SOC‑leverandøren og øvelsen: hvem skal vide hvad?

Når overvågningen ligger hos en leverandør, er leverandørens analytikere en del af det forsvar, en red team-øvelse skal måle. Det rejser et spørgsmål, som skal være besvaret, før holdet går i gang: hvem hos leverandøren må kende til øvelsen, og hvem må ikke? Svaret hviler på tre forhold: hvad kontrakten tillader, hvordan en opdagelse kan holdes inden for rammerne uden at sætte leverandørens egne procedurer ud af spil, og hvordan leverandøren bagefter får del i læringen.

Hvordan overvågningen håndteres ved en almindelig penetrationstest, er forklaret for købere generelt på penetrationtest.dk. Ved red teaming er spørgsmålet større, fordi selve leverandørens reaktion er en del af det, der måles.

Leverandøren er en del af forsvaret

TIBER-DK, Nationalbankens ramme for de regulerede test, regner eksterne ressourcer som en ekstern SOC med til blue team, og blue team skal ikke vide, at testen forberedes eller finder sted. Det er en nyttig rettesnor også uden for de regulerede test: hvis leverandørens analytikere ved besked, måler øvelsen ikke længere deres reaktion. → Blue team

Samtidig er leverandøren en selvstændig virksomhed med egne kontrakter, procedurer og forpligtelser over for andre kunder. Den kan ikke uden videre behandles som en afdeling i organisationen. NIS2-direktivets artikel 21 nævner forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere, blandt de foranstaltninger, væsentlige og vigtige enheder mindst skal have. En øvelse, der afprøver samspillet med SOC-leverandøren, er en måde at få viden om det forhold. Teksten er ikke juridisk rådgivning.

Kontrakten først

Begynd med aftalen. Den kan indeholde bestemmelser, der har betydning for øvelsen:

Afprøvning · tillader aftalen, at tjenesten afprøves, og skal leverandøren varsles?
Hændelsesforløb · hvad gør leverandøren ved en alvorlig hændelse, og hvem kontakter den?
Tredjeparter · kan leverandøren inddrage myndigheder, andre kunder eller egne underleverandører?
Data · hvilke logs og sagsnoter kan udleveres bagefter, og hvor længe gemmes de?

Hvis aftalen ikke tillader afprøvning uden varsling, er der to veje: få en skriftlig accept fra leverandørens ledelse til netop denne øvelse, eller planlæg en åben form, hvor leverandøren deltager. Den første vej bevarer realismen; den anden giver læring uden at måle den uvidende reaktion. → Kontrakten om en red team-øvelse

En betroet kontaktperson

Den mest almindelige løsning er, at en enkelt person hos leverandøren kender til øvelsen. Personen skal have tilstrækkelig indsigt i leverandørens procedurer til at se, når en hændelse er ved at vokse ud over organisationen, og have mandat til at bremse en eskalering, der ikke må ske. Personen må ikke selv være en af de analytikere, hvis reaktion måles.

TIBER-DK lægger vægt på, at kontrolteamet får besked om enhver opdagelse af testen, både fra organisationens egne medarbejdere og fra tredjepartsleverandører, og at det i så fald styrer eskaleringen af den hændelseshåndtering, der følger. Kontaktpersonen hos leverandøren er en praktisk måde at sikre det på. Aftal, hvordan personen og white team når hinanden, også uden for arbejdstid, og hvilke oplysninger personen må få undervejs. → White team

Når leverandøren eskalerer

En leverandør, der opdager holdet, gør det, den er betalt for: den eskalerer. Til jeres vagthavende, måske til jeres ledelse og i nogle tilfælde videre. Her ligger den største risiko. Hvis leverandøren inddrager myndigheder, advarer andre kunder om en trussel eller sætter et beredskab i gang hos en underleverandør, har øvelsen bevæget sig ud over det, nogen har givet tilladelse til.

Aftal derfor, hvilke skridt der skal stoppes eller udskydes, indtil white team har bekræftet, om aktiviteten er holdets. Bekræftelsen skal ske hurtigt, og den skal ske på en måde, der ikke afslører øvelsen for flere end nødvendigt. Hvis aktiviteten ikke er holdets, skal leverandøren fortsætte, som om der var tale om et rigtigt angreb, for det kan der være. → Øvelse eller rigtigt angreb?

Overvej også leverandørens indgreb i jeres miljø. En sådan tjeneste kan selv isolere en maskine eller spærre en konto. Det er en del af det, der skal måles, men white team skal kunne vurdere, om et indgreb rammer forretningskritiske systemer, og om det i så fald skal ophæves. → Eskalering

Flere leverandører i kæden

Overvågningen er ikke nødvendigvis samlet ét sted. En leverandør kan overvåge endpoints, en anden netværket, og driftsleverandøren kan have sin egen vagt for servere og cloud. Hver af dem kan opdage en del af holdets forløb, og hver af dem kan eskalere ad sin egen vej.

Kortlæg derfor, hvilke leverandører der kan se hvilke dele af scenariet, og tag stilling til kontaktperson og eskalering for hver enkelt. Det kan være i overgangen mellem to leverandører, at et forløb bliver tabt, og det er netop den slags, en øvelse kan afdække, hvis alle parter er med i planlægningen på det rette niveau. → Leverandører i øvelsen

Efter øvelsen: data og samtale

Leverandørens logs, alarmer og sagsnoter er nødvendige for at kunne lægge holdets forløb ved siden af forsvarets. Aftal på forhånd, hvad der udleveres, i hvilket format, og inden for hvilken frist, og husk, at detaljerede data i nogle tjenester kun gemmes i en begrænset periode.

Invitér leverandøren til gennemgangen. En leverandør, der ser, hvilke af holdets skridt den opdagede, og hvilke den ikke opdagede, kan forbedre sine regler og sin eskalering til jer. Det er også det rette sted at tale om, hvordan samspillet virkede: kom beskederne frem til de rigtige, og blev de forstået? → Purple teaming med SOC-leverandøren

Det skal I lade være med

At afprøve leverandøren uden at kende kontrakten · den kan forbyde det eller kræve varsling.
At orientere hele leverandørens team · så måles der ikke længere en uvidende reaktion.
At vælge en kontaktperson uden mandat · personen skal kunne bremse en eskalering.
At glemme leverandørens forpligtelser over for andre · aftal, hvad der ikke må gå videre uden bekræftelse.
At lade data udløbe · aftal udleveringen før øvelsen.
At holde leverandøren ude af læringen · den er en del af forsvaret og skal have del i resultatet.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, om leverandøren opdagede holdets aktivitet, hvor hurtigt den eskalerede, og om eskaleringen nåede frem til nogen hos jer, der handlede. Den kan ikke give en samlet vurdering af leverandørens tjeneste, og den siger ikke, hvordan leverandøren ville reagere på et andet scenarie. Hvis en kontaktperson hos leverandøren kendte til øvelsen, skal rapporten sige det, så resultatet læses med det forbehold.

Tjekliste før start

☐ Er kontraktens bestemmelser om afprøvning, eskalering og data gennemgået?
☐ Er der en skriftlig accept fra leverandøren, hvor kontrakten kræver det?
☐ Er en betroet kontaktperson med mandat udpeget, uden for de analytikere, der måles?
☐ Er det aftalt, hvilke eskaleringer der afventer bekræftelse fra white team?
☐ Er udlevering af logs og sagsnoter aftalt med frist?
☐ Er leverandøren inviteret til gennemgangen efter øvelsen?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: ekstern SOC som en del af blue team og kontrolteamets ansvar for at få besked om opdagelser, også fra tredjepartsleverandører.
Direktiv (EU) 2022/2555 (NIS2): artikel 21, stk. 2, litra d, om forsyningskædesikkerhed og forholdet til direkte leverandører og tjenesteudbydere.

Senest gennemgået: oktober 2026.