“Øvelsen vil forstyrre driften”: den indvending, direktionen skal have et svar på

Når en red team-øvelse er på direktionens dagsorden, kan driftsdirektøren stille det mest jordnære spørgsmål: Hvad sker der med vores produktion, vores kunder og vores leverancer, mens et hold forsøger at angribe os? Indvendingen er rimelig. En skjult øvelse foregår i de virkelige systemer, og den kan påvirke driften. Svaret hviler på, at risikoen er kendt og kan styres: den ligger nogle bestemte steder, den begrænses med fredede områder, stopregler og et white team, og der er altid en navngiven person, der kan stoppe øvelsen.

Det rigtige svar er hverken, at intet kan ske, eller at øvelsen bør droppes. Det er en aftale om, hvilken risiko direktionen accepterer, og hvordan den holdes nede.

Hvor en øvelse kan røre ved driften

Det er nyttigt at være konkret. En red team-øvelse kan påvirke driften på disse måder:

Holdets egne handlinger · et forsøg på at få adgang kan låse en konto eller belaste et system.
Forsvarets reaktion · hvis overvågningen opdager holdet og tror, at det er et rigtigt angreb, kan nogen lukke forbindelser, spærre brugere eller tage systemer ned.
Medarbejdernes tid · servicedesk, IT-drift og ledere kan bruge tid på at håndtere noget, de tror er en hændelse.
Leverandørerne · en driftsleverandør eller overvågningsleverandør kan reagere efter egne procedurer.
Genetableringen · systemer, som holdet har været i, skal efterlades i samme stand, som de blev fundet.

De tekniske reguleringsstandarder for TLPT i finanssektoren nævner næsten samme liste blandt de risici, kontrolteamet skal vurdere: afbrydelse af kritiske aktiviteter som følge af både red teamets og blue teamets aktiviteter, eskalering af kriser og ufuldstændig gendannelse af systemer. Standarderne gælder kun TLPT, men listen er et brugbart pejlemærke for enhver øvelse. → Risikovurdering af selve øvelsen

Det, der begrænser risikoen

Driftsdirektøren skal ikke kende hele planen, men bør vide, at der findes tre styringsmidler, og hvad de betyder:

Fredede områder · systemer, processer og perioder, som holdet ikke må røre, fx styringen af produktionen eller lønkørslen. → Fredede områder
Stopregler · på forhånd aftalte situationer, hvor øvelsen sættes på pause eller afbrydes, fx hvis et kritisk system påvirkes. → Stopregler
White team · den lille gruppe, der kender øvelsen, følger den døgnet rundt og kan gribe ind, hvis forsvaret begynder at reagere kraftigt.

Hertil kommer et praktisk forhold. Inden holdet går i gang, bør det være kontrolleret, at backup og genetablering virker for de systemer, der indgår. TIBER-EU-rammen peger på netop det for de regulerede test. Efter øvelsen skal holdet fjerne det, det har efterladt i systemerne, og white team skal kunne bekræfte over for driften, at oprydningen er sket.

Hvem kan stoppe øvelsen?

Svaret på det spørgsmål skal være navngivet og nedskrevet. I en øvelse uden for de regulerede rammer er det white team-lederen og direktionens sponsor, der kan sætte øvelsen på pause eller afbryde den. De skal kunne kontaktes hele døgnet, og de skal have en stedfortræder. → White team-lederen

I de regulerede test er rollen formaliseret. TIBER-EU-rammen beskriver, at lederen af kontrolteamet efter konsultation med myndighedens testleder kan suspendere testen under ekstraordinære omstændigheder, fx ved risiko for skade på data, aktiver eller kritiske funktioner. De tekniske reguleringsstandarder for TLPT giver kontrolteamet en tilsvarende mulighed. Princippet kan overføres: den, der styrer øvelsen, skal have mandat til at stoppe den uden en lang beslutningsvej.

Skal driftsdirektøren vide besked?

Det afhænger af scenariet. Hvis driften og dens reaktion er en del af det, øvelsen skal måle, kan det ødelægge realismen, at driftsdirektøren kender datoerne. Hvis øvelsen berører kritiske produktionssystemer, kan det omvendt være klogt, at driftsdirektøren sidder i white team eller i det mindste er orienteret og kan kontaktes.

En mellemvej er, at driftsdirektøren kender rammen og stopreglerne, men ikke tidspunktet. Så kan direktøren sige god for risikoen uden at påvirke forsvarets reaktion. Det kræver dog, at direktøren ikke bruger sin viden til at advare egne folk, hvis noget ligner et angreb. Det bør siges højt, når orienteringen gives, så ingen er i tvivl om, hvad der forventes. Valget bør træffes bevidst og fremgå af godkendelsen. → Ledelsens godkendelse

Prisen ved at frede for meget

Hvert fredet område gør øvelsen mere sikker og mindre realistisk. En virkelig angriber respekterer ikke en liste over systemer, der er uden for rammen. Hvis de vigtigste systemer er fredet, kan øvelsen ikke sige noget om, hvorvidt de er beskyttet.

En løsning kan være, at holdet må vise, at det kunne nå et fredet system, uden at røre ved det. Så får ledelsen svar på, om vejen dertil er åben, uden at driften sættes på spil. Det er en afvejning, som driftsdirektøren og sikkerhedsfunktionen bør tage sammen. Driften kender de processer, der ikke tåler afbrydelser, og sikkerhedsfunktionen ved, hvad en angriber ville gå efter. Når begge perspektiver er med, bliver listen over fredede områder kortere og bedre begrundet.

Et tænkt eksempel

En fødevarevirksomhed planlægger en øvelse, hvor spørgsmålet er, om en angriber kan nå systemet, der planlægger produktion og forsendelser. Driftsdirektøren frygter, at holdet stopper linjerne midt i højsæsonen. Direktionen beslutter, at selve styringen af produktionslinjerne er fredet, og at øvelsen ikke må ligge i de travleste uger. Holdet må gerne vise, at det kunne have nået planlægningssystemet, men skal stoppe der og dokumentere vejen. Driftsdirektøren kender rammen og stopreglerne, men ikke datoerne, og vagtlederen i produktionen ved, hvem i white team der skal ringes til, hvis noget ser mistænkeligt ud. Øvelsen giver svar på spørgsmålet, og driften har en kendt og aftalt risiko.

Det skal I lade være med

At love, at intet kan ske · det er ikke rigtigt, og det skader tilliden, hvis noget alligevel sker.
At frede alt, der er vigtigt · så afprøver øvelsen kun det, der ikke betyder noget.
At glemme forsvarets reaktion · den kan påvirke driften mere end holdet.
At lade det være uklart, hvem der kan stoppe · navngiv personer og stedfortrædere.
At springe kontrollen af genetablering over · sørg for, at systemerne kan bringes tilbage.

Hvad kan og ikke kan konkluderes

Fredede områder, stopregler og et white team kan holde risikoen for driften nede og gøre den kendt på forhånd. De kan ikke fjerne den helt. Indvendingen fra driften er derfor ikke et argument mod øvelsen, men et krav til, hvordan den planlægges.

Tjekliste til direktionen

☐ Ved vi, hvor øvelsen kan påvirke driften?
☐ Er de fredede områder valgt, og ved vi, hvad de koster i realisme?
☐ Er stopreglerne skrevet ned?
☐ Er det navngivet, hvem der kan stoppe øvelsen, døgnet rundt?
☐ Er backup og genetablering kontrolleret for de systemer, der indgår?
☐ Er det besluttet, hvad driftsdirektøren skal vide?

Kilder

ECB: TIBER-EU Framework (2025): risici ved test på live-produktionssystemer, kontrol af backup og genetablering før test, og kontrolteamets mulighed for at suspendere testen under ekstraordinære omstændigheder.
Delegeret forordning (EU) 2025/1190 (RTS om TLPT): artikel 5, stk. 2, om de risici, kontrolteamet skal vurdere, og artikel 11, stk. 10, om suspension af testen.

Senest gennemgået: oktober 2026.