Risikovurdering af selve øvelsen

En red team-øvelse skal afdække risici, men den skaber også nogle. Den kan foregå i drift, involverer rigtige medarbejdere og kan udløse reaktioner, som ingen har styr på. Derfor skal øvelsen selv risikovurderes, før den aktive test begynder, og vurderingen skal holdes ved lige, til øvelsen er slut. Vurderingen hviler på de samme principper som organisationens øvrige risikostyring: identificér risiciene, vælg en strategi for hver, giv dem en ejer og følg op.

Det, der adskiller den fra en almindelig risikovurdering, er tempoet. Under en øvelse kan en ny risiko opstå på en eftermiddag, og white team skal kunne tage stilling samme dag.

Hvorfor øvelsen er en risiko i sig selv

Et realistisk angreb opfører sig som et angreb. Det kan få forsvaret til at isolere systemer, spærre konti eller lukke for adgange. Det kan få en medarbejder til at føle sig snydt. Det kan nå frem til data, som holdet ikke burde se. Og det kan, hvis kendskabet spreder sig, give en rigtig modstander et sted at gemme sig.

TIBER-DK fremhæver, at testen foregår i produktionsmiljøer, og at solid risikostyring derfor er afgørende gennem alle faser. Rammen nævner som eksempler, at forsvaret kan lukke systemer ned som led i sin plan for at isolere et inficeret system, og at vigtige servicekonti kan blive låst og give nedetid. Den slags følger ikke af en fejl hos holdet, men af at forsvaret gør, hvad det skal. → Produktionssystemer i red teaming

Risikoområderne

Det hjælper at gå området igennem i kategorier, så intet bliver glemt:

Drift · utilsigtede nedbrud, låste konti, forsvarets egne indgreb og påvirkning af kritiske funktioner.
Data · holdets adgang til persondata, forretningshemmeligheder og kunders oplysninger, og hvordan de opbevares. → Persondata i øvelsen
Mennesker · medarbejdere, der bliver kontaktet, presset eller føler sig udstillet, og holdets egen sikkerhed ved fysisk adgang.
Omdømme · kunder, presse eller myndigheder, der hører om en hændelse, før det er afklaret, at den er en øvelse.
Jura og aftaler · manglende tilladelser fra udlejere, leverandører eller andre tredjeparter.
Fortrolighed · at øvelsen bliver kendt, så resultatet bliver skævt, eller så en angriber kan bruge den som dække.
Sammenfald · at en reel hændelse, en stor release eller en revision falder midt i den aktive test.

Fra risiko til beslutning

For hver risiko vurderes sandsynlighed og konsekvens, og der vælges en strategi. TIBER-DK beder kontrolteamet angive, om en risiko accepteres, reduceres eller elimineres, og hvilke handlinger der skal til. Det er en brugbar opdeling også uden for TIBER.

En risiko kan reduceres på flere måder: ved at frede et system, ved at lægge den aktive test uden for perioder med særlig belastning, ved at have en driftsansvarlig i white team, ved at aftale en hurtig vej til at genåbne låste konti, eller ved at kræve, at holdet stopper og spørger, før det går videre et bestemt sted. → Fredede områder

Nogle risici elimineres bedst ved at fravælge et scenarie. Det er en legitim beslutning, og den skal noteres som en begrænsning i øvelsen. Andre accepteres bevidst, fordi gevinsten ved at afprøve noget realistisk er større. Accepten skal komme fra en person, der har mandat til det.

NIST definerer en risikovurdering som en systematisk undersøgelse af risiko med disciplinerede processer, metoder og værktøjer, der lader beslutningstagere vurdere og prioritere risici løbende. Det løbende er nøgleordet her.

Hvem ejer risikoen?

White team udarbejder og vedligeholder vurderingen, men det er ikke white team, der ejer alle risici. Driftsrisici ejes af den, der ejer driften. Risici for medarbejdere drøftes med HR. Den samlede rest accepteres af den person i ledelsen, der har godkendt øvelsen. Holdet bidrager med sin vurdering af, hvad dets aktiviteter kan medføre, og bør selv have styr på risikoen ved sine egne metoder. → Ledelsens godkendelse

For finansielle virksomheder, der gennemfører TLPT, er risikostyring et selvstændigt emne i den delegerede forordning om trusselsbaseret penetrationstest, som har en særskilt artikel om det. Kravene gælder TLPT, ikke frivillige øvelser, men de viser, hvor alvorligt emnet tages. → RTS om TLPT

Vurderingen lever under øvelsen

Vurderingen er ikke færdig, når den aktive test går i gang. Nye risici opstår, når holdet finder en uventet vej, når et scenarie justeres, eller når en leverandør bliver inddraget. TIBER-DK forventer, at kontrolteamet vurderer risiciene løbende, bl.a. når scenarierne er udarbejdet, og at nye risici fra holdets aktiviteter drøftes på statusmøderne. → Statusmøder

Hav derfor vurderingen med på hvert statusmøde, og opdater den, når noget ændrer sig. Når en risiko materialiserer sig, er det stopreglerne, der træder i kraft, og bagefter bør vurderingen gennemgås for at se, om risikoen var forudset. → Stopregler

Et tænkt eksempel

En pensionskasse planlægger en øvelse med et scenarie, hvor holdet skal forsøge at nå systemet til udbetalinger. Risikovurderingen viser tre forhold, der kræver handling. Den aktive test overlapper med den årlige kørsel af pensionsudbetalinger, så perioden flyttes. Forsvarets plan for at isolere servere kan ramme udbetalingssystemet, så en driftsansvarlig optages i white team med mandat til at bremse et indgreb, der truer driften. Og et af scenarierne kræver kontakt til medarbejdere i kundeservice, så HR inddrages i rammerne for den del.

En fjerde risiko, at holdet kan komme til at se oplysninger om enkelte medlemmer, accepteres med betingelser: holdet må konstatere adgangen, men ikke åbne eller gemme oplysningerne. Accepten underskrives af direktøren, og betingelsen skrives ind i spillereglerne. Vurderingen gennemgås igen, da holdets testplan foreligger, og to nye risici tilføjes.

Det skal I lade være med

At lade holdet stå for hele risikovurderingen · det kender sine metoder, ikke jeres drift.
At glemme forsvarets egne reaktioner · de kan give mere nedetid end holdet selv.
At lade den samlede rest stå uden ejer · nogen i ledelsen skal have accepteret den.
At skrive vurderingen én gang og lægge den væk · den skal opdateres undervejs.
At overse mennesker og omdømme · de tekniske risici er ikke nødvendigvis de eneste.

Hvad kan og ikke kan konkluderes

En grundig risikovurdering gør det sandsynligt, at øvelsen kan gennemføres uden alvorlig skade, og den gør det muligt at forklare bagefter, hvilke risici der blev taget bevidst. Den kan ikke garantere, at intet går galt. En hændelse under øvelsen er ikke i sig selv et tegn på dårlig planlægning, men på, at vurderingen skal læres af.

Tjekliste til risikovurderingen

☐ Er alle risikoområder gennemgået, også mennesker og omdømme?
☐ Har hver risiko en strategi og en ejer?
☐ Er forsvarets mulige indgreb og deres følger vurderet?
☐ Har en person med mandat accepteret den samlede rest?
☐ Er vurderingen et fast punkt på statusmøderne?
☐ Er det aftalt, hvornår vurderingen skal opdateres?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: risikostyring gennem alle faser, eksempler på risici i produktion, strategi for hver risiko og løbende vurdering under den aktive test.
Kommissionens delegerede forordning (EU) 2025/1190: tekniske reguleringsstandarder for TLPT, herunder en artikel om risikostyring.
NIST CSRC Glossary, Risk Assessment: risikovurdering som systematisk og løbende undersøgelse af risiko.

Senest gennemgået: oktober 2026.