Servicedesken i øvelsen: aftaler og hensyn

Servicedesken er det sted i organisationen, hvor nogen hver dag hjælper kolleger, der har glemt en adgangskode, mistet en telefon eller har brug for en ny adgang. Det gør den til en naturlig del af et red team-scenarie, fordi en modstander kan forsøge at bruge netop den hjælpsomhed. Svaret på, hvordan servicedesken kan indgå, hviler på tre ting: en klar aftale med den, der driver servicedesken, en afprøvning af processen og ikke af den enkelte medarbejder, og hensyn til de kolleger, der skal have hjælp, mens øvelsen står på.

NIST’s ordliste beskriver social engineering som at bedrage en person til at udlevere følsomme oplysninger eller give uberettiget adgang. I en øvelse er det servicedeskens procedurer for at kontrollere, hvem der henvender sig, der er genstand for afprøvningen. Hvordan den menneskelige del af en øvelse besluttes, er beskrevet i → Social engineering i en red team-øvelse.

Hvem der driver servicedesken

Begynd med at afklare, hvem medarbejderne i servicedesken er ansat hos. I nogle organisationer er servicedesken helt eller delvist drevet af en driftsleverandør, og så er medarbejderne leverandørens. Jeres ledelse kan ikke give lov på deres vegne. → Driftsleverandører og cloududbydere i øvelsen

Hvis servicedesken er intern, er det jeres egen ledelse og HR, der skal sige ja, og de samme hensyn gælder som for andre kolleger. Hvis den er ekstern, skal leverandørens ledelse give tilladelse, og leverandøren skal have indflydelse på, hvordan dens medarbejdere behandles. Der kan også være en blanding: første henvendelse håndteres eksternt, mens visse opgaver løses internt. Så skal begge parter være med, og det skal være klart, hvem af dem der kan stoppe en henvendelse, hvis noget går skævt.

Se også på, om servicedesken betjener flere kunder end jer. En fælles servicedesk hos en leverandør kan betyde, at holdets henvendelser lander hos medarbejdere, der samtidig hjælper andre organisationer. Det taler for et snævert omfang og en tæt dialog med leverandørens kontaktperson.

Aftalen med leverandøren

En aftale med en ekstern servicedesk bør dække mere end selve tilladelsen:

Fortrolighed · én eller to personer hos leverandøren kender øvelsen og indgår i white team eller har direkte kontakt dertil.
Formålet · at det er processen for at kontrollere identitet og godkende ændringer, der afprøves, ikke medarbejderne.
Konsekvenser · at resultater ikke bruges i leverandørens egne sager om medarbejdere eller i måling af deres præstation.
Kontraktuelle følger · at fund fra øvelsen ikke i sig selv udløser bod eller andre følger efter jeres kontrakt, medmindre det er aftalt.
Stop · hvordan leverandørens kontaktperson kan stoppe en henvendelse, der skaber problemer.

Punktet om kontraktuelle følger er vigtigt. Hvis leverandøren frygter, at øvelsen bliver brugt mod den i en forhandling, kan den være tilbageholdende med at give tilladelse eller med at dele det, den lærer. Hvordan selve kontrakten med red team-leverandøren skrives, er en anden sag. → Kontrakten om red teaming

Processen er genstanden

Det, en øvelse kan sige noget om, er, om servicedeskens procedure for at kontrollere den, der henvender sig, holder under realistiske forhold. Det kan være proceduren for nulstilling af adgang, for ændring af metoder til at logge ind eller for oprettelse af nye rettigheder. Hvis proceduren ikke findes eller ikke er skrevet ned, er det et fund i sig selv, og det kan være en grund til at rette det, før øvelsen begynder. Det giver ikke nødvendigvis mening at afprøve en procedure, alle ved mangler.

Rapporten skal beskrive, hvor proceduren gav efter, og hvorfor: manglede der et kontroltrin, var trinnet svært at bruge, eller var der et pres for at løse sagen hurtigt? Det sidste kan pege på organisationen og ikke på servicedesken, fx hvis målene for servicedesken belønner hurtig løsning højere end kontrol. → Fund om mennesker i rapporten

Hensyn til medarbejderne i servicedesken

Medarbejdere i en servicedesk kan arbejde under tidspres og med mange henvendelser. En henvendelse fra holdet kommer oven i det. Aftal, at holdet ikke bygger på trusler, nødsituationer eller pres, der kan skabe utryghed, og at en henvendelse afsluttes roligt, hvis medarbejderen bliver usikker.

Når øvelsen er slut, skal de medarbejdere, der håndterede holdets henvendelser, have en forklaring. Hvis servicedesken er ekstern, sker det via leverandøren. De, der afviste en henvendelse eller eskalerede den, skal have at vide, at de handlede rigtigt. De, der hjalp holdet, skal have at vide, at det var proceduren og ikke dem, der blev afprøvet, og at de ikke bliver bedømt på det. Forklaringen bør gives af en leder, de kender, og ikke af holdet. → Medarbejderhensyn

Kolleger, der har brug for hjælp

Servicedesken skal også fungere for alle andre, mens øvelsen står på. Holdets henvendelser må ikke forsinke rigtige sager eller fylde så meget, at kolleger venter unødigt. Aftal et omfang, der passer til servicedeskens kapacitet, og undgå perioder med stor belastning, fx en større udrulning eller en sæson med mange nye medarbejdere. Leverandørens kontaktperson kan være den, der bedst kan pege på de uger, hvor servicedesken har luft, og de uger, der bør undgås.

Overvej også, hvordan servicedesken skal registrere holdets henvendelser. Hvis de oprettes som almindelige sager, kan de påvirke statistik og rapporter til ledelsen; det kan aftales, at white team markerer dem bagefter.

Hvis servicedesken samtidig får en rigtig sag, der ligner holdets, skal den rigtige sag altid behandles som ægte, indtil white team har bekræftet det modsatte. → Øvelse eller rigtigt angreb?

Det skal I lade være med

At gå ud fra, at jeres ledelse kan give lov · en ekstern servicedesk kræver leverandørens tilladelse.
At lade resultater bruges i leverandørens personalesager · det skal stå i aftalen.
At udløse kontraktuelle følger uden aftale · det gør leverandøren tilbageholdende.
At bygge henvendelser på trusler eller nødsituationer · det skaber utryghed uden at give bedre viden.
At forsinke rigtige sager · omfanget skal passe til kapaciteten.
At glemme dem, der handlede rigtigt · de skal anerkendes via deres arbejdsgiver.

Hvad kan og ikke kan konkluderes

En øvelse med servicedesken kan vise, om bestemte procedurer for kontrol af identitet og godkendelse af ændringer holdt over for bestemte henvendelser i en bestemt periode. Den kan ikke vise, hvordan andre medarbejdere eller andre vagthold ville have reageret, og den kan ikke bruges til at vurdere den enkelte medarbejder eller leverandørens samlede kvalitet.

Tjekliste før servicedesken indgår

☐ Er det afklaret, hvem medarbejderne i servicedesken er ansat hos?
☐ Har leverandørens ledelse givet tilladelse og udpeget en kontaktperson?
☐ Står det i aftalen, at resultater ikke bruges om enkeltpersoner eller udløser kontraktuelle følger?
☐ Er procedurerne for kontrol af identitet skrevet ned?
☐ Passer omfanget af henvendelser til kapaciteten?
☐ Er forklaring og anerkendelse efter øvelsen planlagt?

Kilder

NIST CSRC Glossary, Social Engineering: social engineering som at bedrage en person til at udlevere følsomme oplysninger eller give uberettiget adgang.

Senest gennemgået: oktober 2026.