Replay: angrebet gennemgås igen efter øvelsen

Når den aktive test er slut, og rapporterne er skrevet, har forsvaret kun læst om forløbet. Replay er det møde, hvor holdet og forsvaret gennemgår angrebet sammen, trin for trin, så begge sider ser, hvad den anden gjorde, så og besluttede. Formålet er fælles læring, og mødet hviler på en tidslinje, som begge hold har godkendt på forhånd. Replay er ikke det samme som purple teaming. Den ene gennemgår det, der skete; den anden arbejder videre med det, der kunne være sket.

I de regulerede test for finanssektoren er replay en fast del af afslutningsfasen. Uden for dem er det et valg, men et valg, der er let at begrunde: det er her, rapporterne bliver til en fælles forståelse.

Hvor replay ligger i forløbet

Rækkefølgen i afslutningen har betydning. I TIBER-DK afholdes replay, efter at holdet og forsvaret har afleveret hver deres rapport. De tekniske reguleringsstandarder for TLPT fastsætter, at det blå team og testerne skal gennemspille de offensive og defensive tiltag senest ti uger efter afslutningen af den aktive testfase. Purple teaming følger efter.

For en frivillig øvelse er fristen ikke bindende, men rækkefølgen er værd at låne. Rapporterne giver begge sider tid til at samle deres version. Tidslinjen samler versionerne. Replay gennemgår dem sammen. Og purple teaming bygger videre på det, replay har vist. → Faserne i en red team-øvelse

To dele med forskelligt publikum

Nationalbankens implementeringsdokument for TIBER-DK deler replay i to dele. Den første er en introduktion og ledelsesopsummering, hvor scope, trusselsefterretning og holdets rapport præsenteres med de vigtigste fund og anbefalinger, og hvor direktionen bør deltage. Den anden del er mere detaljeret og teknisk. Her gennemgår holdet og forsvaret scenarierne skridt for skridt, og ledelsen behøver ikke være med.

Opdelingen løser et praktisk problem. Ledelsen skal forstå øvelsens resultat og betydning, men har ikke brug for de enkelte skridt. Forsvaret har brug for detaljerne og taler friere uden ledelsen i rummet. To dele med hver sin deltagerkreds giver begge dele plads. → Afrapportering til ledelsen

Forudsætningen: en tidslinje, begge kan stå inde for

TIBER-DK skriver, at blue team og red team før replay skal være enige om tidslinjen for begivenhederne under den aktive test. Kravet er praktisk. Hvis holdene er uenige om, hvornår noget skete, bruges mødet på at diskutere tidspunkter i stedet for at lære af forløbet.

White team skal derfor have samlet og afstemt tidslinjen i god tid. Uafklarede punkter kan godt tages med til replay, men de skal være markeret som uafklarede, så ingen tror, at de er afgjort.

Send tidslinjen og begge rapporter til deltagerne i den detaljerede del nogle dage før mødet. Forordningen om TLPT lægger op til, at rapporterne er tilgængelige for alle parter i gennemspilningen, før den finder sted. Deltagere, der har læst materialet, bruger mødet på at stille spørgsmål og ikke på at læse. → Tidslinjen

Sådan foregår gennemgangen

Replay er ikke en præsentation, hvor holdet viser, hvor dygtigt det var. Det er en samtale, hvor hvert trin får to stemmer.

For hvert trin forklarer holdet, hvad det ville opnå, og hvad der skete. Forsvaret fortæller derefter, hvad det så på det tidspunkt, og hvad det besluttede. Hvor forsvaret intet så, er spørgsmålet ikke hvem der fejlede, men hvad der skulle til for at se det. Hvor forsvaret så noget og handlede, er det lige så vigtigt at notere, fordi det viser, hvad der virker.

TIBER-DK nævner også en drøftelse af, hvad holdet kunne have nået med mere tid og flere ressourcer. Rigtige angribere er ikke bundet af en øvelses tidsramme. Den del af samtalen hjælper med at holde resultatet i perspektiv, især hvis holdet ikke nåede alle mål.

Gennemgangen skal holdes på et niveau, hvor den forklarer forløbet uden at blive en opskrift. Skridtene beskrives ud fra formål og virkning: hvad holdet ville opnå, hvilken adgang det fik, og hvilke spor det efterlod. De præcise detaljer står i holdets rapport, som har en begrænset læserkreds, og de skal ikke gentages på skærme og i præsentationer, der deles bredt bagefter.

Sæt også tid af til de steder, hvor øvelsen blev påvirket af white team. Et leg-up, en pause eller en ændring i scenariet forklarer, hvorfor forløbet så ud, som det gjorde, og forsvaret har krav på at vide det. Ellers kan de drage forkerte konklusioner om, hvad de selv overså.

Hvem der skal deltage

Kredsen afhænger af delen, men nogle personer er nødvendige for, at gennemgangen giver mening.

Holdet · de personer, der udførte forløbet.
Forsvaret · analytikere, vagthavende og dem, der traf beslutninger under øvelsen, også hos leverandører.
White team · som mødeleder og referent.
Leverandøren af trusselsefterretning · hvis en sådan var med, i den første del, så scenariernes grundlag kan forklares. → Trusselsefterretning
Ledelsen · i den første del.

Overvej på forhånd, hvordan enkeltpersoner omtales. Hvis en medarbejder uden for forsvaret blev en del af forløbet, fx ved at åbne en dør eller svare på en henvendelse, hører navnet ikke hjemme i gennemgangen. → Medarbejderhensyn

Hvad der kommer ud af mødet

Et replay-møde giver tre resultater, der skal noteres.

Fælles forståelse af forløbet · begge sider har set hele billedet.
Konklusioner · de vigtigste læringspunkter, uden at diskussionen refereres ordret.
Emner til purple teaming · TIBER-DK lader replay slutte med en aftale om, hvad purple teaming skal omfatte.

Den sidste del er overgangen til næste trin. Emnerne bør være konkrete nok til, at holdene kan forberede sig til purple-sessionen. → Purple teaming

Det skal I lade være med

At holde replay, før tidslinjen er afstemt · mødet går med at diskutere tidspunkter.
At lade replay blive holdets præsentation · hvert trin skal have forsvarets stemme.
At have ledelsen med i den detaljerede del uden overvejelse · det kan gøre forsvaret mindre åbent.
At nævne medarbejdere uden for forsvaret ved navn · det er forløbet, ikke personerne, der gennemgås.
At slutte uden emner til purple teaming · så bliver næste trin uden retning.
At vente for længe · detaljerne og forsvarets data forsvinder med tiden.

Hvad kan og ikke kan konkluderes

Replay kan give begge hold en fælles forståelse af ét forløb og pege på de steder, hvor forsvaret var tæt på eller langt fra. Det kan ikke i sig selv forbedre forsvaret og kan ikke vise, hvordan andre forløb ville være gået. Forbedringerne kommer i purple teaming og handlingsplanen.

Tjekliste før replay

☐ Har holdet og forsvaret afleveret hver deres rapport?
☐ Er tidslinjen afstemt, og er uafklarede punkter markeret?
☐ Er deltagerne fordelt på de to dele?
☐ Er det aftalt, at kun konklusioner noteres?
☐ Er der afsat tid til at aftale emner til purple teaming?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: replay efter begge rapporter, del I og II med deltagere, enighed om tidslinjen før replay, og aftale om emner til purple teaming.
Kommissionens delegerede forordning (EU) 2025/1190 om TLPT: artikel 12, stk. 5 (gennemspilning senest ti uger efter den aktive testfase og purple teaming) og betragtningen om, at begge rapporter stilles til rådighed før gennemspilningen.

Senest gennemgået: oktober 2026.