Social engineering i en red team‑øvelse: beslutningen om at tage mennesker med

Et virkeligt angreb kan begynde med et menneske, der åbner en dør, svarer på en henvendelse eller godkender en anmodning, men det følger ikke af sig selv, at jeres øvelse skal gøre det samme. Beslutningen hviler på to ting: om det spørgsmål, øvelsen skal besvare, faktisk handler om mennesker og processer, og om organisationen kan bære prisen for at involvere kolleger, der ikke ved, at de er med. Tag social engineering med, når den menneskelige indgang er en del af det scenarie, I frygter, og når tilladelser, etik og opfølgning er på plads. I andre tilfælde kan et andet udgangspunkt give mere læring for mindre risiko.

NIST’s ordliste beskriver social engineering som forsøg på at narre nogen til at udlevere følsomme oplysninger eller skaffe sig uberettiget adgang. I en øvelse er det jeres egne kolleger, der bliver forsøgt narret, og det sker på ledelsens foranledning. Den kendsgerning bør stå tydeligt i beslutningsgrundlaget.

Spørgsmålet afgør metoden

Begynd med øvelsens spørgsmål og ikke med metoden. Hvis I vil vide, om forsvaret opdager en modstander, der allerede befinder sig på netværket, bidrager social engineering kun lidt til svaret. Så giver det mere at lade holdet starte fra et aftalt punkt og bruge tiden på opdagelse og reaktion. → Spørgsmålet bag øvelsen

Er spørgsmålet derimod, om en modstander kan komme fra en henvendelse udefra helt frem til et kritisk forretningssystem, er den første kontakt med en medarbejder et led i kæden. Uden det led bliver resultatet en halv fortælling, hvor det mest sandsynlige første skridt er antaget og ikke afprøvet.

Mellem de to yderpunkter ligger øvelser, hvor den menneskelige indgang kunne være med uden at være nødvendig. Her er beslutningen en afvejning af udbytte mod omkostning, og den afvejning bør skrives ned. Notatet skal kunne læses af en, der ikke var med i planlægningen, fx en revisor eller den næste CISO, og forklare, hvorfor delen blev taget med eller holdt ude.

Hvad en menneskelig indgang kan vise

Når social engineering indgår i scenariet, kan øvelsen give svar, som en rent teknisk afprøvning ikke giver:

Kontroltrin i en travl hverdag · om tilbageringning, godkendelse i to led eller kontrol af identitet bliver brugt, når nogen har travlt.
Indrapportering · om en medarbejder, der finder noget mistænkeligt, ved, hvor det skal meldes, og om meldingen når frem til nogen, der handler.
Sammenhængen · hvordan en lille indrømmelse i receptionen eller i telefonen hænger sammen med de tekniske kontroller længere inde.
Sikkerhedsfunktionens svar · om en melding fra en medarbejder bliver behandlet som et muligt angreb eller som støj.

Det sidste punkt kan blive overset. En medarbejder, der melder noget, fungerer som en sensor, og øvelsen kan vise, om den sensor er koblet til resten af forsvaret. Hvis meldingen ender i en postkasse, som ingen læser uden for kontortid, er det et fund om organisationen og ikke om den kollega, der meldte. Den slags fund er svære at få frem på anden måde end ved at lade en henvendelse ske i virkeligheden.

Prisen, der ikke står på fakturaen

Medarbejdere bliver mødt af en henvendelse, de ikke har sagt ja til. Nogle vil føle sig snydt, også selv om de handlede korrekt. Rygter kan bevæge sig hurtigere end den officielle forklaring, og tilliden til sikkerhedsfunktionen kan lide skade, hvis forløbet opleves som en fælde.

Der er også en praktisk omkostning. Delen kræver flere tilladelser, inddragelse af HR og eventuelt tillidsrepræsentanter, en plan for debriefing og ekstra opmærksomhed fra white team. Situationer med mennesker er sværere at forudsige end situationer med systemer, så netop denne del af øvelsen kræver mest styring for hver time, den varer. → Medarbejderhensyn

Alternativer, der bevarer læringen

At holde social engineering ude fjerner ikke mennesker fra billedet. Der findes flere veje til læring om den menneskelige indgang, uden at holdet forsøger at narre kolleger:

Aftalt udgangspunkt · holdet begynder, som om den første kontakt var lykkedes, og øvelsen måler resten af kæden. → Assumed breach som scenarie
Leg-up · white team giver holdet en adgang, hvis indgangen tager for lang tid, så tiden bruges på det, der skal måles.
Gennemgang af processer · processer som nulstilling af adgang eller ændring af betalingsoplysninger gennemgås med de ansvarlige uden et egentligt forsøg.
Bordøvelse · ledelse og nøglefunktioner gennemspiller en situation, hvor en kollega er blevet narret.

Alternativerne giver ikke samme realisme, men de giver et brugbart resultat, uden at nogen bliver mødt af en henvendelse. Hvornår det er det bedste valg, er beskrevet i → Hvornår social engineering bør holdes ude.

Hvem der siger ja

Ledelsen træffer beslutningen på grundlag af sikkerhedsfunktionens anbefaling. En godkendelse af øvelsens tekniske del dækker ikke mennesker, så det skal fremgå særskilt, at social engineering er godkendt, over for hvilke funktioner og inden for hvilke grænser. → Ledelsens godkendelse

Anbefalingen bør besvare fem spørgsmål: hvilket spørgsmål delen besvarer, hvilke funktioner der kan blive kontaktet, hvilke personer og emner der er holdt ude, hvordan de berørte behandles bagefter, og hvordan oplysninger om medarbejdere håndteres. Databeskyttelsesforordningen kræver, at personoplysninger begrænses til det nødvendige i forhold til formålet, og det gælder også det, holdet samler om kolleger i forberedelsen. Teksten er ikke juridisk rådgivning.

Vælger I en ekstern leverandør, så spørg, hvordan holdet vurderer og afbryder en henvendelse, der ikke udvikler sig som planlagt. Hos Nielco IT kan en red team-opgave rumme både social engineering og fysisk adgang. Overvejelser om social engineering i en almindelig sikkerhedstest findes på penetrationtest.dk.

Det skal I lade være med

At tage mennesker med, fordi det lyder realistisk · realisme er ikke et formål i sig selv.
At godkende delen sammen med den tekniske del · den kræver sin egen beslutning.
At glemme den, der melder · en medarbejder, der reagerer rigtigt, skal anerkendes og indgå i målingen.
At undervurdere styringen · white team skal have tid og folk til situationer med mennesker.
At bruge resultatet om enkeltpersoner · fundene handler om processer og støtte.

Hvad kan og ikke kan konkluderes

En øvelse med social engineering kan vise, om bestemte processer holdt over for bestemte henvendelser, og om meldinger fra medarbejdere førte til handling. Den kan ikke måle organisationens samlede modstandskraft over for manipulation, og den siger intet om den enkelte medarbejders pålidelighed. En øvelse uden social engineering har ikke afprøvet den menneskelige indgang, og det bør fremgå af rapporten.

Tjekliste før beslutningen

☐ Kræver øvelsens spørgsmål en menneskelig indgang?
☐ Er alternativerne vurderet og eventuelt fravalgt med en begrundelse?
☐ Har ledelsen godkendt delen særskilt?
☐ Er HR inddraget, og er undtagelserne fastlagt?
☐ Er dataminimering og sletning aftalt?
☐ Er debriefing og anerkendelse af medarbejdere planlagt?

Kilder

NIST CSRC Glossary, Social Engineering: social engineering som forsøg på at narre nogen til at udlevere følsomme oplysninger eller skaffe sig uberettiget adgang.
Forordning (EU) 2016/679 (databeskyttelsesforordningen): artikel 5, stk. 1, litra c, om dataminimering.

Senest gennemgået: oktober 2026.