Red teaming og revisionen: hvad intern og ekstern revision kan bruge

Når revisionen spørger til sikkerheden, ligger det lige for at pege på den seneste red team-øvelse. Men øvelsen er bygget til at lære, ikke til at erklære, og den passer derfor kun delvist ind i det, en revisor skal vurdere. Svaret hviler på at skelne mellem tre ting: hvad øvelsen viste, hvordan organisationen styrede den, og hvad der er sket med resultatet bagefter.

Kort sagt kan revisionen bruge øvelsen som dokumentation for, at organisationen afprøver sit forsvar under realistiske forhold, styrer risikoen ved det og følger op på fundene. Den kan ikke bruge øvelsen som bevis for, at kontrollerne virker generelt, eller som en samlet vurdering af sikkerhedsniveauet.

To slags revision, to slags spørgsmål

Den interne revision er en del af organisationens egen kontrolstruktur. I finansielle virksomheder beskriver DORA artikel 6, stk. 4, en adskillelse mellem IKT-risikostyring, kontrolfunktioner og intern revision efter modellen med tre forsvarslinjer, og artikel 6, stk. 6, kræver, at revisorer regelmæssigt reviderer rammen for IKT-risikostyring. Den interne revision kan derfor spørge til, om processen omkring øvelsen er fornuftig, og om opfølgningen sker.

Den eksterne revisor har et andet ærinde. Den eksterne revision ser på regnskabet og de kontroller, der er relevante for det, og kan spørge til IT-sikkerheden i det lys. En red team-øvelse er her mest interessant som tegn på, at organisationen kender sine risici, ikke som selvstændigt revisionsbevis. Teksten er ikke juridisk eller revisionsfaglig rådgivning.

Det, revisionen kan bruge

Det mest anvendelige for en revisor er ikke nødvendigvis selve angrebsforløbet. Det er de styrende dokumenter og sporet fra fund til handling:

Ledelsens godkendelse · at øvelsen var besluttet på det rette niveau med et klart formål.
Rules of engagement og risikovurdering · at øvelsen blev afgrænset og styret, så driften var beskyttet.
Sammenfattende rapport · hvad spørgsmålet var, og hvad svaret blev, uden tekniske detaljer.
Handlingsplan med ejere · hvem der skal gøre hvad, og hvornår.
Status på opfølgningen · hvad der er gennemført, udskudt eller accepteret som risiko.

DORA artikel 6, stk. 5, nævner udtrykkeligt, at rammen for IKT-risikostyring skal gennemgås og forbedres, også på grundlag af konklusioner fra test af den digitale operationelle modstandsdygtighed. For en finansiel virksomhed er sammenhængen mellem øvelsen og den løbende forbedring af rammen derfor et naturligt revisionsspor. → Opfølgning efter øvelsen

Tænk også på tidspunktet. En revision, der falder midt i en skjult øvelse, kan ikke få materialet uden at bryde fortroligheden. Aftal med revisionens leder, at oplysningerne kommer, når øvelsen er afsluttet, og at revisionen indtil da kun får at vide, at en aktivitet er planlagt og godkendt af ledelsen.

Det, revisionen ikke skal have

Den fulde rapport fra red team indeholder angrebsveje, svagheder og detaljer, som stadig kan være åbne. Den hører ikke hjemme i revisionens arbejdspapirer, medmindre der er et konkret behov, og så kun i den nødvendige del. Aftal på forhånd, hvad der udleveres, hvem der læser det, og hvor det opbevares.

Det samme gælder logs, optagelser og materiale om enkeltpersoner. Revisionen skal kunne se, at sådant materiale findes og håndteres efter aftale, men behøver ikke selv at modtage det. → Hvem må kende resultatet?

Forbeholdene skal stå på skrift

En revisor, der læser et red team-resultat uden forbehold, kan nå til konklusioner, øvelsen ikke kan bære. Skriv derfor forbeholdene ind i det materiale, revisionen får:

Øvelsen dækker valgte scenarier · den siger intet om veje, der ikke blev afprøvet.
Resultatet er et øjebliksbillede · det gælder forholdene på tidspunktet for øvelsen.
Reglerne påvirker udfaldet · fredede områder, stopregler og leg-ups gør øvelsen anderledes end et virkeligt angreb.
Der er ingen karakter · øvelsen er hverken bestået eller dumpet.

Nationalbankens implementeringsdokument for TIBER-DK beskriver det samme for de regulerede test: kompetente myndigheder kan følge op på resultatet, men testen er en læringsøvelse og et øjebliksbillede af bestemte scenarier, ikke en fuldstændig vurdering. Opfølgningen bør ifølge dokumentet ske i den ånd. Princippet kan bruges som rettesnor i dialogen med revisionen om frivillige øvelser. → Hvad red teaming ikke kan svare på

Uafhængighed mellem øvelse og revision

Revisionen må ikke blive en del af det, den senere skal vurdere. Hvis en medarbejder fra intern revision sidder i white team, kan det være svært for samme funktion at vurdere styringen af øvelsen bagefter. Overvej i stedet at orientere revisionen om, at en øvelse finder sted, og først give adgang til materialet, når øvelsen er afsluttet.

Det modsatte problem kan også opstå: at revisionen ønsker at bestemme scenariet for at få svar på egne spørgsmål. Revisionens input kan være værdifuldt i planlægningen, men spørgsmålet bag øvelsen skal ejes af sikkerhedsfunktionen og godkendes af ledelsen. Ellers risikerer øvelsen at blive formet efter et kontrolbehov frem for en trussel.

Fra fund til revisionsspor

Revisionen vil kunne følge fund, der er ført ind i risikoregistret og handlingsplanen. Det er her, red team-resultatet bliver til noget, revisionen kan efterprøve: en beslutning, en ejer, en frist og en status. DORA artikel 6, stk. 7, beskriver for finansielle virksomheder en formel opfølgningsproces på konklusioner fra den interne revision. Når fund fra øvelsen indgår i samme spor, bliver opfølgningen sammenhængende. → Fra øvelse til risikoregister

Formulér fundene, så de kan forstås uden for sikkerhedsfunktionen. En revisor skal kunne se, hvilken kontrol eller proces der er tale om, uden at kende angrebsvejen. → Handlingsplan efter red teaming

Det skal I lade være med

At udlevere den fulde red team-rapport som standard · revisionen har ikke nødvendigvis brug for angrebsvejen.
At præsentere øvelsen som revisionsbevis for hele sikkerheden · den dækker kun de valgte scenarier.
At lade revisionen indgå i white team · det svækker den senere vurdering.
At udelade forbeholdene · uden dem kan resultatet blive læst som mere, end det er.
At vise fund uden status · revisionen vil se, hvad der er sket bagefter.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan over for revisionen vise, at organisationen afprøver sit forsvar, styrer risikoen ved det og omsætter resultatet til handling. Den kan ikke dokumentere, at kontrollerne virker i alle situationer, og den kan ikke erstatte revisionens egne handlinger. For de regulerede test er der særlige regler om rapporter og erklæring, som ikke gælder en frivillig øvelse.

Tjekliste før revisionen får materialet

☐ Er det aftalt, hvilke dokumenter revisionen får?
☐ Er forbeholdene skrevet ind i materialet?
☐ Er åbne svagheder holdt ude eller beskrevet uden detaljer?
☐ Kan hvert fund følges til en ejer og en status?
☐ Er det afklaret, hvor revisionen opbevarer materialet?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 6, stk. 4 (tre forsvarslinjer og intern revision), stk. 5 (gennemgang af rammen, også på grundlag af test), stk. 6 (intern revision af rammen for IKT-risikostyring) og stk. 7 (formel opfølgningsproces).
Danmarks Nationalbank, TIBER-DK Implementation Document: myndighedernes opfølgning og testen som læringsøvelse og øjebliksbillede.

Senest gennemgået: oktober 2026.