Red teaming, tabletop og beredskabsøvelse: tre måder at øve på

Sikkerhedsfunktioner kan blive bedt om at øve sig, men ordet øvelse dækker over meget forskellige aktiviteter. Valget hviler på, hvad I vil vide: red teaming afprøver, om et angreb bliver opdaget og håndteret i den virkelige drift; en tabletop afprøver, om de rigtige personer træffer gode beslutninger ud fra et oplæg; en beredskabsøvelse afprøver, om planer og procedurer kan udføres i praksis.

De tre former konkurrerer ikke. De besvarer hver sit spørgsmål, og de giver mest, når de bruges i en rækkefølge, der passer til organisationens modenhed.

Tabletop: beslutninger rundt om bordet

En tabletop er en drøftelse styret af en facilitator. Deltagerne får et scenarie trin for trin, fx at en driftsleverandør melder om mistænkelig aktivitet fredag eftermiddag, og skal forklare, hvad de vil gøre. Ingen systemer berøres. Styrken ligger i, at ledelse, jura, kommunikation og IT sidder sammen og opdager, hvor ansvaret er uklart.

NIST beskriver i SP 800-84 test, træning og øvelser som tre forskellige aktiviteter, der hver har sit formål, og som skal planlægges, gennemføres og evalueres. Den amerikanske myndighed CISA stiller færdige tabletoppakker til rådighed, så organisationer selv kan gennemføre øvelser og starte interne drøftelser om, hvordan de vil håndtere forskellige trusselsscenarier.

En tabletop kan vise:

Roller · ved alle, hvem der beslutter at isolere et system eller kontakte myndigheder?
Informationsflow · hvem får besked, og hvornår?
Huller i planen · hvor siger beredskabsplanen ingenting?

Den kan ikke vise, om overvågningen faktisk ville have opdaget noget. Scenariet fortæller jo deltagerne, at der er sket noget. En god facilitator holder derfor drøftelsen på beslutninger og ansvar og lader være med at gætte på, hvad de tekniske systemer ville have set.

Beredskabsøvelsen: planen udføres i praksis

En funktionel beredskabsøvelse går et skridt videre. Deltagerne udfører dele af planen: de samles i krisestaben, bruger de aftalte kommunikationskanaler, gennemfører en genetablering fra backup eller afprøver en reservelokation. Øvelsen er kendt på forhånd, og formålet er at se, om procedurerne kan bære. → Beredskabsplanen under en red team-øvelse

Her kan organisationen opdage praktiske forhindringer: en telefonliste, der er forældet, en procedure, der forudsætter et system, som selv er nede, eller en leverandør, der ikke kan nås uden for normal arbejdstid. Det er værdifulde fund, men de handler om udførelse, ikke om opdagelse.

Beredskabsøvelsen er også stedet, hvor samspillet med eksterne parter kan afprøves åbent. En driftsleverandør kan deltage med de personer, der ville blive kaldt ind ved en hændelse, og organisationen kan se, om aftalerne i kontrakten svarer til det, der faktisk sker. Den slags kan vanskeligt afprøves i en skjult øvelse uden at afsløre den.

Red teaming: forsvaret møder en modstander

I en red team-øvelse ved blue team ikke, at der øves. Et hold efterligner en modstander mod et aftalt mål, og white team følger med og styrer risikoen. Det, der måles, er den kæde, der går fra første spor til opdagelse, eskalering og reaktion. → Hvad er red teaming?

Det er den eneste af de tre former, der svarer på, om forsvaret ser angrebet uden at være advaret. Til gengæld er den mere krævende at styre, den involverer produktionen, og den afprøver kun det scenarie, der er valgt.

Hvem deltager, og hvem ved besked?

Deltagerkredsen er en af de tydeligste forskelle. En tabletop kan samle direktion, jura, kommunikation, IT-drift og sikkerhed, og alle ved, at der øves. Der kan også deltage en repræsentant for driftsleverandøren eller SOC-leverandøren, fordi beslutninger kan afhænge af, hvad leverandøren kan levere og hvor hurtigt.

En beredskabsøvelse involverer dem, der skal udføre procedurerne. Det kan være servicedesken, systemejerne og de medarbejdere, der står for genetablering. De kender også tidspunktet, men ikke nødvendigvis detaljerne i scenariet.

I red teaming er det omvendt. Kun white team kender til øvelsen, og alle andre arbejder, som de plejer. Det er netop derfor, resultatet siger noget om den daglige drift. Det stiller samtidig større krav til fortrolighed, til stopregler og til, at der er nogen, der kan skelne øvelsen fra en reel hændelse. → White team

Sådan supplerer formerne hinanden

En nyttig rækkefølge kan være at begynde med beslutningerne og slutte med realismen. En tabletop kan afklare roller og mandater, så organisationen ikke går i stå, hvis blue team senere opdager red team. En beredskabsøvelse kan sikre, at procedurerne virker. Først derefter giver det mening at spørge, om opdagelsen virker under realistiske forhold. → Er organisationen klar til red teaming?

Rækkefølgen kan også vende. Resultatet af en red team-øvelse kan bruges som oplæg til en tabletop, hvor ledelsen gennemgår forløbet og drøfter de beslutninger, der ville være kommet, hvis angrebet havde været ægte. Så bliver øvelsens tidslinje til et konkret og troværdigt scenarie for krisestaben. → Krisestab og ledelse i øvelsen

Hvilken form passer til spørgsmålet?

Start med spørgsmålet fra ledelsen eller fra jeres egen risikovurdering:

Ved vi, hvem der beslutter hvad? · tabletop.
Kan vi gennemføre planen, når det gælder? · beredskabsøvelse.
Ser vi et målrettet angreb, og reagerer vi rigtigt? · red teaming.
Lærer vi af den tekniske øvelse på ledelsesniveau? · red teaming fulgt af en tabletop.

Hvis spørgsmålet er uklart, er det et tegn på, at formålet skal skarpere, før der vælges form. → Formålet med øvelsen

Det skal I lade være med

At kalde en tabletop for en test af forsvaret · den afprøver beslutninger, ikke opdagelse.
At springe direkte til red teaming · uden afklarede roller kan en opdaget øvelse skabe forvirring i stedet for læring.
At genbruge samme scenarie i alle tre former uden at tilpasse det · hver form kræver sit eget detaljeniveau.
At lade samme person facilitere og evaluere uden at skrive det ned · evalueringen skal kunne læses af andre.
At glemme opfølgningen · en øvelse uden handlingspunkter giver kun en god dag.

Hvad kan og ikke kan konkluderes

En tabletop kan vise, at roller og beslutningsveje er forstået, men ikke at de ville holde under pres i en reel situation. En beredskabsøvelse kan vise, at procedurer kan udføres, når alle ved, at der øves. Red teaming kan vise, hvordan et bestemt angreb blev håndteret, men ikke hvordan krisestaben ville have truffet de næste beslutninger, hvis den ikke blev inddraget. Ingen af formerne alene giver et samlet billede af beredskabet.

Tjekliste før I vælger form

☐ Er spørgsmålet formuleret i én sætning?
☐ Er det afklaret, om opdagelse eller beslutninger skal afprøves?
☐ Er roller og mandater i beredskabsplanen gennemgået for nylig?
☐ Er det aftalt, hvem der evaluerer, og hvordan resultatet dokumenteres?
☐ Er der planlagt opfølgning, når øvelsen er slut?
☐ Kan resultatet fra én form bruges som oplæg til den næste?

Kilder

NIST SP 800-84: vejledning om at designe, gennemføre og evaluere test, træning og øvelser for IT-planer og beredskab.
CISA Tabletop Exercise Packages: færdige pakker, så organisationer selv kan gennemføre tabletopøvelser om forskellige trusselsscenarier.

Senest gennemgået: oktober 2026.