Universiteter og forskning: åbne miljøer og spionage som scenarie

Et universitet er bygget til at være åbent. Studerende, gæsteforskere og samarbejdspartnere kommer og går, institutter kan have deres egne systemer, og forskningsdata deles på tværs af landegrænser. Det gør en red team-øvelse sværere at afgrænse end i en virksomhed med ét net og én ledelse. Svaret er at starte i den trussel, der er mest relevant for forskningsinstitutioner, nemlig fremmede staters interesse for viden, og lade scenariet bestemme, hvilket lille udsnit af det åbne miljø øvelsen skal handle om. PET’s vurderinger af truslen mod dansk forskning giver et brugbart udgangspunkt.

Et miljø, der er bygget til at være åbent

Åbenheden er ikke en fejl, den er en del af opgaven. Det betyder, at øvelsen ikke skal måle, om universitetet kan lukke af som en bank. Den skal måle, om den viden, der skal beskyttes, er beskyttet, og om nogen opdager, hvis en modstander går efter den.

Tre forhold skiller sig ud. Brugerne skifter hurtigt, så konti, adgangskort og rettigheder bliver oprettet og nedlagt løbende. IT-ansvaret kan være delt mellem en central IT-afdeling og institutter eller forskningsgrupper med egne løsninger. Og en del af forskningen foregår i infrastruktur, som universitetet deler med andre institutioner i ind- og udland. Alle tre har betydning for, hvad der kan være i scope.

Vidensspionage som scenarie

PET skriver i sit materiale om sikker forskning, at fremmede stater søger adgang til dansk forskning gennem bl.a. forskningssamarbejder, talentprogrammer, udveksling af ph.d.-studerende og gæsteforskere, tyveri og cyberspionage. PET vurderer, at truslen er meget høj inden for bl.a. kvanteteknologi, bioteknologi, energiteknologi og forsvars- og dual-use-teknologi.

Det giver et konkret scenarie: en tålmodig modstander, der vil have fat i data eller resultater fra et bestemt forskningsprojekt. Flaget kan være adgang til et udvalgt projekts datasæt, et udkast til en patentansøgning eller en forsøgsprotokol, som white team har udpeget sammen med projektlederen. Et sådant mål tvinger øvelsen til at følge de veje, en rigtig modstander ville vælge, og ikke bare samle flest mulige adgange. → Spionage og statsaktører som scenarie

Tænk jer et institut, der arbejder med materialer til energilagring sammen med en industripartner. White team udpeger projektets fælles datamappe som flag. Holdet starter med en almindelig medarbejderkonto og skal finde vej til mappen gennem de tjenester, forskerne bruger i hverdagen. Undervejs måles det, om institutets IT, den centrale sikkerhedsfunktion eller projektgruppen selv bemærker, at en fremmed konto pludselig interesserer sig for projektets filer. Eksemplet er tænkt og skal kun vise, hvordan et mål kan formuleres.

Scenariet skal bygge på jeres egen trusselsvurdering. Ikke alle forskningsområder er lige udsatte, og øvelsen giver mest, når den rettes mod den forskning, I selv har vurderet som kritisk. → Trusselsefterretning som grundlag

Scope i et decentralt miljø

Et udvalgt projekt gør det lettere at afgrænse. Scope kan omfatte projektets systemer, de centrale tjenester, projektet bruger, og den vej, en modstander ville tage fra internettet eller fra en almindelig medarbejderkonto.

Det, der ligger uden for universitetets kontrol, skal holdes ude eller have sin egen tilladelse. Det gælder delt forskningsinfrastruktur, partnerinstitutioners systemer og tjenester, som en udenlandsk samarbejdspartner driver. En godkendelse fra jeres rektorat dækker ikke dem. Det samme gælder skytjenester og samarbejdsplatforme, som forskerne har taget i brug på egen hånd, eller som en partner har oprettet til projektet. Udbyderens vilkår og partnerens ejerskab afgør, om de kan være med. Har et institut sin egen IT, skal den ansvarlige dér kende sin rolle, enten som en del af white team eller som en del af det forsvar, der måles. → Scope i red teaming

Gæster og studerende i øvelsen

Når social engineering indgår, skal det besluttes, hvem der kan være mål. Fastansatte medarbejdere og ledere er det naturlige udgangspunkt. Studerende er ikke ansat og har et andet forhold til institutionen, så det taler for at holde dem ude, medmindre der er en særlig grund og en særskilt beslutning. → Personer, der ikke må være mål

Et spionagescenarie må aldrig blive til mistænkeliggørelse af bestemte grupper. Øvelsen afprøver processer, fx hvordan gæster får adgang, og hvordan en forespørgsel om data bliver behandlet. Den skal ikke udpege enkeltpersoner eller nationaliteter, og rapporten skal skrives, så den heller ikke kan læses sådan.

Fysisk adgang på en åben campus

Auditorier, kantiner og biblioteker kan være åbne for alle, og det giver ingen mening at afprøve dem. Det interessante er overgangen til de områder, der skal være lukkede: laboratorier, serverrum, rum med følsomt udstyr og kontorer, hvor data om kritiske projekter behandles. Holdet kan afprøve, om adgangskontrollen til de områder virker, og om nogen reagerer på en fremmed, der ikke hører til. → Fysisk adgang i red teaming

Husk, at en campus har andre brugere end institutionen selv. Lejere, forskerparker og fælles bygninger kræver særskilte tilladelser.

Reglerne kort

NIS 2-loven nævner forskningsorganisationer i bilag 2. Lovens definition handler om enheder, hvis primære mål er anvendt forskning med henblik på kommerciel udnyttelse, og den omfatter ikke uddannelsesinstitutioner. Om jeres institution er omfattet, er et spørgsmål for sig, og loven kræver under alle omstændigheder ikke red teaming. Leverandørens side af kravene til forskningsinstitutioner er beskrevet på nis2-pentest.dk.

Det skal I lade være med

At teste hele det åbne miljø · vælg den viden, der skal beskyttes, og byg scenariet om den.
At gå ind i partneres systemer uden tilladelse · delt infrastruktur kræver ejerens ja.
At gøre studerende til mål uden en særskilt beslutning · de er ikke ansatte.
At mistænkeliggøre grupper · øvelsen handler om processer og adgange.
At glemme institutter med egen IT · de skal vide, hvilken rolle de har.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, om en modstander kunne nå data fra et udvalgt projekt, og om nogen opdagede det. Den kan ikke vise, hvor sikkert hele universitetet er, og den siger intet om de veje, PET nævner, som ligger uden for teknik og bygninger, fx samarbejdsaftaler og rekruttering. Dem må andre processer tage sig af. Resultatet kan bruges til at styrke beskyttelsen af de udvalgte projekter og til at vælge det næste projekt, der skal afprøves.

Tjekliste før en øvelse på en forskningsinstitution

☐ Er der udpeget et forskningsprojekt eller en type viden, som scenariet handler om?
☐ Er projektlederen med til at definere flaget?
☐ Er delt infrastruktur og partneres systemer holdt ude eller omfattet af tilladelser?
☐ Er det besluttet, om studerende og gæster kan være mål?
☐ Kender institutter med egen IT deres rolle?
☐ Er det sikret, at rapporten handler om processer og ikke om personer eller grupper?

Kilder

PET, Sikker forskning: fremmede staters veje til dansk forskning og PET’s vurdering af særligt udsatte teknologiområder.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 3, nr. 11, om forskningsorganisationer og bilag 2, punkt 7.

Senest gennemgået: oktober 2026.