Stopregler: hvornår øvelsen sættes på pause eller afbrydes

En red team-øvelse foregår i drift, mod rigtige systemer og rigtige mennesker, og ingen planlægning kan forudse alt. Derfor skal det på forhånd være aftalt, hvornår øvelsen sættes på pause, hvornår den afbrydes, og hvem der træffer beslutningen. Svaret hviler på to ting: kriterier, der er så konkrete, at de kan bruges under pres, og en beslutningsvej, der virker, også klokken tre om natten.

Stopregler er ikke et tegn på mistillid til holdet. De er det, der gør det forsvarligt at lade en øvelse løbe i lang tid uden konstant overvågning af hvert skridt.

Pause og afbrydelse er to forskellige ting

En pause betyder, at holdet stopper sine aktiviteter midlertidigt, mens en situation afklares. Øvelsen kan genoptages, når årsagen er håndteret, eventuelt med justeringer. En afbrydelse betyder, at øvelsen slutter før tid, og at holdet trækker sig ud og rydder op.

Skelnen er vigtig, fordi en situation kan håndteres med en pause. Hvis den eneste mulighed er at afbryde, vil white team tøve med at gribe ind, og det øger risikoen. Med en pause som mellemtrin bliver det lettere at reagere tidligt og forsigtigt. → Lederen af white team

Kriterier for en pause

Stopreglerne bør nævne de situationer, der som udgangspunkt udløser en pause. Blandt dem kan være:

Påvirkning af driften · en handling ser ud til at påvirke tilgængeligheden af et system eller en forretningsfunktion.
Tegn på en ægte hændelse · holdet eller white team ser spor, der ikke stammer fra øvelsen.
Uventede data · holdet støder på data, der er mere følsomme end forudsat.
Eskalering ud af huset · forsvaret er ved at inddrage politi, myndigheder eller andre eksterne parter.
Personlig sikkerhed · en situation i en bygning kan udvikle sig til konfrontation.
En medarbejder, der tager skade · en person bliver tydeligt påvirket af en henvendelse.

Listen skal tilpasses scenariet. En øvelse uden fysisk adgang har ikke brug for kriterier om bygninger, mens en øvelse mod betalingssystemer kan have brug for meget præcise kriterier for driftspåvirkning. → Risikovurdering af øvelsen

Kriterier for afbrydelse

Afbrydelse er forbeholdt situationer, hvor øvelsen ikke kan fortsætte forsvarligt. Det kan være en alvorlig ægte hændelse, der kræver hele organisationens opmærksomhed, en driftsforstyrrelse med betydelige følger, eller et brud på fortroligheden, der gør øvelsen meningsløs. Det kan også være, at holdet har overtrådt rules of engagement på en måde, der svækker tilliden.

Beslutningen om at afbryde bør træffes af lederen af white team i samråd med den ledelse, der har godkendt øvelsen, når der er tid til det. Hvis der ikke er, skal lederen kunne beslutte alene og orientere bagefter.

En afbrydelse er ikke slutningen på arbejdet. Holdet skal trække sig ud på en ordnet måde, fjerne det, det har efterladt, og aflevere sin logbog frem til afbrydelsen. Rapporten skal beskrive forløbet indtil da og årsagen til afbrydelsen, så organisationen stadig får læring ud af det, der nåede at ske. Aftal på forhånd, hvordan en afbrudt øvelse afregnes, så det ikke skal forhandles midt i en presset situation.

Hvem der kan sige stop

Retten til at sige stop bør være bred, mens retten til at genoptage bør være smal. Et medlem af holdet, der vurderer, at en handling kan skade driften, skal kunne stoppe den uden at spørge. Det samme gælder et medlem af white team, der ser noget bekymrende.

Retten til at genoptage efter en pause bør derimod ligge hos lederen af white team eller dennes stedfortræder. Det sikrer, at nogen har overblik over situationen, før holdet går videre. Hvis I har en ekstern leverandør, skal leverandørens holdleder kende og acceptere den fordeling. Gør det også klart, at ingen får skyld for at have sagt stop. En kultur, hvor et stop opfattes som et nederlag, får folk til at fortsætte, når de burde holde inde.

Sådan meldes og bekræftes et stop

Et stop skal kunne meldes hurtigt og forstås entydigt. Aftal en fast kanal, fx et telefonnummer, der altid besvares, og en kort formulering, der ikke kan misforstås. Den, der modtager meldingen, skal bekræfte den, og holdet skal bekræfte, at aktiviteterne er indstillet.

Notér tidspunktet for meldingen, årsagen og de handlinger, der blev indstillet. Øv gerne kanalen én gang, før øvelsen begynder, så alle har prøvet at melde og bekræfte et stop. Når øvelsen genoptages, noteres det også. Notaterne er nødvendige for at kunne læse resultatet bagefter, fordi en pause kan påvirke, hvad forsvaret havde mulighed for at opdage. → Holdets logbog

Efter en pause: genoptag eller tilpas

Når årsagen er afklaret, skal white team beslutte, hvordan øvelsen fortsætter. TIBER-DK beskriver, at kontrolteamet under ekstraordinære omstændigheder, fx opdagelsen af en faktisk kompromittering eller risiko for data, aktiver eller kritiske funktioner, kan suspendere testen for at give plads til forsinkelser eller andre ændringer, så læringen bevares. Som sidste udvej kan aktiviteterne i rammen fortsætte som en begrænset purple teaming-øvelse.

Uden for de regulerede rammer er tankegangen den samme: Målet er at bevare så meget læring som muligt uden at gå på kompromis med sikkerheden. Det kan betyde, at et scenarie tilpasses, at en del af scope tages ud, eller at holdet får et andet udgangspunkt. Ændringerne skal godkendes og dokumenteres som andre ændringer. Overvej også, om pausen har afsløret øvelsen for forsvaret. Hvis den har, kan det være mere værdifuldt at fortsætte som en åben øvelse end at lade, som om intet er sket. → Når scenariet skal justeres

Det skal I lade være med

At have kun én mulighed, afbrydelse · så tøver white team, når det burde gribe ind.
At formulere kriterierne vagt · de skal kunne bruges under pres.
At lade holdet genoptage på egen hånd · det skal godkendes af white team.
At glemme at notere pauser · de påvirker, hvordan resultatet skal læses.
At lade stopkanalen være ubemandet om natten · øvelsen kører, når andre sover.

Hvad kan og ikke kan konkluderes

Klare stopregler gør det muligt at gribe ind tidligt og forholdsmæssigt, når noget uventet sker. De kan ikke fjerne alle risici ved en øvelse i drift, og de erstatter ikke white teams løbende vurdering. En øvelse, der blev sat på pause, er ikke mislykket; pausen er en del af forløbet og skal med i rapporten. → Når white team opdager en ægte hændelse

Tjekliste til stopreglerne

☐ Skelner reglerne mellem pause og afbrydelse?
☐ Er kriterierne konkrete og tilpasset scenariet?
☐ Kan både holdet og white team sige stop uden at spørge?
☐ Er det kun lederen af white team eller stedfortræderen, der kan genoptage?
☐ Er der en kanal, der besvares døgnet rundt?
☐ Bliver alle stop og genoptagelser noteret?

Kilder

Danmarks Nationalbank: TIBER-DK Implementation Document: kontrolteamet kan suspendere testen under ekstraordinære omstændigheder og som sidste udvej fortsætte som begrænset purple teaming.

Senest gennemgået: oktober 2026.