Statusmøder mellem white team og red team

Under den aktive test i en red team-øvelse arbejder holdet i det skjulte, og white team skal alligevel kunne styre forløbet. Det faste greb er statusmøderne: korte, regelmæssige møder, hvor holdet fortæller, hvad det har gjort, og hvad det vil gøre, og hvor white team tager stilling. Møderne hviler på tre ting: en fast frekvens, aftalt på forhånd, en dagsorden, der dækker fremdrift, risiko og beslutninger, og et referat, der kan bruges bagefter.

Statusmøderne er ikke en formalitet. Det er her, øvelsens små beslutninger bliver truffet, og her white team opdager, om forløbet er ved at bevæge sig derhen, hvor ingen ønsker det.

Hvor ofte?

Der findes ingen almindelig regel. Frekvensen afhænger af, hvor hurtigt forløbet bevæger sig, hvor tæt det kommer på følsomme områder, og hvor meget white team har brug for at vide for at kunne styre risikoen.

TIBER-DK giver et konkret eksempel. Rammen kræver et ugentligt fuldt statusmøde på omkring en time gennem hele den aktive test og derudover to til fire kortere statusopdateringer om ugen på omkring en halv time. Frekvensen af de korte møder fastlægges af kontrolteamet og Nationalbankens TIBER-team. Tallene gælder TIBER-test, men opdelingen i et grundigt og et kort mødeformat kan bruges i alle øvelser.

En praktisk tommelfingerregel er at holde møderne hyppigere, når holdet nærmer sig et mål, et fredet område eller en planlagt hjælp fra white team, og sjældnere i perioder, hvor holdet forbereder sig.

Møderne erstatter ikke den løbende kontakt. Hvis holdet står over for en beslutning, der ikke kan vente, eller hvis forsvaret eskalerer noget, der kan hænge sammen med øvelsen, skal kontakten ske med det samme via den aftalte kanal. TIBER-DK lægger op til, at Nationalbankens TIBER-team inviteres, hvis der holdes ekstra møder i kritiske faser af testen. Uden for TIBER er pointen den samme: ekstra møder i de kritiske faser bør planlægges, ikke improviseres.

Det første møde: startskuddet

Det første statusmøde i den aktive test er særligt. I TIBER-DK er det det formelle startskud, hvor det sikres, at alle forberedende tiltag er på plads, at planlagte leg-ups er klar, og at forventningerne til de første skridt er afstemt. Risikostyringen kan gennemgås igen.

Uden for TIBER er det en god anledning til at kontrollere de praktiske ting: virker den sikre kanal, er telefonlisten opdateret, har holdet tilladelsesbrevene, og ved alle i white team, hvem der træffer hvilke beslutninger? → Tilladelsesbrevet

Dagsordenen for det fulde møde

En fast dagsorden gør møderne korte og sammenlignelige. Den kan se sådan ud:

Status pr. scenarie · hvad holdet har gjort siden sidst, og hvor tæt det er på målene.
Forsvarets reaktioner · hvad white team har set af eskaleringer, og om holdet har bemærket noget.
Hjælp og ændringer · planlagte og nye behov for leg-ups og eventuelle justeringer af scenariet. → Leg-up
Risiko · nye risici, ændrede vurderinger og fredede områder, der kommer tættere på.
Næste periode · hvad holdet planlægger, og hvad white team skal forberede.
Beslutninger · hvad der er besluttet, af hvem, og hvad der er udskudt.

TIBER-DK lader holdet gennemgå de handlinger, det har udført, med en løbende udfyldt MITRE ATT&CK-skabelon som udgangspunkt, og den gennemgår også kandidater til purple teaming og udskudte aktiviteter. En fælles beskrivelse af holdets adfærd gør det lettere at lægge forløbet op ved siden af forsvarets observationer bagefter. → MITRE ATT&CK i red teaming

Det korte møde

De korte statusopdateringer er til fremdrift, ikke til diskussion. Holdet fortæller kort, hvad der er sket i hvert aktivt scenarie, og hvad der kommer. Hvis en sag kræver en beslutning, der ikke kan vente til det fulde møde, tages den op med white team-lederen bagefter, så det korte møde ikke vokser. → Lederen af white team

Det korte format har en fordel, som er let at overse. Når holdet skal sige noget flere gange om ugen, opstår der ikke nødvendigvis lange perioder, hvor white team ikke ved, hvad der foregår. Det gør det lettere at afklare en eskalering fra forsvaret, fordi white team allerede har et frisk billede af, hvor holdet befinder sig.

Hvem deltager?

Fra holdet deltager holdets leder og den, der har udført de aktiviteter, der skal gennemgås. Fra white team deltager lederen og den eller de personer, der har ansvar for de berørte områder. I TIBER-DK deltager også Nationalbankens TIBER-team, og leverandøren af trusselsefterretning deltager i de fulde møder, så efterretningen kan følge med undervejs.

Hold kredsen lille. Hver ekstra deltager øger risikoen for, at noget slipper ud, og gør møderne længere. Overvej, om en driftsansvarlig skal med til de møder, hvor holdet nærmer sig et driftskritisk system.

Referatet og beslutningsloggen

Referatet er ikke kun en hukommelse. Det er grundlaget for at forstå, hvorfor forløbet tog den retning, det gjorde, og for at skelne mellem det, holdet nåede selv, og det, white team besluttede. Hver beslutning bør noteres med tidspunkt, begrundelse og hvem der traf den. → Holdets logbog

Efter øvelsen bliver referaterne en del af grundlaget for rapporten og for genafspilningen med forsvaret. Når blue team skal forstå, hvorfor holdet pludselig skiftede retning, eller hvorfor en adgang dukkede op uden forklaring, er det referatet, der giver svaret. Skriv det derfor, så en person, der ikke var med, kan forstå det.

Referaterne er følsomme. De beskriver svagheder og vej frem til dem. De skal ligge sammen med øvelsens øvrige dokumenter og være underlagt den samme adgangsbegrænsning. → Kodenavn og dokumenter

Det skal I lade være med

At aflyse møder, når der ikke er sket meget · stilstand er også en oplysning.
At træffe beslutninger uden at notere dem · rapporten kan ikke læses korrekt uden dem.
At lade møderne vokse med flere deltagere · fortroligheden lider, og møderne bliver længere.
At lade holdet styre dagsordenen alene · white team skal kunne rejse risici og spørgsmål.
At diskutere detaljer i de korte møder · de skal holde fremdriften, ikke erstatte det fulde møde.

Hvad kan og ikke kan konkluderes

Regelmæssige statusmøder med referat giver white team et løbende billede af forløbet og et spor af de beslutninger, der formede det. De kan ikke erstatte holdets egen logbog, og de kan ikke garantere, at white team opdager en risiko i tide, hvis holdet ikke beskriver sine handlinger åbent.

Tjekliste til statusmøderne

☐ Er frekvensen for fulde og korte møder aftalt?
☐ Er der en fast dagsorden for det fulde møde?
☐ Er det første møde brugt til at kontrollere de praktiske forudsætninger?
☐ Bliver beslutninger noteret med tidspunkt og begrundelse?
☐ Ligger referaterne under samme adgangsbegrænsning som øvelsens øvrige dokumenter?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: ugentlige fulde statusmøder og to til fire kortere statusopdateringer om ugen under den aktive test, det første møde som formelt startskud, dagsorden med scenarier, flag, leg-ups, tidsplan, MITRE ATT&CK-skabelon og kandidater til purple teaming.
MITRE ATT&CK: vidensbase over modstanderes taktikker og teknikker, brugt som fælles beskrivelse af holdets adfærd.

Senest gennemgået: oktober 2026.