Tabletop for bestyrelse og direktion: øv beslutningerne på den angrebsvej, øvelsen fandt

En red team-øvelse slutter, inden angrebet når frem til de beslutninger, der hører hjemme i direktionen og bestyrelsen. Holdet når sit mål, øvelsen stoppes, og ingen har skullet tage stilling til, om systemer skal lukkes, hvad kunderne skal have at vide, eller hvordan et krav om løsepenge håndteres. En tabletop kan tage over, hvor øvelsen slap. Den hviler på en enkel idé: brug den angrebsvej, holdet faktisk fandt, som oplæg til en ledelsesøvelse rundt om bordet, og lad ledelsen øve de beslutninger, der ville komme, hvis det havde været et rigtigt angreb.

En tabletop er en øvelse, hvor deltagerne diskuterer deres roller og beslutninger ud fra et oplæg. Der bliver ikke rørt ved systemer, og intet bliver sat i gang i virkeligheden. → Red teaming, tabletop og beredskabsøvelse

Hvorfor øvelsens angrebsvej er et godt oplæg

En tabletop bygget på et opdigtet scenarie kan blive afvist med et skuldertræk: Sådan ville det ikke gå hos os. Det argument falder, når forløbet bygger på det, der skete i jeres egen organisation for få uger siden. Holdet kom ind ad en bestemt vej, bevægede sig gennem bestemte systemer og nåede et bestemt mål. Det er en realistisk historie, og den peger på de konkrete steder, hvor ledelsen ville blive inddraget.

Det giver også en sammenhæng mellem de to øvelser. Den tekniske øvelse viste, om forsvaret opdagede og stoppede angrebet. Ledelsesøvelsen viser, om organisationen ville have truffet de rigtige beslutninger, hvis angrebet var gået videre. Tilsammen giver de et mere fuldstændigt billede end hver for sig, og bestyrelsen får mulighed for at se sin egen rolle i et forløb, som den ellers kun ville læse om i et resumé. → Angrebsvejen i rapporten

Hvornår ledelsesøvelsen holdes

Den bedste placering er efter, at rapporten er gennemgået, og før handlingsplanen er endelig. Så kender ledelsen resultatet, og indsigterne fra tabletoppen kan nå med i planen. Holdes den for tidligt, bruger deltagerne tiden på at forstå, hvad der skete. Holdes den for sent, er beslutningerne om opfølgning allerede truffet.

Det er også muligt at lade tabletoppen fortsætte forløbet fra det punkt, hvor øvelsen blev stoppet. Det er et andet greb end at lade krisestaben spille med under selve øvelsen. → Krisestab og ledelse i øvelsen

Sådan bygges forløbet

Forløbet tager udgangspunkt i angrebsvejen, men beskrevet i forretningssprog. Bestyrelsen skal ikke have tekniske detaljer, men en tidslinje over, hvad en angriber ville have kunnet gøre. Et tænkt eksempel:

Første besked · økonomiafdelingen melder, at en leverandør har fået et ændret kontonummer, som ingen kan forklare.
Eskaleringen · overvågningen ser tegn på, at nogen har bred adgang til fællesdrevene og backup.
Kravet · en besked på skærmene siger, at data er krypteret og kopieret, og at der kræves betaling.
Pressen · en journalist ringer og spørger, om det passer, at kundedata er lækket.

Hvert trin er et oplæg, hvor facilitatoren spørger: Hvad gør I nu, hvem beslutter, og hvad ved I? Trinnene behøver ikke svare præcist til øvelsen. De skal bare være troværdige ud fra det, holdet viste var muligt.

Forløbet bør være kendt af så få som muligt på forhånd. Deltagerne må gerne vide, at tabletoppen bygger på øvelsen, men ikke hvilke trin der kommer. Det giver en mere ærlig diskussion, når en ny oplysning lægges på bordet midt i samtalen. Hold antallet af trin lavt, så der er tid til at gå i dybden med de svære valg frem for at nå hele forløbet igennem.

De beslutninger, der skal øves

Tabletoppen bør samle sig om de beslutninger, som kun ledelsen kan træffe:

Driften · skal systemer lukkes for at stoppe angrebet, selv om det stopper forretningen?
Kommunikationen · hvad får kunder, medarbejdere og samarbejdspartnere at vide, og hvornår?
Myndighederne · hvem skal underrettes, og hvem i organisationen sørger for det?
Løsepengekravet · hvem tager stilling, hvilken rådgivning skal hentes ind, og hvilke hensyn skal vejes?
Bestyrelsens rolle · hvornår skal bestyrelsen inddrages, og hvem kontakter den?

Spørgsmålet om løsepenge rejser juridiske, etiske og praktiske spørgsmål, som ledelsen bør afklare med egne rådgivere, før situationen opstår. Tabletoppen afgør dem ikke, men den kan vise, om organisationen ved, hvem der skal spørges. Teksten er ikke juridisk rådgivning.

Roller ved bordet

En tabletop kræver et lille design- og styringshold. NIST SP 800-84 beskriver en facilitator, der leder diskussionen, og en referent, der registrerer, hvad der sker undervejs. Begge skal kende planerne, der øves, og formålet med øvelsen.

Facilitatoren bør være en, der kan stille direkte spørgsmål til både direktør og formand. Det kan være en ekstern, hvis ingen internt har den position. Medlemmer af white team fra den tekniske øvelse kan bidrage med forløbet, men de bør ikke styre diskussionen om ledelsens beslutninger.

Deltagerne er dem, der ville sidde med beslutningerne i virkeligheden: direktionen, formanden eller hele bestyrelsen, den kommunikationsansvarlige, den juridiske funktion og sikkerhedschefen. Overvej, om stedfortrædere skal deltage. Et angreb tager ikke hensyn til ferier, og det er ikke sikkert, at den person, der står i planen, er den, der tager telefonen. → White team

Efter tabletoppen

Det, der kommer frem, samles i en evalueringsrapport, som i vejledningen kaldes en after action report: formål, deltagere, scenarie, iagttagelser og anbefalinger. Iagttagelserne om ledelsens beslutninger føres ind i samme handlingsplan som fundene fra den tekniske øvelse, så forbedringer af overvågning og forbedringer af beslutningsgange følges op samme sted. → Handlingsplan efter øvelsen

Tjekliste før ledelsesøvelsen

☐ Er angrebsvejen omsat til en tidslinje i forretningssprog?
☐ Er de beslutninger, der skal øves, valgt på forhånd?
☐ Er facilitator og referent udpeget?
☐ Deltager de personer, der ville træffe beslutningerne i virkeligheden?
☐ Er det aftalt, hvordan iagttagelserne kommer med i handlingsplanen?

Det skal I lade være med

At vise den tekniske rapport · omsæt angrebsvejen til forretningssprog.
At lede efter de rigtige svar · formålet er at finde uklarheder, ikke at bestå.
At glemme bestyrelsen · dens rolle under en krise skal også øves.
At lade tabletoppen erstatte planen · den afprøver planen, den er ikke en plan.
At gøre forløbet utroværdigt · hold det inden for det, holdet viste var muligt.

Hvad kan og ikke kan konkluderes

En tabletop bygget på øvelsens angrebsvej kan vise, om ledelsen ved, hvem der beslutter hvad, og hvor beslutningsgangene er uklare. Den kan ikke vise, om beslutningerne ville blive truffet lige så godt under et rigtigt pres, og den siger intet om, hvorvidt planerne kan udføres i praksis. Det kræver en beredskabsøvelse, hvor planerne rent faktisk bliver sat i værk. Den kan heller ikke afgøre de juridiske spørgsmål, som diskussionen rejser, men den kan vise, hvor der er brug for at få dem afklaret.

Kilder

NIST SP 800-84: Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities: tabletopøvelsen som diskussionsbaseret øvelse uden brug af udstyr, facilitator og referent, og after action report.
CISA Tabletop Exercise Packages: skabeloner med mål, scenarier og diskussionsspørgsmål, herunder scenarier med ransomware.

Senest gennemgået: oktober 2026.