Små, hyppige kontrolløvelser mellem de store

En stor red team-øvelse leverer et forløb, en tidslinje og en handlingsplan, men derefter går der måske lang tid, før nogen igen afprøver, om forsvaret virker. I den periode ændres systemer, regler i overvågningen og bemandingen, og ingen ved med sikkerhed, om de rettelser, der blev lavet efter øvelsen, stadig holder. Små kontrolløvelser er et svar på det hul. De hviler på en enkel idé: et åbent, afgrænset samarbejde mellem dem, der angriber, og dem, der forsvarer, om én kontrol ad gangen.

Formen er purple teaming i hverdagsudgave. Der er ingen fortrolighed over for blue team, intet skjult scenarie og ingen stor rapport. Til gengæld er der et præcist spørgsmål, en kort session og en beslutning bagefter.

Hvad en lille kontrolløvelse er

TIBER-EU’s vejledning om purple teaming beskriver purple teaming som en samarbejdsaktivitet mellem red team og blue team, der kan spænde fra drøftelser omkring et bord til konkrete tekniske afprøvninger. Vejledningen handler om de regulerede test, men beskrivelsen passer også på den lille, interne udgave.

En kontrolløvelse har tre kendetegn:

Ét spørgsmål · fx om en bestemt type hændelse bliver opdaget og eskaleret, efter at overvågningen er ændret.
Åben deltagelse · forsvaret ved, at der øves, og sidder med, mens det sker.
Kort varighed · sessionen kan gennemføres uden at lægge driften eller SOC’en ned.

Hvad der afprøves, besluttes ud fra jeres egne fund og prioriteter. Teknikken bag den enkelte afprøvning er holdets og forsvarets fagområde, ikke CISO’ens. CISO’ens opgave er at sikre, at spørgsmålet er relevant, og at svaret bliver brugt. → Purple teaming

Hvornår en lille øvelse giver mening

Små kontrolløvelser er nyttige, når der er noget konkret at efterprøve. Anledninger kan være:

Efter en rettelse · en anbefaling fra den store øvelse er gennemført, og I vil vide, om den virker i praksis.
Efter en ændring · et nyt system, en ny leverandør eller en ny overvågningsregel er taget i brug.
Efter en hændelse · en rigtig hændelse har vist et svagt punkt, og I vil vide, om det er lukket.
Ved nye medarbejdere · et nyt hold i SOC’en skal lære, hvordan en bestemt type angreb ser ud i jeres miljø.

Det, der ikke giver mening, er at gennemføre små øvelser uden anledning, blot fordi kalenderen siger det. Så bliver de en rutine, som ingen tager beslutninger på baggrund af.

Deltagere og roller

En kontrolløvelse kræver ikke et stort white team, men den kræver tydelige roller. Mindst disse personer bør være udpeget:

En ansvarlig for sessionen · fx en fra sikkerhedsfunktionen, der kan afgøre, hvad der må ske i produktionen.
En angribende part · et internt hold, en ekstern leverandør eller en kollega med den rette erfaring.
Forsvaret · de analytikere eller den SOC-leverandør, der skal se og reagere.
En ejer af kontrollen · den, der skal handle, hvis kontrollen ikke virker.

Ejeren af kontrollen er den rolle, der lettest bliver glemt. Hvis den mangler, ender et resultat på en liste uden modtager. Hvis overvågningen ligger hos en leverandør, skal leverandørens deltagelse være aftalt. → Purple teaming med SOC-leverandøren

Rytme og omfang

Der er ingen fast regel for, hvor tit små kontrolløvelser skal holdes. Rytmen bør følge forandringerne i miljøet og antallet af åbne punkter fra den seneste store øvelse. En organisation med mange rettelser i gang har mere at efterprøve end en, hvor handlingsplanen er afsluttet.

Hold omfanget lille. Hvis en session vokser til en hel dag med mange emner, mister den sin skarphed og begynder at ligne et kursus. Det er bedre at gennemføre flere korte sessioner med hvert sit spørgsmål. → Når purple teaming bliver en undervisningsdag

Et kort notat pr. session

En lille øvelse fortjener ikke en lang rapport, men den skal efterlade et spor. Et notat på en side er nok, når det besvarer de samme punkter hver gang: hvilket spørgsmål sessionen skulle besvare, hvad der blev afprøvet på et overordnet niveau, hvad forsvaret så og ikke så, hvilken beslutning der blev truffet, og hvem der ejer den.

Fordelen ved et fast format er, at notaterne kan lægges ved siden af hinanden. Efter et år kan sikkerhedsfunktionen se, hvilke kontroller der er efterprøvet, hvilke der fortsat giver problemer, og hvilke punkter fra den store øvelses handlingsplan der nu kan lukkes med dokumentation. Notaterne er også et godt grundlag, når næste store øvelse skal planlægges, fordi de viser, hvor forsvaret allerede er afprøvet, og hvor det ikke er. → Hvad skal skrives ned i purple teaming?

Det, de små øvelser ikke kan

En åben kontrolløvelse måler noget andet end en skjult øvelse. Når forsvaret ved, at der øves, ser det mere opmærksomt efter, og tiden til opdagelse bliver kortere end i virkeligheden. Små øvelser kan derfor vise, om en kontrol kan virke, men ikke om den virker en almindelig tirsdag nat, når ingen venter det.

De kan heller ikke afprøve samspillet mellem mange kontroller over et længere forløb, og de siger intet om, hvordan en modstander ville vælge vej gennem organisationen. Det er den store øvelses domæne, og de små øvelser erstatter den ikke. → Kontinuerlig red teaming

Det skal I lade være med

At holde øvelser uden anledning · hver session skal have et spørgsmål, der fører til en beslutning.
At lade resultatet stå uden ejer · udpeg den, der skal handle, før sessionen begynder.
At sammenligne tider med den store øvelse · en åben øvelse giver kortere tider end en skjult.
At lade sessionerne vokse · mange emner på én dag svækker hvert enkelt.
At springe dokumentationen over · uden notater kan I ikke vise, at kontrollen blev efterprøvet.
At bruge små øvelser som erstatning for den store · de svarer på et andet spørgsmål.

Hvad kan og ikke kan konkluderes

En lille kontrolløvelse kan vise, om en bestemt kontrol eller detektion fungerer under kendte forhold, og om forsvaret ved, hvad det skal gøre, når den slår ud. Den kan ikke vise, hvordan forsvaret klarer sig, når det ikke er varslet, eller hvordan kontrollerne virker sammen mod en modstander, der vælger sin egen vej. Resultaterne er et godt grundlag for at holde handlingsplanen i live, men de bør ikke indgå i ledelsens nøgletal på samme måde som en skjult øvelse. → Måling over tid

Tjekliste før en kontrolløvelse

☐ Er spørgsmålet formuleret, så svaret kan føre til en beslutning?
☐ Er ejeren af kontrollen udpeget og til stede?
☐ Er det aftalt, hvad der må ske i produktionen, og hvem der kan stoppe sessionen?
☐ Er SOC-leverandøren eller det interne forsvar orienteret og med?
☐ Er det besluttet, hvem der skriver resultatet ned, og hvor det gemmes?

Kilder

ECB, TIBER-EU Purple Teaming Guidance (2025): purple teaming som samarbejdsaktivitet mellem red team og blue team, fra drøftelser omkring et bord til tekniske afprøvninger.

Senest gennemgået: oktober 2026.