Skjult eller åben øvelse: hvem ved, at der testes?

Et af de første spørgsmål i en sikkerhedsfunktion, når en red team-øvelse kommer på tale, er, om SOC’en skal vide besked. Svaret afgør mere end noget andet, hvad øvelsen kan måle. I en skjult øvelse kender kun en lille kontrolgruppe til den, og forsvaret arbejder, som det plejer. I en åben øvelse ved forsvaret besked, og målet er at lære sammen. Valget hviler på, om I vil måle hverdagens reaktion eller forbedre den i fællesskab.

Der er ingen rigtig løsning for alle. Begge former har deres plads, og det kan give mening at veksle mellem dem fra øvelse til øvelse. Det vigtige er, at valget er bevidst, skriftligt og forstået af dem, der skal leve med konsekvenserne. Spørgsmålet om medarbejdere ved almindelige pentest er beskrevet for købere generelt på penetrationtest.dk. I red teaming er det et langt større spørgsmål.

Den skjulte øvelse: realisme som formål

I den skjulte form ved forsvaret ikke, at der øves. Det er den eneste måde at se, hvordan overvågning, eskalering og beredskab reagerer en almindelig dag, med de folk, der er på vagt, og de rutiner, der faktisk følges. TIBER-rammerne bruger denne form: blue team er uvidende om testen frem til afslutningsfasen, og kun kontrolteamet kender til den.

Prisen er risiko og ubehag. En opdagelse kan sætte et rigtigt beredskab i gang, involvere leverandører og i værste fald ledelsen, før nogen ved, at det er en øvelse. Medarbejdere kan føle sig snydt bagefter. Den skjulte øvelse kræver derfor et stærkt white team og en klar plan for, hvad der sker, når nogen slår alarm.

Den skjulte form kræver også, at ledelsen har godkendt den på et oplyst grundlag. Direktionen skal vide, at et beredskab kan blive aktiveret uden grund, at nøglepersoner kan blive kaldt ind uden for arbejdstid, og at en leverandør kan reagere, som om angrebet var ægte. Hvis ledelsen ikke er indstillet på de konsekvenser, er en åben eller delvis åben form et bedre valg. → White team

Den åbne øvelse: samarbejde som formål

I den åbne form ved forsvaret, at øvelsen foregår, og eventuelt også hvornår. Det fjerner muligheden for at måle den uforberedte reaktion, men åbner for noget andet: forsvaret kan følge med, stille spørgsmål og justere sine regler, mens øvelsen står på. Det er grundtanken i purple teaming. Resultatet bliver ikke en måling af, hvordan forsvaret ville have klaret sig alene, men en liste over forbedringer, som forsvaret selv har været med til at finde og afprøve, mens holdet stadig var til stede.

Den åbne form passer, når organisationen er tidligt i sin modenhed, når overvågningen er ny, eller når formålet er at træne snarere end at måle. Den er også lettere at forsvare over for medarbejdere og tillidsrepræsentanter, fordi ingen bliver prøvet uden at vide det. → Purple teaming eller red teaming?

Mellemformer og delvis viden

Mellem de to yderpunkter findes en række varianter. Overvågningsleverandøren kan være orienteret, mens den interne SOC ikke er. Ledelsen af blue team kan kende perioden, men ikke scenariet. Servicedesken kan være instrueret i at sende bestemte henvendelser videre til en kontaktperson uden at vide hvorfor.

Hver variant påvirker resultatet. Hvis lederen af forsvaret kender perioden, kan opmærksomheden stige ubevidst. Hvis overvågningsleverandøren er orienteret, måles kun den interne del af kæden. Skriv derfor ned, præcis hvem der vidste hvad, og hvornår, så rapporten kan læses med det forbehold. → SOC-leverandøren og øvelsen

Need to know i praksis

Når øvelsen er skjult, skal kredsen af indviede være så lille som muligt. TIBER-DK begrænser kendskabet til kontrolteamet, ledelsen og de eksterne parter og lægger op til, at andre medarbejdere kun orienteres, hvis der er tungtvejende grunde og forudgående aftale med myndighedens testledelse. Rammen nævner også, at testen får et kodenavn, så den kan omtales uden at blive afsløret. → Kodenavn og dokumenthåndtering

Uden for TIBER kan samme principper bruges. Et kodenavn, en kort liste over indviede, faste kanaler for kommunikation og en aftale om, hvordan mødeindkaldelser og fakturaer beskrives, gør det lettere at holde øvelsen skjult. Det er små ting, men en enkelt kalenderinvitation med et sigende emne kan afsløre en øvelse. → Fortrolighed om øvelsen

Når forsvaret opdager øvelsen

En skjult øvelse skal have en plan for opdagelse. TIBER-DK lægger vægt på, at kontrolteamet har adgang til toppen af eskaleringskæden og bliver informeret, når testen opdages, så reaktionen kan styres. Samtidig skal hemmeligholdelsen bevares så vidt muligt, også efter en opdagelse.

Det kræver en balance. White team skal kunne bekræfte over for den rette person, at en aktivitet hører til øvelsen, uden at hele forsvaret får det at vide. Og white team skal kunne afgøre, om en reaktion skal have lov at fortsætte, så den kan måles, eller stoppes, fordi den truer driften. En opdagelse er i øvrigt et resultat, ikke et uheld. → Når blue team opdager holdet

Efter øvelsen: åbenhed som pligt

Uanset formen skal øvelsen afsluttes åbent. De medarbejdere, der var en del af den uden at vide det, skal have en forklaring, og blue team skal se hele forløbet. Forklaringen bør komme hurtigt og fra en leder, så ingen hører om øvelsen gennem rygter, før organisationen selv har fortalt om den. Hensynet til medarbejderne er særligt vigtigt, hvis øvelsen omfattede social engineering. → Medarbejderhensyn

Det skal I lade være med

At vælge den skjulte form, fordi den lyder mest realistisk · Vælg den, der passer til formålet og modenheden.
At lade kredsen af indviede vokse · Hver ny person øger risikoen for, at øvelsen siver ud.
At glemme at dokumentere, hvem der vidste hvad · Uden den oplysning kan resultatet ikke læses korrekt.
At mangle en plan for opdagelse · White team skal kunne handle, når nogen slår alarm.
At holde forsvaret uden for gennemgangen · Det skjulte skal blive åbent, når øvelsen er slut.

Hvad kan og ikke kan konkluderes

En skjult øvelse kan vise, hvordan forsvaret reagerede uden forvarsel i det afprøvede forløb. En åben øvelse kan vise, hvor hurtigt forsvaret kan forbedre sig, når det arbejder sammen med holdet. Ingen af dem kan vise begge dele på én gang, og ingen af dem siger noget om, hvordan reaktionen ville have været med andre personer på vagt.

Tjekliste før valget

☐ Er formålet at måle hverdagens reaktion eller at træne og forbedre?
☐ Er det besluttet, hvem der kender til øvelsen, og er listen kort?
☐ Er overvågningsleverandørens rolle afklaret?
☐ Har øvelsen et kodenavn og faste kanaler for kommunikation?
☐ Er der en plan for, hvad white team gør ved en opdagelse?
☐ Er afslutningen og orienteringen af medarbejderne planlagt?

Kilder

Danmarks Nationalbank: TIBER-DK Implementation Document: blue teams uvidenhed frem til afslutningsfasen, need to know, kodenavn og kontrolteamets håndtering af en opdagelse.
CSRC Glossary: white team: white team som den lille gruppe med forhåndskendskab til uanmeldte red team-aktiviteter.

Senest gennemgået: oktober 2026.