Red teaming i en koncern: datterselskaber, lande og ansvar

En koncern kan se ud som én organisation udefra, men består af selskaber med hver sin ledelse, sine egne aftaler og måske sine egne systemer. En red team-øvelse, der skal afprøve forsvaret på tværs, skal derfor have tilladelse fra hver juridisk enhed, den berører, og en klar aftale om, hvem der styrer øvelsen, og hvem der får resultaterne. Svaret på, hvordan det organiseres, hviler på, at koncernens sikkerhedsfunktion ikke nødvendigvis har mandat til at beslutte på et datterselskabs vegne alene.

Det kan netop være på tværs af selskaberne, at forsvaret er svagest. Overgange mellem netværk, fælles tjenester og forskellige overvågningsfunktioner er oplagte steder at afprøve. Det gør styringen vigtigere, ikke mindre vigtig.

Mandatet: hvem kan sige ja?

Koncernens ledelse kan beslutte, at der skal gennemføres en øvelse, men tilladelsen til at handle over for et selskabs systemer, lokaler og medarbejdere skal komme fra det selskab, der råder over dem. Det gælder også, selv om IT-driften er samlet i et fælles servicecenter. → Ledelsens godkendelse

I praksis betyder det, at hvert berørt selskab skal have en ansvarlig person, der giver tilladelse og kender til øvelsen. Det kan være selskabets direktør eller en person med delegeret mandat. Personen bliver en del af white team eller har en direkte kontakt dertil. Skriv ned, hvad hver tilladelse dækker. Et datterselskab kan fx give tilladelse til tekniske dele, men ikke til fysisk adgang til en produktionsenhed, fordi den er underlagt særlige krav. Den slags forbehold skal være synlige for holdet.

Teksten er ikke juridisk rådgivning. Hvis selskabsstrukturen eller aftalerne mellem selskaberne er uklare, bør en jurist vurdere, hvem der kan give tilladelse til hvad. → Tilladelser til en red team-øvelse

Fælles tjenester og servicecentre

Nogle koncerner har fælles tjenester: brugerkatalog, e-mail, netværk, servicedesk eller SOC. Hvis øvelsen berører dem, er det som udgangspunkt det selskab, der ejer og driver tjenesten, der skal give tilladelse. Det kan være et andet selskab end det, der er mål for scenariet.

Afklar også, hvilke selskaber der kan blive berørt indirekte. En aktivitet, der afprøver opdagelsen i et fælles brugerkatalog, kan udløse alarmer, der berører alle koncernens selskaber. De skal ikke nødvendigvis kende til øvelsen, men white team skal vide, hvem der kan blive inddraget, hvis en eskalering går videre. Servicecentret har også en særlig rolle under selve øvelsen. Hvis det både driver tjenesterne og leverer overvågningen, er det på én gang en del af blue team og en part, der skal give tilladelse. Løs det ved, at tilladelsen gives af en person i servicecentrets ledelse, som ikke deltager i den daglige overvågning, og som kan holde kendskabet for sig selv.

Lande og lokal lovgivning

Når koncernen har selskaber i flere lande, kan reglerne for, hvad der må gøres over for systemer, data og medarbejdere, være forskellige. Det gælder fx regler om databeskyttelse, ansættelsesforhold og adgang til lokaler. Det, der er i orden i ét land, kan kræve en særlig tilladelse eller være udelukket i et andet. → Flere lande og lokationer

Afklar for hvert land, om der er forhold, der begrænser øvelsen. Det kan føre til, at scope er forskelligt fra land til land, fx at social engineering kun indgår i nogle selskaber. Det er bedre end at lade hele øvelsen være begrænset af de strengeste regler, eller at overse dem. Sprog og kultur kan også have betydning, især for social engineering. En henvendelse, der virker naturlig i ét land, kan virke påfaldende i et andet, og det påvirker, hvad resultatet kan sige om medarbejdernes reaktion.

Medarbejdere og samarbejdsorganer

Hvis øvelsen omfatter social engineering eller fysisk adgang, skal hvert selskab tage stilling til, hvordan dets medarbejdere berøres. I nogle selskaber kan der være samarbejdsorganer eller aftaler, der skal tages hensyn til. Det er selskabets egen HR, der kender dem. → HR og tillidsrepræsentant

Aftal også, hvordan medarbejdere i de forskellige selskaber får besked efter øvelsen. Hvis informationen kommer fra koncernen, kan den opleves anderledes end en besked fra den lokale ledelse. Det kan fungere bedst, at koncernen leverer fælles materiale, og at den lokale ledelse står for samtalen.

White team på tværs

I en koncern bliver white team let stort, fordi hvert selskab skal være repræsenteret. Det øger risikoen for, at øvelsen bliver kendt. En løsning er et lille centralt white team med en fast kontaktperson i hvert selskab, som kun kender den del, der berører selskabet. → White team

Den centrale white team-leder skal kunne nå kontaktpersonerne hurtigt, også uden for normal arbejdstid, hvis noget skal stoppes. Hvis selskaberne ligger i forskellige tidszoner, skal det fremgå af planen.

Hvem får resultaterne

Resultaterne fra en øvelse på tværs af selskaber kan være følsomme. Et fund i ét selskab kan sige noget om et andet selskabs sikkerhed eller ledelse. Aftal på forhånd, hvem der får den fulde rapport, og hvad hvert selskab får. Det kan være en rapport pr. selskab og en samlet version til koncernens ledelse. → Deling af resultater

Aftal også, hvem der ejer handlingsplanen. Fund i fælles tjenester bør ejes af det selskab, der driver dem, mens fund, der handler om samspillet mellem selskaberne, kan kræve en koncernbeslutning. Hvis koncernens sikkerhedsfunktion ikke har mandat til at kræve forbedringer i datterselskaberne, bør det afklares, før øvelsen begynder, hvordan fundene bliver fulgt op. Ellers kan resultatet blive en rapport, som ingen er forpligtet til at handle på.

Det skal I lade være med

At gå ud fra, at koncernens beslutning dækker alle selskaber · hvert selskab skal selv give tilladelse.
At glemme ejeren af fælles tjenester · det kan være et andet selskab end målet.
At bruge samme scope i alle lande uden at afklare reglerne · de kan være forskellige.
At lade white team vokse med ét medlem pr. selskab · brug kontaktpersoner med begrænset kendskab.
At sende den fulde rapport til alle · aftal, hvem der får hvad.

Hvad kan og ikke kan konkluderes

En øvelse på tværs af selskaber kan vise, hvordan opdagelse og reaktion fungerer i overgangene mellem dem i det valgte scenarie. Den kan ikke give et dækkende billede af sikkerheden i hvert enkelt selskab, og resultatet fra ét selskab kan ikke uden videre overføres til et andet. Forskelle i scope mellem lande skal stå tydeligt i rapporten.