Fra øvelse til risikoregister

En red team-øvelse giver noget, risikoregistret ikke nødvendigvis har: et konkret forløb, der viser, at en bestemt modstander under bestemte forhold kunne nå et bestemt mål. Når resultatet kun lever i handlingsplanen, forsvinder det, så snart punkterne er lukket. Overførslen til risikoregistret hviler på at oversætte fund til risikobeskrivelser, at bruge øvelsen som evidens i vurderingen og at registrere det, der ikke rettes, som en bevidst accept med en ejer.

Svaret på, hvordan øvelsen kommer ind i registret, er altså ikke at kopiere fundlisten. Det er at spørge, hvilke risici øvelsen har bekræftet, ændret eller afsløret.

Hvorfor øvelsen hører hjemme i risikostyringen

NIST beskriver et risikoregister som en central fortegnelse over aktuelle risici og tilhørende oplysninger for et givet område eller en organisation, og tilføjer, at aktuelle risici omfatter både accepterede risici og risici med en planlagt afhjælpning. En handlingsplan er det andet: en liste over opgaver. De to skal hænge sammen, men de er ikke det samme.

DORA kræver, at finansielle virksomheder løbende indarbejder erfaringer fra TLPT i deres vurdering af IKT-risici, og at resultaterne danner grundlag for gennemgange af rammen for IKT-risikostyring. Uden for den finansielle sektor er der ikke et tilsvarende krav, men logikken holder: en øvelse, der ikke påvirker risikovurderingen, har kun forbedret enkeltdele af forsvaret, ikke ledelsens billede af det. → Handlingsplan efter red teaming

Fra fund til risikobeskrivelse

Et fund beskriver en svaghed. En risiko beskriver, hvad der kan ske, hvorfor og med hvilken konsekvens. Oversættelsen kræver tre led:

Trussel · hvem kunne udnytte forholdet, og med hvilket mål? Scenariet giver svaret. → Scenarievalg
Forhold · hvilken svaghed eller mangel gjorde det muligt, helst på rodårsagsniveau.
Konsekvens · hvad det ville betyde for forretningen, hvis en rigtig modstander gennemførte forløbet.

Et tænkt eksempel: øvelsen viste, at holdet kunne nå betalingssystemet via en leverandørs fjernadgang uden at blive set. Fundene handler om leverandørens adgang og om manglende overvågning. Risikoen handler om, at en modstander via en leverandør kan manipulere betalinger, før det opdages. Det er risikoen, ledelsen skal tage stilling til. Fundene er midlerne.

Rodårsager kan være det rigtige niveau for registret. Fem fund med samme årsag er én risiko, ikke fem. → Rodårsager efter red teaming

Manglende opdagelse fortjener særlig opmærksomhed. Hvis forsvaret ikke så forløbet, er det ikke kun en svaghed i overvågningen, men en risiko i sig selv: at en modstander kan arbejde i miljøet i længere tid, uden at organisationen ved det. Den risiko påvirker konsekvensen af næsten alle andre risici i registret, fordi en hændelse, der opdages sent, bliver større. Den bør derfor stå som en selvstændig risiko med sin egen ejer.

Øvelsen som evidens

En risikovurdering bygger i sagens natur på skøn. En øvelse giver et datapunkt, der kan understøtte eller udfordre skønnet. Gå registrets eksisterende risici igennem og spørg for hver, om øvelsen siger noget om den:

Bekræftet · øvelsen viste, at risikoen er reel, som vurderet.
Undervurderet · forløbet var lettere, eller opdagelsen langsommere, end vurderingen forudsatte.
Overvurderet · en kontrol virkede bedre, end vurderingen gik ud fra.
Ny · øvelsen afslørede en risiko, registret ikke kendte.

Den tredje kategori skal behandles varsomt. At holdet blev stoppet i ét forløb, er ikke bevis for, at risikoen er lav. Det er et argument for at se nærmere på kontrollen, ikke for at nedskrive risikoen alene på det grundlag. → Hvad red teaming ikke kan svare på

Notér i registret, at vurderingen bygger på en øvelse, hvilken og hvornår. Så kan den, der læser registret om et år, se, hvor gammel evidensen er.

Risikoejer og handlingsejer

Risikoejeren er den, der har ansvaret for risikoen og beføjelse til at acceptere den. Det kan være en leder i forretningen. Handlingsejeren er den, der skal gennemføre et tiltag. Det kan være en funktion i IT, sikkerhed, HR eller facility. De to kan sagtens være forskellige personer.

Når en øvelse har vist en risiko for en forretningsproces, skal procesejeren kende den og eje den. Sikkerhedsfunktionen kan forklare og anbefale, men kan ikke acceptere en risiko på forretningens vegne.

Aftal, hvordan risikoejeren holdes orienteret, mens handlingsejerne arbejder. Når et tiltag i handlingsplanen er gennemført og kontrolleret, skal risikoen vurderes igen, og det er risikoejeren, der beslutter, om den nye vurdering er god nok. Uden den kobling kan registret vise en høj risiko længe efter, at den er mindsket, eller en lav risiko, der bygger på et tiltag, som aldrig blev færdigt. → Afrapportering til direktion og bestyrelse

Accept og restrisiko

De tekniske reguleringsstandarder for TLPT kræver, at udbedringsplanen for hvert resultat beskriver risikoen ved ikke at gennemføre tiltagene. Det er præcis den oplysning, risikoregistret har brug for, når et punkt ikke rettes nu.

En accept bør stå i registret med begrundelse, den der accepterede, og en dato for ny vurdering. Også når et tiltag er gennemført, kan der være en restrisiko. Den skal beskrives, så registret ikke viser en risiko som løst, hvis den kun er mindsket. Hvis restrisikoen er for stor til at acceptere, er det et argument for en investering. → Fra øvelse til investeringsbeslutning

Fortrolighed i registret

Risikoregistret læses af flere end øvelsens rapporter. Beskriv derfor risikoen på et niveau, der giver mening for ledelsen, uden angrebsvejens detaljer. “Betalinger kan manipuleres via leverandørens fjernadgang uden at blive opdaget” er nok. Hvordan holdet kom igennem, hører hjemme i den fulde rapport med begrænset adgang, og registret kan henvise til den. → Hvem må kende resultatet?

Det skal I lade være med

At kopiere fundlisten ind i registret · registrér risici, ikke svagheder.
At nedskrive en risiko, fordi holdet blev stoppet én gang · ét forløb er ikke bevis.
At lade sikkerhedsfunktionen acceptere forretningens risici · ejeren skal sidde i forretningen.
At markere en risiko som løst, når den kun er mindsket · beskriv restrisikoen.
At skrive angrebsvejen ind i registret · det læses af flere.
At glemme datoen for evidensen · en gammel øvelse siger mindre.

Hvad kan og ikke kan konkluderes

En øvelse kan bekræfte, skærpe eller udfordre risikovurderingen for de scenarier, den afprøvede. Den kan ikke give et samlet billede af organisationens risici og kan ikke alene begrunde, at en risiko vurderes lavere. Registret bliver mest retvisende, når øvelsens resultat lægges sammen med pentest, hændelser og trusselsbilledet.

Tjekliste til overførslen

☐ Er fundene oversat til risici med trussel, forhold og konsekvens?
☐ Er eksisterende risici vurderet som bekræftet, undervurderet, overvurderet eller nye?
☐ Har hver risiko en ejer i forretningen?
☐ Er accepter registreret med begrundelse og dato for ny vurdering?
☐ Er restrisici beskrevet for gennemførte tiltag?
☐ Fremgår det, hvilken øvelse vurderingen bygger på?

Kilder

NIST CSRC Glossary, risk register: risikoregister som central fortegnelse over aktuelle risici, herunder accepterede og planlagt afhjælpede (efter IR 8170, SP 800-221 og IR 8286).
Forordning (EU) 2022/2554 (DORA): artikel 13, stk. 3, om erfaringer fra TLPT i IKT-risikovurderingen.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 13, stk. 2, litra e, om risikoen ved ikke at gennemføre tiltagene.

Senest gennemgået: oktober 2026.