Spionage og statsaktører som scenarie: når modstanderen er tålmodig

En modstander, der vil have adgang til viden og ikke til penge, opfører sig anderledes end en gruppe, der vil kryptere systemer og afpresse ejeren. Den har tid, den vil helst ikke opdages, og den kan blive i et netværk længe. Svaret på, om et spionagescenarie hører hjemme i jeres øvelse, hviler på to forhold: om organisationen har noget, som de danske myndigheder beskriver som mål for fremmede staters spionage, og om spørgsmålet til forsvaret handler om stille, langvarig tilstedeværelse.

Er begge dele til stede, kan scenariet vise noget, andre scenarier ikke viser: om forsvaret opdager en modstander, der ikke gør noget højlydt.

Hvad de danske trusselsvurderinger siger

Styrelsen for Samfundssikkerhed vurderer i Cybertruslen mod Danmark 2025, at truslen fra cyberspionage er meget høj. Ifølge vurderingen retter særligt Rusland og Kina løbende cyberangreb mod danske organisationer for at få adgang til viden af blandt andet udenrigs- og sikkerhedspolitisk karakter og til oplysninger af betydning for Danmarks forsvar. Truslen er ikke kun rettet mod myndigheder, men også mod virksomheder og andre organisationer, der understøtter dansk engagement på de områder.

Vurderingen peger også på økonomiske og teknologiske motiver. Styrelsen vurderer, at teknologier med både civil og militær anvendelse er særligt interessante for fremmede stater, og at det er sandsynligt, at fremmede stater de seneste år har forsøgt at ramme danske universiteter og organisationer inden for blandt andet forsvarsteknologi. Endelig beskriver vurderingen, at cyberspionage kan give indsigt i systemer og bruges til at etablere bagdøre, så yderligere angreb kan udføres med kort eller uden varsel i en krise.

Politiets Efterretningstjeneste beskriver i sin seneste offentliggjorte vurdering af spionagetruslen, fra 2023, de fremmede efterretningstjenester som professionelle modstandere med høj kapacitet, der planlægger og gennemfører aktiviteter med en lang tidshorisont. PET nævner, at virksomheder, der er leverandører til Forsvaret, NATO og forsvarsindustrien i alliancen, kan være mål.

Hvornår scenariet giver mening

Scenariet er oplagt, når organisationen svarer til de mål, vurderingerne beskriver, fx:

Leverandører til forsvar og sikkerhed · virksomheder med kontrakter, tegninger eller viden, der understøtter forsvaret.
Teknologi og forskning · organisationer med udvikling inden for områder, der kan bruges både civilt og militært.
Kritisk infrastruktur · organisationer, hvor indsigt i systemer kan bruges til senere angreb.
Organisationer tæt på politiske beslutninger · rådgivere, interesseorganisationer og myndigheder med adgang til fortrolige positioner.

Styrelsen skriver samtidig, at alle sektorer i princippet kan komme i fremmede staters søgelys, og at temaer som sundhed, energi, transport og handel de seneste år har været udsat for en øget trussel fra cyberspionage. Interessen kan altså flytte sig med den politiske udvikling. Det er derfor ikke et argument for at vælge scenariet, men et argument for at overveje det i trusselsgrundlaget. → Trusselsefterretning som grundlag for scenarierne

Hvad scenariet kan vise

En spionagemodstander er kendetegnet ved tålmodighed og diskretion. En øvelse, der efterligner den, kan derfor måle forhold, som en hurtig øvelse ikke rammer:

Opdagelse af lav aktivitet · ser overvågningen en adgang, der bruges forsigtigt og med lange pauser?
Misbrug af gyldige konti · skelnes en fremmed bruger af en rigtig konto fra medarbejderen?
Adgang til de vigtige oplysninger · bliver det registreret, når nogen læser dokumenter, de ikke plejer at læse?
Varighed · hvor længe kan en adgang bestå, før den bliver opdaget, og hvad udløser opdagelsen?

For blue team er scenariet også en prøve på arbejdsformen. En modstander, der ikke udløser tydelige alarmer, kræver, at nogen leder efter afvigelser i stedet for at vente på en alarm. Øvelsen kan vise, om den slags arbejde finder sted, og om det har adgang til de logdata, der skal til. → Threat hunting og red teaming

Scenariet hænger tæt sammen med længerevarende angrebssimulering, fordi tiden er en del af det, der afprøves. → Længerevarende angrebssimulering

Modstanderens profil

En modstanderprofil bør bygge på beskrevet adfærd og ikke på et navn. MITRE ATT&CK beskriver grupper som klynger af aktivitet, der følges under et fælles navn, og gør opmærksom på, at forskellige organisationer kan bruge forskellige navne for lignende aktivitet og være uenige om enkeltheder. Et gruppenavn i en trusselsrapport er derfor ikke en opskrift på scenariet, men et udgangspunkt for at beskrive mål, tålmodighed og adfærd. → Modstandersimulering

Grænser for realismen

Holdet kan ikke efterligne en stat. Det har ikke en efterretningstjenestes ressourcer, ikke dens tid og ikke dens adgang til sårbarheder, som ingen kender. PET nævner også, at fremmede tjenester spionerer gennem menneskelige kilder og aflytning. Den slags hører ikke hjemme i en øvelse mod jeres egen organisation. Hvis rekruttering af en insider er en del af bekymringen, kan det afprøves som et insiderscenarie med en udpeget medarbejder og white teams godkendelse. → Insiderscenariet

Scenariet skal desuden holdes inden for fortroligheden om rigtige, beskyttelsesværdige oplysninger. Bevis for adgang kan ske med aftalte markører frem for at kopiere indholdet, og white team bør på forhånd beslutte, hvilke mapper og systemer holdet slet ikke må åbne. → Datatyveri som scenarie

Et tænkt eksempel

En dansk virksomhed udvikler sensorer, der bruges både i industrien og af forsvaret i flere NATO-lande. Ledelsen har læst trusselsvurderingerne og spørger, om en fremmed tjeneste ville kunne følge med i udviklingen uden at blive opdaget. White team vælger et scenarie, hvor holdet efter en aftalt indgang skal nå frem til projektmapper for en ny sensor og placere en markør dér, uden at blive opdaget, over en periode på flere måneder. Undervejs måler white team, hvornår og hvordan SOC’en reagerer.

Holdet når markøren, men en ændring i adgangen til projektmapperne bliver bemærket af en udvikler, der eskalerer til IT. Øvelsen viser dermed både et hul i den tekniske overvågning og en medarbejder, der reagerede rigtigt. Eksemplet er tænkt.

Det skal I lade være med

At vælge scenariet, fordi det lyder alvorligt · det skal passe til organisationens værdier og mål.
At bygge profilen på et gruppenavn alene · navne overlapper og skifter.
At love ledelsen, at øvelsen svarer til en stat · holdet efterligner adfærd, ikke kapacitet.
At korte tiden ned, så scenariet bliver hurtigt · så måles noget andet end tålmodighed.
At bruge klassificerede eller fortrolige data som bevis · brug markører.

Hvad kan og ikke kan konkluderes

Et spionagescenarie kan vise, om forsvaret opdager stille og langvarig aktivitet mod de oplysninger, der betyder mest, og hvor længe en adgang kan bestå. Det kan ikke vise, om en fremmed stat allerede er i netværket, og det kan ikke sige noget om modstandere med ressourcer, holdet ikke har. Er der mistanke om en faktisk kompromittering, er det en hændelse og ikke en øvelse.

Kilder

Styrelsen for Samfundssikkerhed: Cybertruslen mod Danmark 2025: trusselsniveauet for cyberspionage, Rusland og Kina, mål blandt virksomheder og organisationer, teknologier med dobbelt anvendelse, bagdøre og at alle sektorer i princippet kan blive mål (s. 6 og 13 til 15).
Politiets Efterretningstjeneste: Vurdering af spionagetruslen mod Danmark, Færøerne og Grønland 2023: professionelle modstandere med lang tidshorisont, menneskelige kilder, cyberspionage og aflytning, leverandører til forsvaret som mål.
MITRE ATT&CK: Groups: grupper som aktivitetsklynger og overlap mellem navne.

Senest gennemgået: oktober 2026.