Formålet med øvelsen: det spørgsmål, ledelsen vil have besvaret

Nogle red team-øvelser begynder med et ønske om at blive testet og ender med en rapport, som ingen helt ved, hvad de skal stille op med. Når det sker, ligger problemet ikke nødvendigvis i udførelsen, men i at ingen formulerede det spørgsmål, øvelsen skulle besvare. Når spørgsmålet er klart, kan scenarie, mål, regler og måling udledes af det, og resultatet kan bruges til en beslutning.

For CISO’en er formuleringen af spørgsmålet derfor det vigtigste stykke arbejde før en øvelse. Det er også det stykke, der nemmest bliver sprunget over, fordi alle har travlt med at komme i gang.

Fra ønske til spørgsmål

Et ønske kan lyde sådan: Vi vil gerne se, om vi kan blive hacket. Det kan næsten enhver øvelse svare ja til, og svaret hjælper ikke nogen. Et spørgsmål er mere præcist. Det peger på en bekymring, en del af forsvaret og en beslutning, der venter.

Eksempler på spørgsmål, der kan bære en øvelse:

Opdagelse · ville vores overvågningsleverandør opdage en modstander, der bevæger sig mod betalingssystemet?
Eskalering · når en alvorlig alarm kommer om natten, når den så frem til nogen, der kan træffe en beslutning?
Investering · har den nye løsning til beskyttelse af identiteter gjort det sværere at overtage administratorkonti?
Leverandører · kan en modstander, der kommer ind via en driftsleverandør, nå forretningskritiske data?
Mennesker og bygninger · kan en uvedkommende komme ind på et af kontorerne og få adgang til netværket?

Hvert spørgsmål fører til en anden øvelse. Det er netop pointen. → Scenarievalg

Hvem formulerer spørgsmålet?

Spørgsmålet bør komme fra et samspil mellem ledelse og sikkerhedsfunktion. Ledelsen ved, hvad den er bekymret for, og hvilke beslutninger den står over for. Sikkerhedsfunktionen ved, hvilke dele af forsvaret der er usikre, og hvad en øvelse realistisk kan vise.

Et kort møde kan være nok. Spørg direktionen, hvilken hændelse den frygter mest, og hvilken beslutning den ville træffe anderledes, hvis den vidste mere om forsvaret. Svarene kan give et bedre udgangspunkt end en teknisk ønskeliste. Hvis ledelsen ikke har et svar, er det et tegn på, at formålet skal drøftes mere, før der bestilles noget.

Leverandøren kan hjælpe med at skærpe formuleringen, fordi den ved, hvad en øvelse kan og ikke kan vise. Men spørgsmålet skal ejes af organisationen. Det er jer, der skal bruge svaret, og jer, der skal stå på mål for det over for ledelsen. → Ledelsens godkendelse

Fra spørgsmål til design

Når spørgsmålet er på plads, kan resten af planlægningen følge det. Fire led hænger sammen:

Scenariet · hvilken modstander og hvilken vej giver svar på spørgsmålet?
Målet · hvilket konkret mål, fx adgang til et bestemt system eller en bestemt type data, viser, at modstanderen ville have lykkedes?
Reglerne · hvilke dele af organisationen skal være med, og hvilke skal holdes ude, for at svaret bliver brugbart?
Målingen · hvad skal registreres undervejs for at kunne besvare spørgsmålet bagefter?

Hvis et af leddene ikke passer til spørgsmålet, skal enten spørgsmålet eller leddet ændres. En øvelse, der skal vise noget om eskalering om natten, men kun foregår i dagtimerne, svarer ikke på sit eget spørgsmål. → Målet for øvelsen

Ét spørgsmål eller flere?

Det er fristende at lade én øvelse besvare mange spørgsmål på én gang. Det kan lade sig gøre, men hvert ekstra spørgsmål gør planlægningen mere kompleks og målingen mindre skarp. Hvis spørgsmålene peger i forskellige retninger, fx et om fysisk adgang og et om cloudmiljøet, kan det være bedre at lave to mindre øvelser eller vælge det vigtigste.

En praktisk løsning er at have ét hovedspørgsmål og nogle få sekundære spørgsmål, som øvelsen kan sige noget om, hvis forløbet giver anledning til det. Rapporten skal så skelne tydeligt mellem det, der blev besvaret, og det, der kun blev berørt. De sekundære spørgsmål må aldrig styre forløbet på bekostning af hovedspørgsmålet, og det er white team, der holder øje med det undervejs.

Spørgsmålet skal kunne besvares med nej

Et godt spørgsmål kan få både et ja og et nej. Hvis alle på forhånd ved, hvad svaret bliver, er spørgsmålet ikke værd at bruge en øvelse på. Det gælder i begge retninger: En øvelse, der er designet til at vise, at forsvaret virker, eller til at skaffe argumenter for et budget, mister sin troværdighed.

Det kræver mod fra sikkerhedsfunktionen. Svaret kan vise, at en investering ikke virkede som tænkt, eller at en leverandør ikke lever op til aftalen. Netop derfor er det værdifuldt. → Hvad red teaming ikke kan svare på

Spørgsmålet bruges igen bagefter

Spørgsmålet er ikke kun et planlægningsværktøj. Det er også rygraden i afrapporteringen. Når rapporten præsenteres for ledelsen, bør den begynde med spørgsmålet og svaret, før den går i detaljer om forløbet. Så kan ledelsen se, om øvelsen gav det, den bad om, og hvilken beslutning svaret peger på.

Spørgsmålet bruges også i lessons learned-mødet og i handlingsplanen. Fund, der ikke har med spørgsmålet at gøre, skal stadig følges op, men de bør ikke overskygge det, øvelsen var bestilt til at belyse. Og når den næste øvelse planlægges, er det første, der skal tages stilling til, om det gamle spørgsmål er besvaret godt nok, eller om det skal stilles igen efter rettelserne. På den måde bliver spørgsmålene en tråd gennem flere års øvelser frem for en række enkeltstående projekter. → Afrapportering til direktion og bestyrelse

Det skal I lade være med

At bestille en øvelse uden spørgsmål · resultatet bliver en fortælling uden pointe.
At formulere et spørgsmål, der kun kan få ét svar · så er øvelsen et skuespil.
At samle for mange spørgsmål i én øvelse · målingen bliver uskarp.
At ændre spørgsmålet efter øvelsen · svaret skal holdes op mod det, der blev aftalt.
At lade leverandøren formulere spørgsmålet alene · den kender ikke jeres beslutninger.

Hvad kan og ikke kan konkluderes

Et klart spørgsmål gør det muligt at sige, om øvelsen gav et svar, og hvad svaret betyder for en konkret beslutning. Det gør ikke svaret mere generelt, end scenariet tillader. Et nej til spørgsmålet om opdagelse siger noget om det afprøvede forløb, ikke om alle forløb, og et ja er ikke en garanti for, at forsvaret virker næste gang.