overser det, der ikke passer ind.

Hvad den analytiske red teaming gør

Håndbogen fra det britiske forsvarsministerium nævner seks ting, som red teaming kan hjælpe med:

Skjulte skævheder · at afdække de tankefejl, en gruppe deler uden at vide det.
Antagelser · at udfordre det, alle tager for givet.
Logikken · at finde huller i ræsonnementet.
Informationen · at søge bredere efter oplysninger, der kan ændre billedet.
Alternativerne · at finde andre muligheder end den, der allerede er valgt.
Planen · at stressteste en plan, før den sættes i værk.

Arbejdet foregår ved et bord, ikke i organisationens systemer. Resultatet er en analyse, der peger på svagheder i en plan eller en beslutning, og som den ansvarlige ledelse kan vælge at handle på.

Teknikker, bestyrelsen kan møde

De to håndbøger beskriver en række tænketeknikker. Nogle af dem kan dukke op i en bestyrelsessammenhæng:

Djævelens advokat · en person argumenterer bevidst imod den foretrukne løsning.
Pre-mortem · gruppen forestiller sig, at planen er slået fejl, og finder frem til, hvad der kan have forårsaget det.
Nøgleantagelser · de antagelser, planen hviler på, skrives op og vurderes én for én.
Alternative fremtider · planen afprøves mod flere mulige udviklinger i omverdenen.
Hold A og hold B · to grupper udarbejder hver sin vurdering af samme spørgsmål.

Det er analyseteknikker, der kan bruges af alle med en vis træning. De kræver ikke adgang til systemer, og de rører ikke ved driften.

Forskellen til den tekniske øvelse

Den tekniske red teaming, som resten af red-teaming.dk handler om, har organisationens forsvar som genstand. Et hold efterligner en virkelig modstander og forsøger at nå et aftalt mål i de virkelige systemer, mens white team styrer forløbet. Resultatet er en beskrivelse af, hvad der blev opdaget, og hvad der ikke gjorde. → Hvad er red teaming?

Forskellen kan sammenfattes i tre spørgsmål:

Hvad afprøves? · en plan eller en beslutning, eller forsvaret mod et angreb.
Hvor foregår det? · ved et bord, eller i systemer, bygninger og over for medarbejdere.
Hvem kræver det? · analytikere med træning i tænketeknikker, eller specialister i at efterligne angribere med tilladelser, stopregler og et white team.

Den analytiske red teaming er ikke en sikkerhedstest, og den hører hjemme hos dem, der arbejder med strategi, planlægning og beslutningsprocesser. → Ordbog for red teaming

Hvor de to discipliner mødes

Grænsen er ikke helt skarp. En ledelses strategi for cybersikkerhed hviler på antagelser, fx at overvågningsleverandøren opdager et angreb, at backup kan genskabes, eller at medarbejderne melder mistænkelige henvendelser. De antagelser kan udfordres analytisk ved et bord. De kan også afprøves i praksis med en teknisk øvelse.

Den analytiske tilgang kan derfor være en god forberedelse. En gennemgang af nøgleantagelserne i sikkerhedsstrategien kan pege på den antagelse, der er mest afgørende og mindst efterprøvet. Den kan blive spørgsmålet for den næste tekniske øvelse. → Vores SOC opdager det

Håndbogen fra det britiske forsvarsministerium peger på en pointe, der gælder for begge discipliner: den, der bestiller arbejdet, skal være parat til at tage resultatet til sig og handle på det, og ikke behandle det som en akademisk øvelse. → Formålet med øvelsen

Når en rådgiver foreslår red teaming

Hvis bestyrelsen får et forslag om red teaming fra en rådgiver, kan nogle få spørgsmål hurtigt afklare, hvilken disciplin der er tale om:

Genstanden · er det en plan, en strategi eller en beslutning, eller er det organisationens forsvar?
Arbejdsformen · foregår det i workshops og analyser, eller får nogen adgang til systemer og bygninger?
Tilladelserne · kræver opgaven skriftlige tilladelser, stopregler og et white team?
Resultatet · får I en analyse af antagelser og alternativer, eller en beskrivelse af et angrebsforløb og forsvarets reaktion?

Svarene afgør også, hvem i organisationen der skal eje opgaven. En strategigennemgang hører under direktionen og strategifunktionen. En teknisk øvelse hører under sikkerhedsfunktionen med en sponsor i direktionen. → Ledelsens godkendelse

Det skal I lade være med

At antage, at to rådgivere taler om det samme · spørg, om det er en plan eller et forsvar, der skal afprøves.
At regne en strategigennemgang for en sikkerhedstest · den siger intet om, hvorvidt et angreb bliver opdaget.
At regne en teknisk øvelse for en strategigennemgang · den udfordrer ikke ledelsens antagelser om marked eller forretning.
At bruge red teaming som et skjold · et hold, der kun skal bekræfte en beslutning, der allerede er truffet, gør ikke nytte.
At glemme opfølgningen · begge discipliner er kun værd noget, hvis nogen handler på resultatet.

Hvad kan og ikke kan konkluderes

Analytisk red teaming kan vise, hvilke antagelser en plan hviler på, og hvor ræsonnementet er sårbart. Den kan ikke vise, om organisationens forsvar virker. Teknisk red teaming kan vise, hvordan forsvaret reagerer på et realistisk angreb, men den kan ikke vurdere, om en strategi er klog. Ingen af dem kan stå i stedet for den anden.

Tjekliste, når ordet dukker op

☐ Ved vi, om det er en plan eller et forsvar, der skal afprøves?
☐ Er det klart, hvem der ejer opgaven i organisationen?
☐ Er ledelsen parat til at handle på resultatet?
☐ Er det aftalt, hvordan resultatet kommer tilbage til bestyrelsen?

Kilder

UK Ministry of Defence: Red Teaming Handbook (3. udgave, 2021): definitionen af red teaming og red team, de seks anvendelser, teknikker som djævelens advokat og what if-analyse, og sponsorens rolle.
NATO: Alternative Analysis Handbook (2. udgave, 2017): definitionen af alternativ analyse og teknikkerne, herunder nøgleantagelser, alternative fremtider, hold A og hold B og pre-mortem.

Senest gennemgået: oktober 2026.