Scenarievalg: fra trusselsbillede til få, skarpe scenarier

Et trusselsbillede for en større organisation peger altid på flere mulige angreb, end en øvelse kan nå at afprøve. Valget af scenarier afgør derfor, hvad organisationen får svar på, og lige så vigtigt, hvad den ikke får svar på. Valget hviler på tre ting: en bred liste af kandidater fra trusselsefterretningen, en håndfuld kriterier, som white team har aftalt på forhånd, og en skriftlig begrundelse for både til- og fravalg.

Det er en beslutning for sikkerhedsfunktionen, ikke for leverandøren alene. Holdet kan vurdere, hvad der kan lade sig gøre, men kun organisationen ved, hvilke svar der er mest værd.

Fra trusselsbillede til kandidatliste

Udgangspunktet er det, organisationen allerede ved: risikoregistret, egne hændelser, sektorens erfaringer og den efterretning, der er indhentet til øvelsen. Ud fra det formuleres en række kandidater, der hver beskriver en modstander, et motiv, et udgangspunkt og et mål. → Trusselsefterretning

NIST beskriver et trusselsscenarie som en række trusselshændelser knyttet til en eller flere trusselskilder og ordnet nogenlunde i tid. Definitionen er nyttig, fordi den minder om, at et scenarie er en kæde og ikke et enkelt angreb. En kandidat, der kun beskriver vejen ind, er ikke færdig.

TIBER-DK lader leverandøren af trusselsefterretning foreslå en lang liste på seks til ti udkast, som kontrolteamet derefter vælger og tilpasser mindst tre fra. Tallene gælder TIBER-DK, men arbejdsgangen kan bruges i alle øvelser: først bredde, så udvælgelse.

Kriterierne for udvælgelsen

Aftal kriterierne, før listen ligger på bordet. Ellers vinder det scenarie, der lyder mest dramatisk.

Relevans for kritiske funktioner · rammer scenariet noget, organisationen ikke kan undvære?
Sandsynlighed · bygger det på modstandere og metoder, efterretningen faktisk peger på?
Læringsværdi · hvilke dele af forsvaret bliver afprøvet, og er de afprøvet før?
Gennemførlighed · kan holdet udføre det inden for tid, tilladelser og etiske grænser?
Risiko · hvad kan scenariet påvirke i drift, data og blandt medarbejdere?
Behov for hjælp undervejs · vil scenariet kræve, at white team giver holdet et skub, og er det acceptabelt?

TIBER-DK nævner lignende kriterier: anbefalingen fra efterretningsleverandøren, holdets vurdering af gennemførlighed, strategiske hensyn som scenarier fra tidligere test og behovet for leg-ups samt organisationens størrelse og risikoprofil. → Leg-up

Kriterierne kan med fordel vægtes. Et scenarie med høj relevans og høj læringsværdi kan godt bære en vis risiko, hvis risikoen kan styres. Et scenarie, der kun scorer på dramatik, bør falde fra tidligt. Gennemgangen behøver ikke tage lang tid, når kriterierne er aftalt, og den giver white team et fælles grundlag, hvis der senere opstår uenighed om, hvorfor netop disse scenarier blev valgt. Inddrag gerne forretningens ejere af de kritiske funktioner i vurderingen af relevans, hvis fortroligheden tillader det.

Spredning frem for gentagelse

Tre scenarier, der alle handler om at stjæle data via samme indgang, giver mindre læring end tre, der rammer forskelligt. TIBER-DK kræver, at mindst ét af de endelige scenarier handler om henholdsvis tilgængelighed, integritet og fortrolighed, og at der er bredde i modstandere, motiver og indgange. Uden for TIBER er der intet krav, men princippet er godt: spred scenarierne over forskellige trusler og forskellige dele af forsvaret.

Et tænkt eksempel fra en større forsikringsvirksomhed: kandidatlisten rummer et ransomware-scenarie, et scenarie om en kompromitteret leverandør og et om en insider med adgang til skadesudbetalinger. De tre rammer hver sin del af forsvaret og hver sin ejer i organisationen. Et fjerde scenarie om datatyveri fra kundeportalen fravælges, fordi en nylig test af portalen allerede har givet et billede. → Ransomware som scenarie · Insiderscenariet

Ét fremadskuende scenarie

Et scenarie kan bygge på det, modstandere allerede gør. TIBER-DK åbner for, at højst ét af de endelige scenarier kan være fremadskuende og ikke trusselsbaseret, så organisationen kan lære noget om nye eller mulige angrebsveje. Det kan være værdifuldt, men det skal stå klart i rapporten, hvilket scenarie der bygger på evidens, og hvilket der bygger på en antagelse.

Uden for TIBER kan det fremadskuende scenarie være en god måde at afprøve en ny forretningsmodel, en ny platform eller en organisationsændring, hvor der endnu ikke findes erfaringer med angreb. Spørgsmålet er da ikke, hvad modstandere plejer at gøre, men hvad de sandsynligvis vil forsøge, når muligheden opstår. Den slags scenarier kræver en ekstra omhyggelig risikovurdering, fordi der er færre erfaringer at støtte sig til.

Et fælles sprog for scenarierne

Når scenarierne beskrives, hjælper det at bruge et sprog, som både holdet, white team og forsvaret forstår. MITRE ATT&CK er en vidensbase over modstanderes taktikker og teknikker baseret på observationer fra virkeligheden, og den kan bruges til at beskrive, hvilken adfærd et scenarie forventes at rumme. Det gør det lettere bagefter at sammenligne, hvad holdet gjorde, med det forsvaret så. Rammen er et sprog til planlægning og måling, ikke en opskrift. → MITRE ATT&CK i red teaming

Begrund fravalgene

Det er fravalgene, der let bliver glemt. Når et scenarie ikke kommer med, er det en beslutning om, at organisationen ikke får svar på dét spørgsmål denne gang. Skriv kort, hvorfor: for høj risiko, for lidt læring, dækket af en anden test, eller planlagt til næste øvelse. Begrundelsen er nyttig for ledelsen, for revisionen og for den, der skal planlægge næste runde. → Næste øvelse

Begrundelsen beskytter også mod en senere misforståelse. Hvis øvelsen går godt, kan det blive læst som et bevis på, at organisationen er godt beskyttet mod alt. Listen over fravalgte scenarier viser, hvor svaret holder op. Den kan også blive udgangspunktet for mindre, målrettede øvelser i mellemtiden.

Det skal I lade være med

At vælge det mest spektakulære scenarie · relevans og læring vejer tungere end dramatik.
At lade leverandøren vælge alene · holdet vurderer gennemførlighed, organisationen vurderer værdi.
At gentage samme indgang i alle scenarier · det giver tre svar på samme spørgsmål.
At blande evidens og antagelse · et fremadskuende scenarie skal være markeret som sådan.
At glemme at skrive fravalgene ned · uden dem bliver resultatet læst for bredt.

Hvad kan og ikke kan konkluderes

Et begrundet scenarievalg gør det muligt at sige, hvilke trusler øvelsen har belyst, og hvorfor de blev prioriteret. Det kan ikke vise, hvordan forsvaret klarer de scenarier, der blev fravalgt, og et godt valg i dag kan være forældet, når trusselsbilledet ændrer sig. → Scenariebaseret test

Tjekliste før scenarierne godkendes

☐ Bygger kandidatlisten på aktuel efterretning og organisationens egne risici?
☐ Er kriterierne aftalt, før listen blev gennemgået?
☐ Rammer de valgte scenarier forskellige dele af forsvaret?
☐ Er risikoen ved hvert scenarie vurderet?
☐ Er det markeret, om et scenarie er fremadskuende?
☐ Er fravalgene begrundet skriftligt?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: lang liste på seks til ti udkast, kriterier for kontrolteamets valg, mindst tre scenarier med krav om tilgængelighed, integritet og fortrolighed, højst ét fremadskuende scenarie.
NIST CSRC Glossary, Threat Scenario: trusselsscenarie som en række trusselshændelser knyttet til en eller flere trusselskilder, ordnet i tid.
MITRE ATT&CK: vidensbase over modstanderes taktikker og teknikker baseret på observationer.

Senest gennemgået: oktober 2026.