Transport og logistik: terminaler, flåder og planlægningssystemer i øvelsen

En red team-øvelse i en transport- eller logistikvirksomhed møder tre forhold, som en kontorvirksomhed ikke har: driften foregår på flere lokationer på én gang, noget af den er sikkerhedskritisk, og flere af lokationerne er omfattet af egne regler om adgang. Svaret på, hvordan øvelsen skal skrues sammen, hviler derfor på scope og stopregler mere end på scenariet. Målet kan godt være et planlægningssystem eller en terminal, men vejen dertil skal kunne afbrydes, før en lastbil, et tog eller et skib påvirkes.

Penetrationstest af kundeportaler, integrationer og partnerforbindelser i sektoren er beskrevet på penetrationtest.dk. Her handler det om den skjulte øvelse, der afprøver, om forsvaret opdager og stopper en målrettet modstander.

Hvor sektoren adskiller sig

NIS 2-loven nævner i bilag 1, punkt 2, transport med fire delsektorer: luft, jernbane, vand og vejtransport. Under vejtransport står vejmyndigheder med ansvar for trafikledelse og operatører af intelligente transportsystemer. Post- og kurertjenester står i bilag 2. Trafikstyrelsen skriver på sin side om NIS2, at styrelsen er tilsynsmyndighed på transportområdet.

For øvelsen betyder det to ting. Dele af virksomheden kan have et tilsyn, der skal kende til hændelser, og det skal white team have styr på, hvis øvelsen kan forveksles med en reel hændelse. Og de sikkerhedskritiske systemer ligger tæt på de administrative, fordi planlægning, booking og styring hænger sammen. → Øvelse eller rigtigt angreb?

Om en bestemt logistikvirksomhed er omfattet af NIS 2-loven, skal afklares for sig. Teksten er ikke juridisk rådgivning.

Spredte lokationer og tilladelserne

En transportvirksomhed kan have hovedkontor, depoter, terminaler, værksteder og pladser i flere byer og lande. Hver lokation kan have sin egen udlejer, sin egen vagtordning og sin egen lokale leder. Det gør tilladelserne til den største opgave, før holdet går i gang.

Vælg få lokationer, der passer til scenariet, og lad resten ligge uden for. En terminal, hvor flere virksomheder deler areal, kræver tilladelse fra den, der råder over arealet, og ikke kun fra jer. → Lejede lokaler og fælles bygninger

Er lokationerne i flere lande, gælder der forskellige regler for både fysisk adgang og social engineering. Det kan tale for at holde de fysiske elementer i ét land og lade resten af koncernen indgå digitalt. → Øvelse på tværs af lande og lokationer

Sikkerhedskritisk drift som fredet område

Signalanlæg, trafikstyring, lastestyring og systemer, der påvirker køretøjer eller fartøjer i bevægelse, hører hjemme på listen over systemer, der ikke må røres. Det gælder, selv om de ligger inden for det miljø, holdet kommer ind i.

Det betyder ikke, at de skal være usynlige for øvelsen. Holdet kan godt vise, at det kunne have nået et sådant system, ved at sætte flaget ved grænsen: en bekræftet adgang til det netsegment eller den konto, der giver adgangen, uden at handle videre. Aftal på forhånd, hvad der tæller som bevis, så ingen behøver at gå længere for at overbevise. → Systemer, der ikke må røres

Lufthavne, havne og terminaler har egne adgangsregler

I luftfarten fastlægger forordning (EF) nr. 300/2008 fælles regler for sikkerhed i civil luftfart. Forordningens artikel 3 definerer blandt andet adgangskontrol og security-beskyttede områder, og efter artikel 12 skal den, der driver en lufthavn, have et sikkerhedsprogram, som forelægges den kompetente myndighed. For skibe og havnefaciliteter har forordning (EF) nr. 725/2004 efter artikel 1 til formål at forbedre sikringen mod forsætlige ulovlige handlinger.

For en red team-øvelse betyder det, at fysisk adgang i sådanne områder ikke kun er jeres egen beslutning. Den, der ejer sikkerhedsprogrammet, skal inddrages, og det skal afklares, om myndigheden skal orienteres. Et alternativ er at afprøve de fysiske processer et sted, hvor I selv råder, fx et depot eller et administrationskontor, og lade de regulerede områder være ude. → Fysisk adgang i red teaming

Planlægningssystemer og flådestyring som mål

I en transport- eller logistikvirksomhed kan kronjuvelen være evnen til at planlægge snarere end kundedata: ruteplanlægning, slotbooking, flådestyring og tolddokumentation. Et realistisk mål kan derfor være at vise, at en modstander kunne ændre eller stoppe planlægningen.

Når målet er formuleret sådan, skal I aftale, hvad holdet må gøre ved det. Læseadgang til en testkørsel eller et skærmbillede af en administratorrolle kan være nok. At ændre en rigtig plan er det ikke. Leveres eller drives systemet af en tredjepart, indgår leverandørens tilladelse i planen. → Leverandørscenariet

Stopregler, der passer til døgndrift

Transport kører om natten, i weekenden og i højsæson. Stopreglerne skal derfor kunne bruges, når kontoret er lukket. White team skal have en vagt, der kan nås hele døgnet, og en kontaktperson i driften, der kan sige stop uden at afsløre øvelsen for flere end nødvendigt.

Læg ikke øvelsens mest risikable dele i perioder, hvor driften er presset i forvejen, fx ved vejrvarsler eller store omlægninger. Skriv i reglerne, hvilke hændelser i driften der automatisk sætter øvelsen på pause. → Stopregler

Overvej også, hvem der er blue team. I en transportvirksomhed er det ikke kun IT-sikkerhed, der kan opdage noget usædvanligt. Trafikledere, disponenter og terminalpersonale ser driften i realtid og kan reagere på en mistænkelig ændring i en plan eller en ukendt person på pladsen. Beslut, om deres reaktion skal måles som en del af forsvaret, og sørg for, at de kan eskalere til nogen, der kan skelne øvelsen fra en reel hændelse. Det gælder især om natten, hvor der er færre at spørge, og hvor en forkert reaktion kan koste mere end en forsinket opdagelse.

Det skal I lade være med

At lade hele netværket være i scope · sikkerhedskritiske systemer skal stå på listen over fredede områder.
At gå ind på fælles arealer med jeres egen tilladelse alene · den, der råder over arealet, skal også sige ja.
At afprøve adgangen til lufthavnens eller havnens beskyttede områder uden ejerens sikkerhedsansvarlige · der gælder egne regler.
At lade holdet ændre en rigtig plan for at bevise et fund · aftal beviset på forhånd.
At glemme nattevagten · en stopregel, der kun virker i kontortid, er ikke en stopregel.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, om en modstander kunne nå planlægningen eller grænsen til de sikkerhedskritiske systemer, og om nogen opdagede det. Den kan ikke vise, hvordan systemerne bag grænsen ville have reageret, og den siger ikke noget om de lokationer, der var holdt ude. Den afgør heller ikke, om virksomheden lever op til sine regler.

Tjekliste før scope lægges fast

☐ Er de sikkerhedskritiske systemer opført som fredede områder?
☐ Er det aftalt, hvad der tæller som bevis ved grænsen?
☐ Har alle, der råder over de valgte lokationer, givet tilladelse?
☐ Er lufthavnens eller havnens sikkerhedsansvarlige inddraget, hvis sådanne områder indgår?
☐ Kan white team nås hele døgnet, og ved driften, hvem der kan sige stop?
☐ Er det afklaret, om et tilsyn skal kende til øvelsen?

Kilder

NIS 2-loven, lov nr. 434 af 6. maj 2025: bilag 1, punkt 2 (transport: luft, jernbane, vand og vejtransport) og bilag 2, punkt 1 (post- og kurertjenester).
NIS2-direktivet (EU) 2022/2555: bilag I om sektorer med høj kritiskhed, herunder transport.
Trafikstyrelsen, NIS2: styrelsen som tilsynsmyndighed på transportområdet.
Forordning (EF) nr. 300/2008 om sikkerhed inden for civil luftfart: artikel 3 (definitioner af adgangskontrol og security-beskyttede områder) og artikel 12 (sikkerhedsprogram for lufthavne).
Forordning (EF) nr. 725/2004 om bedre sikring af skibe og havnefaciliteter: artikel 1 om formålet.

Senest gennemgået: oktober 2026.